該蠕蟲利用不正確的 MIME 頭可能導致 IE 執行電子郵件附屬檔案（英文）漏洞，導致未安裝補丁程式的系統在閱讀或預覽受感染的郵件時自動執行該蠕蟲。
基本介紹
- 中文名：W32.Netsky.P@mm
- 類型：蠕蟲病毒
- 發現時間：2004.3.21
- 處理時間：2007.2.13
- 大小：29568b
- 影響系統：Windows 2000等
歷史,危害,注意事項,如何防護,威脅評估,執行的操作,建議,手動防毒,預防步驟,
歷史
發現：2004 年 3 月 21 日
更新：2007 年 2 月 13 日 12:22:50 PM
別名：W32.Netsky.Q@mm,W32/Netsky.p@MM [McAfee],Win32.Netsky.P [Computer Assoc,NetSky.P [F-Secure],W32/Netsky.P.worm [Panda],W32/Netsky-P [Sophos],WORM_NETSKY.P [Trend]
類型： Worm
感染長度：29,568 bytes
受感染的系統：Windows 2000,Windows 95,Windows 98,Windows Me,Windows NT,Windows Server 2003,Windows XP
CVE 參考：CVE-2001-0154
危害
由於提交率的提高，Symantec 安全回響中心自 2004 年 3 月 22 日起，將 W32.Netsky.P@mm 病毒的威脅級別從 2 級升級為 3 級。
W32.Netsky.P@mm（也叫 W32.Netsky.Q@mm）是一種群發郵件蠕蟲，它使用自己的 SMTP 引擎將自己傳送到在掃描硬碟和映射的驅動器時找到的電子郵件地址。此蠕蟲還試圖利用各種檔案共享程式、通過將自己複製到各個已分享檔案夾進行傳播。
電子郵件的“發件人”行具有欺騙性，“主題”行和郵件正文千變萬化。附屬檔案名稱的擴展名也不盡相同，如 .exe、.pif、.scr 或 .zip。
此威脅使用FSG 壓縮。
注意事項
o 支持禁止蠕蟲功能的 Symantec 單機版產品能夠自動檢測此威脅。
o 該蠕蟲的執行檔具有靜態 MD5 散列值 0x0A9FFA57D65083C92E0D3D69B00F2F0D。
o 日期為 2004 年 3 月 21 日或 22 日的快速發布定義可以將該威脅檢測為 W32.Netsky.Q@mm。
o 賽門鐵克安全回響已開發出可清除 W32.Netsky.P@mm 感染的防毒工具。
如何防護
* 病毒定義（每周 LiveUpdate™） 2004 年 3 月 22 日
* 病毒定義（智慧型更新程式） 2004 年 3 月 22 日
威脅評估
廣度
* 廣度級別：High
* 感染數量：50 - 999
* 站點數量：More than 10
* 地理位置分布：Medium
* 威脅抑制：Easy
* 清除：Moderate
損壞
* 損壞級別：Medium
* 大規模傳送電子郵件：Sends itself to the email addresses retrieved from the file system.
分發
* 分發級別：High
* 電子郵件的主題：Varies
* 附屬檔案名稱：Varies with the .exe,.pif,.scr,or .zip file extension.
* 附屬檔案大小：Varies
執行的操作
⒈ 創建互斥體“_-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_”，僅允許該蠕蟲的一個實例執行。
⒉ 將自身複製為 %Windir%\FVProtect.exe。
注意：%Windir% 是一個變數。該蠕蟲會找到 Windows 安裝資料夾（默認為 C:\Windows 或 C:\Winnt），然後將自身複製到其中。
⒊ 刪除下列檔案：
%Windir%\userconfig9x.dll
然後，該蠕蟲載入並執行此檔案。它具有一個靜態 MD5 散列值 0x3018E99857F31A59E0777396AE634A8F。
⒋ 創建下列檔案：
⒌ 將值：
"Norton Antivirus AV"="%Windir%\FVProtect.exe"
添加到註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
這樣，此蠕蟲便可在 Windows啟動時運行。
⒍ 刪除以下值：
* Explorer
* system.
* msgsvr32
* winupd.exe
* direct.exe
* jijbl
* service
* Sentry
這些值位於以下註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
⒎ 刪除以下值：
* system.
