标题：W32.Beagle.X@mm
病毒简介
发现： 2004 年 4 月 28 日　更新： 2007 年 2 月 13 日 12:24:18 PM
别名： I-Worm.Bagle.z [Kaspersky], WORM_BAGLE.Z [Trend], WORM_BAGLE.AA [Trend], WORM_BAGLE.AB [Trend], W32/Bagle.aa@MM [McAfee], W32/Bagle.ab@MM [McAfee], W32/Bagle-AA [Sophos], Win32.Bagle.X [Computer oci
类型: Worm
感染长度： varies
受感染的系统： Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows XP
W32.Beagle.X@mm 是一个群发邮件蠕虫。它会在受感染的计算机上打开后门，并试图通过邮件和文件共享网络进行传播。
此威胁可能使用 UPX 打包程序进行打包，在病毒代码结尾附加随机生成的数据，所以不具有 MD5 静态散列值。
蠕虫开始运行时，会出现对话框和显示下列消息：
Can't find a viewer associated with the file.
注意：
* 版本 60223g (延伸版本 2/23/2004 rev. 7) 或更新编号的快速发布定义将把该威胁检测为 Bloodhound.Packed。
* 版本 60428w (延伸版本 4/28/2004 rev. 23) 或更新编号的快速发布定义将把该威胁检测为 W32.Beagle.X@mm。
* Symantec 安全响应中心开发了一种杀毒工具，可用来清除 W32.Beagle.X@mm 感染。
防护
* 病毒定义（每周 LiveUpdate?） 2004 年 4 月 28 日
* 病毒定义（智能更新程序） 2004 年 4 月 28 日
威胁评估
广度* 广度级别： Medium
* 感染数量： More than 1000
* 站点数量： More than 10
* 地理位置分布： High
* 威胁抑制： Easy
* 清除： Moderate
损坏* 损坏级别： Medium
分发* 分发级别： High
W32.Beagle.X@mm 运行时会执行下列操作：
1. 显示下列消息：
2. 创建以下名称的七种互斥体，它们可阻止 W32.Netsky@mm 的一些变体的运行：
* MuXxXxTENYKSDesignedAsTheFollowerOfSkynet-D
* 'D'r'o'p'p'e'd'S'k'y'N'e't'
* _-oOaxX|-+S+-+k+-+y+-+N+-+e+-+t+-|XxKOo-_
* [SkyNet.cz]SystemsMutex
* AdmSkynetJklS003
* ____--->>>>U<<<<--____
* _-oO]xX|-S-k-y-N-e-t-|Xx[Oo-_
3. 删除下列值：
* "My AV"
* "Zone Labs Client Ex"
* "9XHtProtect"
* "Antivirus"
* "Special Firewall Service"
* "service"
* "Tiny AV"
* "ICQNet"
* "HtProtect"
* "NetDy"
* "Jammer2nd"
* "FirewallSvr"
* "MsInfo"
* "SysMonXP"
* "EasyAV"
* "PandaAVEngine"
* "Norton Antivirus AV"
* "KasperskyAVEng"
* "SkynetsRevenge"
* "ICQ Net"
从注册表键：
* HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
* HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 将自身复制为 %System%\Drvddll.exe。
注意：%System% 是一个变量。蠕虫会找到 System 文件夹，并将自身复制到其中。默认情况下，此文件夹为 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
5. 放入文件 %System%\Drvddll.exeopen，它是蠕虫的副本，且附加有随机数据。
6. 放入文件 %System%\Drvddll.exeopenopen。此文件可以为 .zip 文件、.vbs 文件、.cpl 文件、.hta 文件或该蠕虫本身。将根据文件类型执行以下一种操作：
* 如果文件是 .zip 文件，它将包含两个随机命名的文件。一个是 .exe 文件，另一个是扩展名为 .sys、.dat、.idx、.vxd、.vid 或 .dll 的文本文件。
* 如果文件是 .vbs 文件且被执行，它会将一个名为 vss_2.exe 的文件放入当前文件夹。
* 如果文件是 .cpl 文件且被执行，则它会将一个名为 cplstub.exe 的文件放入 %Windir% 文件夹。
* 如果文件是 .hta 文件且被执行，则它会将一个名为 qwrk.exe 的文件放入当前文件夹。
7. 放入文件 %System%\drvddl.exeopenopenopen。如果计算机中有 Gdiplus.dll 文件，此文件为 .jpg 或 .gif 文件。否则将为 .bmp 文件。
8. 放入文件 %System%\drvddl.exeopenopenopenopen。它是一个包含有六个随机字符的文本文件。
9. 如果系统日期是在 2005 年 1 月 25 日之后，则蠕虫会退出内存，并删除其注册表键及值：
HKEY_CURRENT_USER\SOFTWARE\Time
