介紹
發現： 2003 年 2 月 24 日
更新： 2007 年 2 月 13 日 11:43:50 AM
別名： WORM_LOVGATE.C 【Trend】, Win32/Lovgate.C@mm 【RAV】, W32/Lovgate.c@M 【McAfee】, I-Worm.Supnot.c 【KAV】, W32/Lovgate-B 【Sophos】, Win32.Lovgate.C 【CA】
類型: Worm
感染長度： 78,848 Bytes
受感染的系統： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP
W32.HLLW.Lovgate.C@mm 是 W32.HLLW.Lovgate@mm 的變種。 此蠕蟲包含大量群發郵件攻擊和後門程式功能。
為了將自己傳播，此蠕蟲會試圖回應 MAPI-compliant 郵件客戶端（如 Microsoft Outlook）信箱所收到的郵件。W32.HLLW.Lovgate.C@mm 以此仿效郵件用戶自動回應功能，誘騙寄件用戶打開由被感染計算機所回復的郵件。
W32.HLLW.Lovgate@mm 與此變種並沒有主要功能上的不同。此變種經由一個不同的編譯器重新編譯，並與 W32.HLLW.Lovgate@mm 使用同一壓縮工具。
注意: 2003 年 2 月 23 日以前的病毒定義會將此威脅確認為 W32.HLLW.Lovgate@mm。2003 年 2 月 24 日及以後的病毒定義會將此威脅確認為W32.HLLW.Lovgate.C@mm。
防護
* 病毒定義（每周 LiveUpdate™） 2003 年 2 月 24 日
* 病毒定義（智慧型更新程式） 2003 年 2 月 24 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： 50 - 999
* 站點數量： More than 10
* 地理位置分布： Medium
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Medium
分發
* 分發級別： High
* 電子郵件的主題： Chosen from a pre-defined list
* 附屬檔案名稱： Chosen from a pre-defined list
* 附屬檔案大小： 78,848 Bytes
* 連線埠： TCP 10168, 1192, 20168
當 W32.HLLW.Lovgate.C@mm 運行時，會有以下活動：
1. 以下列之一為檔案名稱將自身複製到 %System% 檔案夾：
* WinRpcsrv.exe
* Syshelp.exe
* Winrpc.exe
* wingate.exe
* Rpcsrv.exe
注意： %System% 是一個變數。蠕蟲會找到並複製自己到系統 System（系統）資料夾。默認位置為 C:\Windows\System (Windows 95/98/Me)，C:\Winnt\System32 (Windows NT/2000)，或 C:\Windows\System32 (Windows XP)。
2. 如果受感染的計算機運行Windows 95/98/Me，會將
run=rpcsrv.exe
加入到 Win.ini 檔案的 【windows】 部分。
3. 將下列檔案複製到 %System% 資料夾後運行它們：
* ily.dll
* Task.dll
* Reg.dll
* 1.dll
注意：這些檔案是 W32.HLLW.Lovgate.C@mm 的後門特洛伊木馬程式部分。賽門鐵克防病毒產品將它們識別為 Backdoor.Trojan。
4. 將下列值：
syshelp %system%\syshelp.exe
WinGate initialize %system%\WinGate.exe -remoteshell
Module Call initialize RUNDLL32.EXE reg.dll ondll_reg
加入註冊鍵：
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
5. 將下面註冊鍵的默認值：
HKEY_CLASS_ROOT\txtfile\shell\open\command
改為:
winrpc.exe %1
6. 將其本身以下列檔案名稱複製到所有的網路已分享檔案夾及其子資料夾：
* Pics.exe
* Images.exe
* Joke.exe
* Pspgame.exe
* News_doc.exe
* Hamster.exe
* Tamagotxi.exe
* Searchurl.exe
* Setup.exe
* Card.exe
* Billgt.exe
* Midsong.exe
* S3msong.exe
* Docs.exe
* Humor.exe
* fun.exe
7. 監聽 TCP 10168 埠上的通訊並用電子郵件通知駭客。 此蠕蟲有例行密碼確認。 在鍵入正確密碼後，蠕蟲將為駭客打開命令解釋程式。
8. 搜尋下列檔案夾
* .\ (這是蠕蟲執行的資料夾)
* winpath\
* 下列註冊鍵值中列出的資料夾：
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Shell Folders\Personal
9. 若蠕蟲在之前提到的資料夾中找到任何擴展名以”ht”開頭的檔案，它將會試圖從這些檔案取得其中的電子郵件地址，編寫一個含有 W32.HLLW.Lovegate.C@mm 感染附屬檔案的電子郵件，並將其寄到在這些 .ht* 檔案中找到的地址。
10. 當它們進入 MAPI-compliant 郵件客戶端（如 Microsoft Outlook）信箱時會試圖回復其中收到的所有郵件。由於程式原始碼中的一個錯誤，電子郵件可能不會被成功送出。
若原始郵件為：
主題: <subject>
發件人: <username>@<hostname>
郵件正文: <original message body>
蠕蟲會試圖發出下列郵件：
主題: Re: <subject>
收件人: SMTP:<someone>@<somewhere.com>
郵件正文:
'<someone>' wrote:
===
> <original message body>
>
===
<somewhere.com> account auto-reply:
' I'll try to reply as soon as possible.