* Video
這些值位於以下註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
⒏ 刪除以下值：
* Explorer
* au.exe
* direct.exe
* d3dupdate.exe
* OLE
* gouday.exe
* rate.exe
* Taskmon
* Windows Services Host
* sysmon.exe
* srate.exe
* ssate.exe
* winupd.exe
這些值位於以下註冊表鍵：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
⒐ 刪除下列子鍵：
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\PINF
* HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WksPatch
* HKEY_CLASSES_ROOT\CLSID\CLSID\\InProcServer32
⒑ 掃描硬碟驅動器，查找包含以下字元串的資料夾：
* bear
* donkey
* download
* ftp
* htdocs
* http
* icq
* kazaa
* lime
* morpheus
* mule
* my shared folder
* shar
* shared files
* upload
且會將蠕蟲附加至以下檔案中：
* "1001 Sex and more.rtf.exe"
* "3D Studio Max 6 3dsmax.exe"
* "ACDSee 10.exe"
* "Adobe Photoshop 10 crack.exe"
* "Adobe Photoshop 10 full.exe"
* "Adobe Premiere 10.exe"
* "Ahead Nero 8.exe"
* "Altkins Diet.doc.exe"
* "American Idol.doc.exe"
* "Arnold Schwarzenegger.jpg.exe"
* "Best Matrix Screensaver new.scr"
* "Britney sex xxx.jpg.exe"
* "Britney Spears and Eminem porn.jpg.exe"
* "Britney Spears blowjob.jpg.exe"
* "Britney Spears cumshot.jpg.exe"
* "Britney Spears fuck.jpg.exe"
* "Britney Spears full album.mp3.exe"
* "Britney Spears porn.jpg.exe"
* "Britney Spears Sexy archive.doc.exe"
* "Britney Spears Song text archive.doc.ex"...
* "Britney Spears.jpg.exe"
* "Britney Spears.mp3.exe"
* "Clone DVD 6.exe"
* "Cloning.doc.exe"
* "Cracks & Warez Archiv.exe"
* "Dark Angels new.pif"
* "Dictionary English 2004 - France.doc.ex"...
* "DivX 8.0 final.exe"
* "Doom 3 release 2.exe"
* "E-Book Archive2.rtf.exe"
* "Eminem blowjob.jpg.exe"
* "Eminem full album.mp3.exe"
* "Eminem Poster.jpg.exe"
* "Eminem sex xxx.jpg.exe"
* "Eminem Sexy archive.doc.exe"
* "Eminem Song text archive.doc.exe"
* "Eminem Spears porn.jpg.exe"
* "Eminem.mp3.exe"
* "Full album all.mp3.pif"
* "Gimp 1.8 Full with Key.exe"
* "Harry Potter 1-6 book.txt.exe"
* "Harry Potter 5.mpg.exe"
* "Harry Potter all e.book.doc.exe"
* "Harry Potter e book.doc.exe"
* "Harry Potter game.exe"
* "Harry Potter.doc.exe"
* "How to hack new.doc.exe"
* "Internet Explorer 9 setup.exe"
* "Kazaa Lite 4.0 new.exe"
* "Kazaa new.exe"
* "Keygen 4 all new.exe"
* "Learn Programming 2004.doc.exe"
* "Lightwave 9 Update.exe"
* "Magix Video Deluxe 5 beta.exe"
* "Matrix.mpg.exe"
* "Microsoft Office 2003 Crack best.exe"
* "Microsoft WinXP Crack full.exe"
* "MS Service Pack 6.exe"
* "netsky source code.scr"
* "Norton Antivirus 2005 beta.exe"
* "Opera 11.exe"
* "Partitionsmagic 10 beta.exe"
* "Porno Screensaver britney.scr"
* "RFC compilation.doc.exe"
* "Ringtones.doc.exe"
* "Ringtones.mp3.exe"
* "Saddam Hussein.jpg.exe"
* "Screensaver2.scr"
* "Serials edition.txt.exe"
* "Smashing the stack full.rtf.exe"
* "Star Office 9.exe"
* "Teen Porn 15.jpg.pif"
* "The Sims 4 beta.exe"
* "Ulead Keygen 2004.exe"
* "Visual Studio Net Crack all.exe"
* "Win Longhorn re.exe"
* "WinAmp 13 full.exe"
* "Windows 2000 Sourcecode.doc.exe"
* "Windows 2003 crack.exe"
* "Windows XP crack.exe"
* "WinXP eBook newest.doc.exe"
* "XXX hardcore pics.jpg.exe"
⒒ 從驅動器 C 到 Z 上具有以下任意擴展名的的檔案中檢索電子郵件地址：
* .adb
* .asp
* .cgi
* .dbx
* .dhtm
* .doc
* .eml
* .htm
* .html
* .jsp
* .msg
* .oft
* .php
* .pl
* .rtf
* .sht
* .shtm
* .tbb
* .txt
* .uin
* .vbs
* .wab
* .wsh
* .xml
⒓ 使用自己的 SMTP 引擎將自身傳送到找到的電子郵件地址。
此類電子郵件具有以下特徵：
發件人：<欺騙性地址>
主題：（下面列出了可能的主題行）
o Re: Encrypted Mail
o Re: Extended Mail
o Re: Status
o Re: Notify
o Re: SMTP Server
o Re: Mail Server
o Re: Delivery Server
o Re: Bad Request
o Re: Failure
o Re: Thank you for delivery
o Re: Test
o Re: Administration
o Re: Message Error
o Re: Error
o Re: Extended Mail System
o Re: Secure SMTP Message
o Re: Protected Mail Request
o Re: Protected Mail System
o Re: Protected Mail Delivery
o Re: Secure delivery
o Re: Delivery Protection
o Re: Mail Authentification
o Mail Delivery (failure <；欺騙性地址>)
正文：（下面列出了可能的郵件正文）
o Please see the attached file for details
o Please read the attached file!