10. 新增下列值：
"Drvddll_exe"="%system%\drvddll.exe"
加入注册表键：
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
11. 打开 TCP 端口 2535，通过该端口可以对受感染的计算机进行未经授权的访问。
12. 扫描受感染计算机的固定驱动器。
13. 试图在受感染计算机中所有包含“shar”字符的文件夹下创建其自身的副本。文件将有以下文件名称：
* Microsoft Office 2003 Crack, Working!.exe
* Microsoft Windows XP, WinXP Crack, working Keygen.exe
* Microsoft Office XP working Crack, Keygen.exe
* Porno, sex, oral, anal cool, awesome!!.exe
* Porno Screensaver.scr
* Serials.txt.exe
* KAV 5.0
* Kaspersky Antivirus 5.0
* Porno pics arhive, xxx.exe
* Windows Sourcecode update.doc.exe
* Ahead Nero 7.exe
* Windown Longhorn Beta Leak.exe
* Opera 8 New!.exe
* XXX hardcore images.exe
* WinAmp 6 New!.exe
* WinAmp 5 Pro Keygen Crack Update.exe
* Adobe Photoshop 9 full.exe
* Matrix 3 Revolution English Subtitles.exe
* ACDSee 9.exe
14. 搜索本地磁盘驱动器，在具有以下扩展名的文件中查找电子邮件地址：
* .wab
* .txt
* .msg
* .htm
* .shtm
* .stm
* .xml
* .dbx
* .mbx
* .mdx
* .eml
* .nch
* .mmf
* .ods
* .cfg
* .asp
* .php
* .pl
* .wsh
* .adb
* .tbb
* .sht
* .xls
* .oft
* .uin
* .cgi
* .mht
* .dhtm
* .jsp
15. 通过使用其自带的 SMTP 引擎并直接与目标服务器通信，向搜索到的电子邮件地址发送电子邮件。
受感染的电子邮件具有下列特征：
发件人：<欺骗性>
正文：（下列之一）
* Re: Msg reply
* Re: Hello
* Re: Yahoo!
* Re: Thank you!
* Re: Thanks :)
* RE: Text message
* Re: Document
* Incoming message
* Re: Incoming Message
* RE: Incoming Msg
* RE: Message Notify
* Notification
* Changes..
* New changes
* Hidden message
* Fax Message Received
* Protected message
* RE: Protected message
* Forum notify
* Site changes
* Re: Hi
* Encrypted document
正文：
如果附件是一个 .zip 文件，则正文将包括以下消息之一：
* For security reasons attached file is password protected. The password is
* For security purposes the attached file is password protected. Password --
* Note: Use password
* Attached file is protected with the password for security reasons. Password is
* In order to read the attach you have to use the following password:
* Archive password:
* Password
* Password:
随后为放入的 drvddll.exeopenopen 映像文件的副本。
如果附件不是 .zip 文件，则正文为空。
附件：（下列之一）
* Information
* Details
* text_document
* Readme
* Document
* Info
* the_message
* Details
* MoreInfo
* Message
* You_will_answer_to_me
* Half_Live
* Counter_strike
* Loves_money
* the_message
* Alive_condom
* Joke
* Toy
* Nervous_illnesses
* Manufacture
* You_are_dismissed
* Your_complaint
* Your_money
* Smoke
* I_search_for_you
注意：
* 附件的扩展名与 Drvddll.exeopenopen 的文件类型相同。例如，如果将 Drddll.exeopenopen 作为 .zip 文件放入，则附件为 .zip 文件。
* 如果 Drddll.exeopenopen 是蠕虫自身，则扩展名为 .exe、.com 或 .scr。
16. 试图访问以下各域的 .php 脚本：
* http:/ /www.spiegel.de/