Take a look to the attachment and send me your opinion! '
> Get your FREE <somewhere.com> account now! <
電子郵件附屬檔案檔案名稱清單與其在網路中傳播時使用的檔案名稱清單一樣，其檔案名稱會是下列之一：
o Pics.exe
o Images.exe
o Joke.exe
o Pspgame.exe
完整的清單見本部分的步驟 6。
NT/2000/XP 上的額外活動
如果受感染的電腦運行 Windows NT, 2000, 或 XP，蠕蟲會執行下列操作：
1. 複製自身為 %System%\Ssrv.exe。
注意： %System% 是一個變數。蠕蟲會找到並複製自己到系統（System）資料夾。默認位置為 C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000)，或 C:\Windows\System32 (Windows XP)。
2. 創建下列註冊鍵：
HKEY_LOCAL_MACHINE\Software\KittyXP.sql\Install
3. 將下列值：
run rpcsrv.exe
加入註冊鍵：
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
4. 如果蠕蟲探測到進程 "LSASS.EXE"，它會試圖在該進程中創建一個遠端執行緒並將其加入該進程。
5. 將後門特洛伊木馬程式以 "Windows Management Extension" 服務的形式打開。
6. 在本地網路上掃描所有計算機，並使用下列密碼來試圖以 "administrator" (系統管理員）身份登錄。
* <empty.password>
* 123
* 321
* 123456
* 654321
* guest
* administrator
* admin
* 111111
* 666666
* 888888
* abc
* abcdef
* abcdefg
* 12345678
* abc123
注意： <empty.password> 是個變數，表示密碼為空。
7. 如果蠕蟲成功登錄到遠端計算機，它會將自己複製為：
\\<remote.computer.name>\admin$\system32\stg.exe
然後，它會試圖以 "MICROSOFT NETWORK Services FireWall" 服務的形式在遠端計算機上打開檔案。
注意： <remote.computer.name> 是個變數，表示遠端計算機的名稱。
電子郵件例程詳細信息
為了複製，蠕蟲使用本身的 SMTP 服務來建立電子郵件信息，並將感染的附屬檔案加入電子郵件後大量寄出。寄出的信息會是下列之一：
主題： Documents
附屬檔案： Docs.exe
郵件正文： Send me your comments...
或：
主題: Roms
附屬檔案： Roms.exe
郵件正文： Test this ROM! IT ROCKS!.
或：
主題: Pr0n!
附屬檔案： Sex.exe
郵件正文： Adult content!!! Use with parental advisory.
或：
主題: Evaluation copy
附屬檔案： Setup.exe
郵件正文： Test it 30 days for free.
或：
主題: Help
附屬檔案： Source.exe
郵件正文:: I'm going crazy... please try to find the bug!
或：
主題: Beta
附屬檔案： _SetupB.exe
郵件正文：Send reply if you want to be official beta tester.
或：
主題: Do not release
附屬檔案：Pack.exe
郵件正文： This is the pack ;)
或：
主題: Last Update
附屬檔案：LUPdate.exe
郵件正文：This is the last cumulative update.
或：
主題: The patch
附屬檔案： Patch.exe
郵件正文:: I think all will work fine.
或：
主題: Cracks!
附屬檔案：CrkList.exe
郵件正文：Check our list and mail your requests!
Symantec Manhunt
為了將此威脅檢測為 W32.HLLW.Lovgate.C@mm, 賽門鐵克建議 Symantec ManHunt 用戶開啟 HYBRID MODE 功能並使用下列定製的規則：
*******************start file********************
alert tcp any 10168 -> any any (msg:"W32.HLLW.Lovgate.C@mm backdoor login attempt"; content:"Sorry, Your PassWord Not Right.";)
*************EOF*********************
將顯示駭客不成功的侵入嘗試，而
*******************start file********************
alert tcp any 10168 -> any any (msg:"W32.HLLW.Lovgate.C@mm backdoor login success"; content:"OK! Please Enter:";)
*************EOF*********************
將顯示駭客成功的登錄嘗試。 更多關於如何創建定製簽名的信息請參閱 "Symantec ManHunt Administrative Guide: Appendix A Custom Signatures for HYBRID Mode."