o Your document is attached.
o Please read the document.
o Your file is attached.
o Your document is attached.
o Please confirm the document.
o Please read the important document.
o See the file.
o Requested file.
o Authentication required.
o Your document is attached to this mail.
o I have attached your document.
o I have received your document. The corrected document is attached.
o Your document.
o Your details.
附屬檔案：（下面列出了可能的檔案名稱）
o document05
o websites03
o game_xxo
o your_document
後面跟著以下內容之一：
o .txt <；一長串空格>
o .doc <；一長串空格>
後面跟著以下擴展名之一：
o .exe
o .pif
o .scr
o .zip
如果附屬檔案的擴展名為 .exe、.scr 或 .pif，那么此附屬檔案是該蠕蟲的副本。如果擴展名為 .zip，那么此附屬檔案是包含該蠕蟲執行檔的 .zip 檔案..zip 檔案內的檔案名稱為以下之一：
o document.txt .exe
o data.rtf .scr
o details.txt .pif
⒔ 該蠕蟲避免向包含以下任意字元串的電子郵件地址傳送信息：
* @antivi
* @avp
* @bitdefender
* @fbi
* @f-pro
* @freeav
* @f-secur
* @kaspersky
* @mcafee
* @messagel
* @microsof
* @norman
* @norton
* @pandasof
* @skynet
* @sophos
* @spam
* @symantec
* @viruslis
* abuse@
* noreply@
* ntivir
* reports@
* spam@
Symantec Clientless VPN Gateway
Symantec Firewall/VPN 100/200 設備
為了降低進一步傳播的風險，請確保設定了規則，僅允許入站/出站郵件進出您的郵件伺服器。
Symantec Gateway Security 5400 系列設備和 Symantec Gateway Security v1.0
* 防病毒組件：針對 Symantec Gateway Security 防病毒引擎、用於防護 W32.Netsky.P 蠕蟲的更新程式現已可用。建議 Symantec Gateway Security 5xxx 用戶運行 LiveUpdate。
* IDS/IPS 組件：目前沒有針對該蠕蟲發布更新程式的計畫。
* 全面的應用程式檢查防火牆組件：默認情況下，Symantec 的全面應用程式檢查防火牆技術通過阻止受感染的系統直接向 Internet 傳送電子郵件來阻止 W32.Netsky.P@mm 蠕蟲傳播。
Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）.. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。執行取證分析並使用可靠的介質恢復計算機。
使用W32.Netsky防毒工具防毒
賽門鐵克安全回響中心開發了一種防毒工具，可用來清除 W32.Netsky.P@mm 感染。這是消除此威脅的最簡便方法，您可先運行防毒工具防毒。
手動防毒
⒈ 禁用系統還原 (Windows Me/XP）。
⒉ 更新病毒定義。
⒊ 將計算機重啟到安全模式或者 VGA 模式。
⒋ 運行完整的系統掃描，並刪除所有檢測為 W32.Netsky.P@mm 的檔案。
⒌ 刪除添加到註冊表的值。
預防步驟
⒈ 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。
此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
有關如何關閉系統還原功能的指導，請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
⒉ 更新病毒定義
賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
⒊ 將計算機重啟到安全模式或者 VGA 模式
請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機。
* Windows NT 4 用戶：將計算機重啟到 VGA 模式。
⒋ 掃描和刪除受感染檔案
⒈ 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
⒉ 運行完整的系統掃描。
⒊ 如果檢測到任何檔案被 W32.Netsky.P@mm 感染，請單擊“刪除”。
⒌ 從註冊表中刪除值
注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
⒈ 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
⒉ 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）
⒊ 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
⒋ 在右窗格中，刪除值：
"Norton Antivirus AV"="%Windir%\FVProtect.exe"
⒌ 退出註冊表編輯器。
描述者：Yuhui Huang
