簡介
發現： 2002 年 7 月 8 日
更新： 2007 年 2 月 13 日 11:40:12 AM
別名： W32/Datom-A 【Sophos】, Win32.Datom 【CA】, W32/Datom.worm 【McAfee】, Datom 【F-Prot】, Worm.Win32.Datom 【KAV】, WORM_DATOM.A 【Trend】, W32/Datom 【Panda】, Win32/Datom.worm 【RAV】
類型: Worm
感染長度： 58,368 bytes (msvxd.exe);54,784 bytes (Msvxd16.dll);81,408 bytes (Msvxd32.dll)
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
由於提交率的提高，Symantec 安全回響中心自 2002 年 7 月 23 日起，將 W32.Datom.Worm 的威脅級別從 2 類升級為 3 類。
W32.Datom.Worm 是一種通過開放的共享資源傳播的蠕蟲。此蠕蟲不包含有破壞性的有效載荷。
介紹
如果您在網路上或一直與 Internet 保持連線，Symantec 建議禁用或用密碼保護檔案共享。因為此蠕蟲像許多其它蠕蟲一樣，是通過網路計算機上的已分享檔案夾傳播，為確保蠕蟲被刪除後不會再感染計算機， Symantec 建議使用唯讀訪問許可權或密碼保護進行共享。有關如何完成此操作的指導，請參閱 Windows 文檔或文檔：如何配置共享 Windows 資料夾以儘可能的保護網路。（英文）
防護
* 病毒定義（每周 LiveUpdate™） 2002 年 7 月 8 日
* 病毒定義（智慧型更新程式） 2002 年 7 月 8 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： More than 1000
* 站點數量： More than 10
* 地理位置分布： Medium
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Low
分發
* 分發級別： High
* 共享驅動器： Spreads across open shares
W32.Datom.Worm 包括下列三個檔案：
* Msvxd.exe
* Msvxd16.dll
* Msvxd32.dll
這些檔案位於 %Windir% 資料夾中。
注意：%Windir% 是一個變數。蠕蟲會找到 Windows 主安裝資料夾（默認位置是 C:\Windows 或 C:\Winnt），然後將自身複製到該位置。
每個檔案中的任務都進行了適當的劃分，以儘量避開啟發式檢測：
* Msvxd.exe 僅運行 Msvxd16.dll。
* Msvxd16.dll 首先在註冊表中添加對 Msvxd.exe 的引用，然後運行 Msvxd32.dll。
* Msvxd32.dll 枚舉網路共享資源，將這三個檔案全部複製到這些共享資源的 %Windir% 資料夾，然後在 Win.ini 中的 Run= 命令行內添加對 Msvxd.exe 的引用。
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
注意：以下指導適用於所有當前和最新的 Symantec 防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。
1. 更新病毒定義。
2. 以安全模式重新啟動。
3. 刪除下列值
MSVXD
該值位於註冊表項
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 從 Win.ini 檔案中刪除引用了 Msvxd.exe 的 Run= 命令行
5. 運行完整的系統掃描，並刪除所有被檢測為 W32.Datom.Worm 的檔案。
有關如何完成此操作的詳細信息，請參閱下列指導。
獲得最新的病毒定義：
可通過兩種方法獲得：
o 運行 LiveUpdate，這是獲得病毒定義最簡便的方法。這些病毒定義經過 Symantec 安全回響中心的全面質量監控檢測，如果未遇重大病毒爆發情況，會每周在 LiveUpdate 伺服器上發布一次（一般為星期三）。要確定是否可以通過 LiveUpdate 獲得解決該威脅的病毒定義，請見本說明頂部的病毒定義 (LiveUpdate) 行。
o 使用“智慧型更新程式”下載病毒定義。“智慧型更新程式”病毒定義已經過 Symantec 安全回響中心的全面質量監控檢測，會在工作日（周一至周五，美國時間）發布。必須從 Symantec 安全回響中心 Web 站點下載病毒定義，並手動進行安裝。要確定是否可以通過“智慧型更新程式”獲得解決該威脅的病毒定義，請見本說明頂部的病毒定義（智慧型更新程式）行。
“智慧型更新程式” 病毒定義可從此處獲得。有關如何從 Symantec 安全回響中心 Web 站點下載和安裝“智慧型更新程式”病毒定義的詳細指導，請單擊此處。
以安全模式重新啟動：
1. 關閉計算機，關掉電源，然後等待 30 秒。
2. 以安全模式重新啟動計算機。除 Windows NT 外，所有的 Windows 32 位作業系統均可以安全模式重新啟動。有關如何完成此操作的指導，請參閱文檔：如何以安全模式啟動計算機（英文）。
從 Win.ini 檔案中刪除引用：
注意：（僅適用於 Windows Me 用戶）由於 Windows Me 具有檔案防護功能，因此 C:\Windows\Recent 資料夾中存在要編輯檔案的一個備份副本。Symantec 建議在繼續下一部分中的操作之前刪除此檔案。要使用 Windows 資源管理器完成此操作，請轉至 C:\Windows\Recent，然後在右窗格中選中 Win.ini 檔案並將其刪除。將更改保存到要編輯的檔案時，會重新生成此檔案的一個副本。
1. 單擊“開始”，然後單擊“運行”。
2. 鍵入以下內容，然後單擊“確定”：
edit c:\windows\win.ini
將打開“MS-DOS 編輯器”。
注意：如果 Windows 安裝在其它位置，則用相應的路徑代替。
3. 在檔案的 【windows】 部分，查找以下面內容開頭的行：
run=
4. 如果 run= 行引用了 Msvxd.exe，請選中整行並將其刪除。
5. 單擊 File，然後單擊 Save。
6. 單擊 File，然後單擊 Exit。
從註冊表刪除值：
警告：Symantec 強烈建議在更改註冊表之前先進行備份。如果對註冊表進行了不正確的更改，可能導致永久性數據丟失或檔案損壞。請只修改指定的鍵。有關指導，請參閱文檔：如何備份 Windows 註冊表。
1. 單擊“開始”，然後單擊“運行”。出現“運行”對話框。
2. 鍵入 regedit，然後單擊“確定”。“註冊表編輯器”打開。
3. 導航至下列鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除下列值：
MSVXD
5. 單擊“註冊表”，然後單擊“退出”。
掃描和刪除受感染檔案：
1. 啟動 Symantec 防病毒軟體，並確保已將其配置為掃描所有檔案。
o Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
o Symantec 企業版防病毒產品：請閱讀文檔：如何確定 Symantec 企業版防病毒產品是否已設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果有任何檔案被檢測為感染了 W32.Datom.Worm，請單擊“刪除”。
4.
描述者： Peter Ferrie