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
* 教育員工不要打開意外收到的附屬檔案。 並且只在進行病毒掃描後才執行從網際網路下載的軟體。如果未對某些瀏覽器漏洞套用補丁程式，那么訪問受感染的網站也會造成病毒感染。
使用 W32.HLLW.Lovgate.C@mm 防毒工具這是最簡單快速的方法。單擊這裡獲取防毒工具。
手動刪除
作為防毒工具的替代，您也可以依照下列說明手動刪除。
以下指導適用於所有當前和最新的 Symantec 防病毒產品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列產品。
1. 撤消蠕蟲對註冊表所做的更改。
2. 刪除加入到檔案 Win.ini 中的內容（僅適用於 Windows 95/98/Me）。
3. 重新啟動計算機。
4. 更新病毒定義。
5. 運行完整的系統掃描，並刪除所有檢測為W32.HLLW.Lovgate.C@mm 或 Backdoor.Trojan 的檔案。
有關每個步驟的詳細信息，請閱讀以下指導。
1. 撤消蠕蟲對註冊表所做的更改
警告： Symantec 強烈建議在更改註冊表之前先進行備份。 錯誤地更改註冊表可能導致數據永久丟失或檔案損壞。 應只修改指定的鍵。 有關指導請參閱文檔：如何備份 Windows 註冊表。
1. 單擊“開始”，然後單擊“運行”。 （將出現“運行”對話框。）
2. 鍵入
regedit
然後單擊“確認”。 （註冊表編輯器打開。）
3. 瀏覽到註冊鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除下列值：
syshelp
WinGate initialize
Module Call initialize
5. 瀏覽到註冊鍵：
HKEY_CLASS_ROOT\txtfile\shell\open\command
6. 在右窗格中，將（默認）值改為：
notepad.exe %1
7. 瀏覽到註冊鍵：
HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
8. 在右窗格中，刪除值： run
9. 刪除值：
HKEY_LOCAL_MACHINE\Software\KittyXP.sql
10. 退出註冊表編輯器。
2. 刪除加入到檔案 Win.ini 中的內容（僅適用於 Windows 95/98/Me）
如果使用的是 Windows 95/98/Me，請執行下列操作：
1. 操作取決於你的作業系統：
* Windows 95/98： 請跳至步驟 b。
* Windows Me： 如果你運行 Windows Me， Windows Me 檔案保護程式可能已經為 Win.ini 創建了一個備份。如果該備份存在，它會位於 C:\Windows\Recent folder. 賽門鐵克建議在繼續下一部分中的操作之前刪除此檔案。 請執行下列操作：
o 啟動 Windows 資源管理器。
o 瀏覽並選中資料夾C:\Windows\Recent。
o 在右窗格中，選中 Win.ini file 後將其刪除。Win.ini 會在步驟 f 你保存對其的改動時重新產生。
2. 單擊“開始”，然後單擊“運行”。
3. 鍵入以下內容，然後單擊“確定”：
edit c:\windows\win.ini
（MS-DOS 編輯器打開。）
注意： 如果 Windows 安裝在其它位置，請用相應的路徑代替。
4. 在檔案的 【windows】 部分，查找與下列顯示相似的項：
run=rpcsrv.exe
5. 如果該行存在，選中文本。 確認你沒有選擇檔案中其它內容後，按 Delete。
6. 單擊“檔案”，然後單擊“保存”。
7. 單擊 File，然後單擊 Exit。
3. 重新啟動計算機。
按照一般步驟啟動計算機。
4. 更新病毒定義
Symantec 安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。 可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate，這是獲得病毒定義最簡便的方法。如果未出現重大的病毒爆發情況，這些病毒定義會在 LiveUpdate 伺服器上每周發布一次（一般為星期三）。 要確定是否可以通過 LiveUpdate 獲得解決該威脅的病毒定義，請見本說明頂部“防護”部分的病毒定義 (LiveUpdate) 部分。
* 使用“智慧型更新程式”下載病毒定義。 “智慧型更新程式”病毒定義會在美國工作日（周一至周五）發布。 您應當從 Symantec 安全回響中心網站下載定義並手動安裝它們。 要確定是否可以通過“智慧型更新程式”獲得解決該威脅的病毒定義，請見本說明頂部的病毒定義（智慧型更新程式）部分。
智慧型更新程式病毒定義可從這裡獲得。若要了解如何從賽門鐵克安全回響中心下載和安裝智慧型更新程式病毒定義，請單擊這裡。
5. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
o Norton AntiVirus 單機版產品： NAV 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
o 賽門鐵克企業版防病毒產品： NAV 企業版產品：請閱讀“如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案”。
2. 運行完整的系統掃描。
3. 如果有任何檔案被檢測為感染了W32.HLLW.Lovgate.C@mm 或 Backdoor.Trojan，請單擊“刪除”。
描述者： Tony Conneff
