冠群金辰：病毒Win32.Bagle.V完全解析

【赛迪网讯】病毒名：Win32.Bagle.V

别名： W32/Bagle.u@MM, Win32/Bagle.Variant.Worm, W32.Beagle.U@mm

类别：Win32

类型：蠕虫

传播性：低

破坏性：低

普及性：高

特征：是一种通过邮件传播的蠕虫。他是通过题目空白和内容空白的邮件进行传播的。附件的名称一般是game.exe。他相当于一个8，208字节的FSG压缩可执行文件。

感染方式：

病毒运行的时候，他拷贝自己到：

%System%\sysinfo.exe

每次Windows运行的时候它拷贝自己到：HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysinfo.exe "%System%\sysinfo.exe"

注释：’%system’是一个可变的目录。蠕虫根据被感染机器的操作系统决定当前的系统文件夹。默认情况下， WIN2000和NT的安装位置是C:\WINNT\SYSTEM32 ;95,98和ME的是c:\windows\system;xp的是c:\windows\systm32.

这个病毒通常书写两个注册键值：

HKCU\SOFTWARE\Windows2005\fr1n = 1

HKCU\SOFTWARE\Windows2005\gsed =

当系统第一次执行这个病毒的时候，他的文件名是“dreder.exe”。以确保它存在于系统中。

传播方式：

病毒可以随着邮件的空白题目和空白内容的邮件传播，附件的名字一般是game.exe，以感染打开附件的系统。

看下面感染病毒邮件的例子：

发送病毒自带的SMTP代码搜索当地的邮件服务器。一般搜索这样的扩展名：

.adb/.asp/.cfg/.cgi/.dbx/.dhtm/.eml/.htm/.jsp/.mbx/.mdx/.mht/.mmf/.msg/.nch/.ods/.oft/.php

.pl/.sht/.shtm/.stm/.tbb/.txt/.uin/.wab/.wsh/.xls/.xml

它会避免搜索以下扩展名的地址：

@avp./@Microsoft

危害：

Bagle.V会打开4751后门程序端口，允许远程机器连接。 他会自动运行。

书写和发送文件到Windows路径，然后执行他。

书写和发送文件到Windows路径，然后病毒自动更新转换为“-usd”。

可以删除书写和运行的批处理文件A.BAT。

它通告通过非法途径而存在的人,发送总站数和在HKCU\SOFTWARE\WINDOW2005\GSDE方面有价值的可发送到"HTTP://WWW.WERDE.DE/5.PHP"

检测清除：

2005年1月1日以后，这个蠕虫病毒会自动停止传播。

病毒执行时会显示