* http:/ /www.leipziger-messe.de/
* http:/ /www.mobile.de/
* http:/ /www.neformal.de/
* http:/ /www.avh.de/
* http:/ /www.goethe.de/
* http:/ /www.degruyter.de/
* http:/ /www.heise.de/
* http:/ /www.autoscout24.de/
* http:/ /www.russische-botschaft.de/
* http:/ /www.bmbf.de/
* http:/ /www.berlinale.de/
* http:/ /www.hamann-motorsport.de/
* http:/ /Spaceclub.de/
* http:/ /www.fracht-24.de/
* http:/ /www.loveparade.de/
* http:/ /www.dalnoboyshik.de/
* http:/ /www.deutschland.de/
* http:/ /www.ac-schnitzer.de/
* http:/ /abakan.strana.de/
* http:/ /www.emis.de/
* http:/ /www.dwd.de/
* http:/ /www.ifdesign.de/
* http:/ /www.beckers-systems.de/
* http:/ /www.pri-wo-hamburg.de/
* http:/ /virtualzone.de/
* http:/ /www.mitsumi.de/
* http:/ /www.fu-berlin.de/
* http:/ /www.nabu.de/
* http:/ /www.tekeli.de/
* http:/ /www.welt.de/
* http:/ /www.gospel-nations.de/
* http:/ /www.neznakomez.de/
* http:/ /www.tecchannel.de/
* http:/ /www.php-resource.de/
* http:/ /www.windac.de/
* http:/ /www.gsi.de/
* http:/ /www.turism.de/
* http:/ /jakimov.golos.de/
* http:/ /www.www.mirko-becker.gmxhome.de/
* http:/ /vg.xtonne.de/
* http:/ /www.go-amman.de/
* http:/ /3treepoint.com/
* http:/ /www.restarted-alliance.de/
* http:/ /2udar.ligakvn.de/
* http:/ /www.sprach-zertifikat.de/
* http:/ /www.dfg.de/
* http:/ /www.kliniken.de/
* http:/ /www.winfuture.de/
* http:/ /www.hamburg.de/
* http:/ /www.auma.de/
* http:/ /www.teac.de/
* http:/ /www.eumetsat.de/
* http:/ /www.documenta.de/
* http:/ /hardvision.ru/
* http:/ /www.bruecke-osteuropa.de/
* http:/ /www.mk-motorsport.de/
* http:/ /www.bundesregierung.de/
* http:/ /ditec.um.es/
* http:/ /www.insel-ruegen-hotel.de/
* http:/ /www.tib.uni-hannover.de/
* http:/ /www.chugai.de/
* http:/ /www.blauer-engel.de/
* http:/ /www.partner-inform.de/
* http:/ /mhv24.de/
* http:/ /villakinderbunt.de/
* http:/ /s318.evanzo-server.de/
* http:/ /andimeisslein.de/
* http:/ /tobimayer.de/
* http:/ /markusgimenez.de/
* http:/ /www.fiz-karlsruhe.de/
* http:/ /www.gdch.de/
* http:/ /www.intermatgmbh.de/
* http:/ /www.hotel-pension-spree.de/
* http:/ /vg.xtonne.de/
* http:/ /www.low-spirit.de/
* http:/ /www.red-dot.de/
* http:/ /www.fernuni-hagen.de/
* http:/ /www.ruletka.de/
* http:/ /www.deutsch-als-fremdsprache.de/
* http:/ /www.uni-oldenburg.de/
* http:/ /fotos.schneider.bards.de/
* http:/ /www.deutsches-museum.de/
* http:/ /www.de-bug.de/
* http:/ /www.uni-stuttgart.de/
* http:/ /www.embl-heidelberg.de/
* http:/ /www.mdz-moskau.de/
* http:/ /www.mitsubishi-evs.de/
* http:/ /www.siegenia-aubi.com/
* http:/ /www.cicv.fr/
* http:/ /www.paromi.de/
* http:/ /www.jura.uni-sb.de/
* http:/ /www.exactaudiocopy.de/
17. 试图终止具有以下名称的进程：
* AGENTSVR.EXE
* ANTI-TROJAN.EXE
* ANTI-TROJAN.EXE
* ANTIVIRUS.EXE
* ANTS.EXE
* APIMONITOR.EXE
* APLICA32.EXE
* APVXDWIN.EXE
* ATCON.EXE
* ATGUARD.EXE
* ATRO55EN.EXE
* ATUPDATER.EXE
* ATWATCH.EXE
* AUPDATE.EXE
* AUTODOWN.EXE
* AUTOTRACE.EXE
* AUTOUPDATE.EXE
* AVCONSOL.EXE
* AVGSERV9.EXE
* AVLTMAIN.EXE
* AVprotect9x.exe
* AVPUPD.EXE
* AVSYNMGR.EXE
* AVWUPD32.EXE
* AVXQUAR.EXE
* BD_PROFESSIONAL.EXE
* BIDEF.EXE
* BIDSERVER.EXE
* BIPCP.EXE
* BIPCPEVALSETUP.EXE
* BISP.EXE
* BLACKD.EXE
* BLACKICE.EXE
* BOOTWARN.EXE
* BORG2.EXE
* BS120.EXE
* CDP.EXE
* CFGWIZ.EXE
* CFGWIZ.EXE
* CFIADMIN.EXE
* CFIADMIN.EXE
* CFIAUDIT.EXE
* CFIAUDIT.EXE
* CFIAUDIT.EXE
* CFINET.EXE
* CFINET.EXE
* CFINET32.EXE
* CFINET32.EXE
* CLEAN.EXE
* CLEAN.EXE
* CLEANER.EXE
* CLEANER.EXE
* CLEANER3.EXE
* CLEANPC.EXE
* CLEANPC.EXE
* CMGRDIAN.EXE
* CMGRDIAN.EXE
* CMON016.EXE
* CMON016.EXE
* CPD.EXE
* CPF9X206.EXE
* CPFNT206.EXE
* CV.EXE
* CWNB181.EXE
* CWNTDWMO.EXE
* DEFWATCH.EXE
* DEPUTY.EXE
* DPF.EXE
* DPFSETUP.EXE
* drvsys.exe
* DRWATSON.EXE
* DRWEBUPW.EXE
* ENT.EXE
* ESCANH95.EXE
* ESCANHNT.EXE
* ESCANV95.EXE
* EXANTIVIRUS-CNET.EXE
* FAST.EXE
* FIREWALL.EXE
* FLOWPROTECTOR.EXE
* FP-WIN_TRIAL.EXE
* FRW.EXE
* FSAV.EXE
* FSAV530STBYB.EXE
* FSAV530WTBYB.EXE
* FSAV95.EXE
* GBMENU.EXE
* GBPOLL.EXE
* GUARD.EXE
* GUARDDOG.EXE
* HACKTRACERSETUP.EXE
* HTLOG.EXE
* HWPE.EXE
* IAMAPP.EXE
* IAMAPP.EXE
* IAMSERV.EXE
* ICLOAD95.EXE
* ICLOADNT.EXE
* ICMON.EXE
* ICSSUPPNT.EXE
* ICSUPP95.EXE
* ICSUPP95.EXE
* ICSUPPNT.EXE
* IFW2000.EXE
* IPARMOR.EXE
* IRIS.EXE
* JAMMER.EXE
* KAVLITE40ENG.EXE
* KAVPERS40ENG.EXE
* KERIO-PF-213-EN-WIN.EXE
* KERIO-WRL-421-EN-WIN.EXE
* KERIO-WRP-421-EN-WIN.EXE
* KILLPROCESSSETUP161.EXE
* LDPRO.EXE
* LOCALNET.EXE
* LOCKDOWN.EXE
* LOCKDOWN2000.EXE
* LSETUP.EXE
* LUALL.EXE
* LUCOMSERVER.EXE
* LUINIT.EXE
* MCAGENT.EXE
* MCUPDATE.EXE
* MCUPDATE.EXE
* MFW2EN.EXE
* MFWENG3.02D30.EXE
* MGUI.EXE
* MINILOG.EXE
* MOOLIVE.EXE
* MRFLUX.EXE
* MSCONFIG.EXE
* MSINFO32.EXE
* MSSMMC32.EXE
* MU0311AD.EXE
* NAV80TRY.EXE
* NAVAPW32.EXE
* NAVDX.EXE
* NAVSTUB.EXE
* NAVW32.EXE
* NC2000.EXE
* NCINST4.EXE
* NDD32.EXE
* NEOMONITOR.EXE
* NETARMOR.EXE
* NETINFO.EXE
* NETMON.EXE
* NETSCANPRO.EXE
* NETSPYHUNTER-1.2.EXE
* NETSTAT.EXE
* NISSERV.EXE
* NISUM.EXE
* NMAIN.EXE
* NORTON_INTERNET_SECU_3.0_407.EXE
* NPF40_TW_98_NT_ME_2K.EXE
* NPFMESSENGER.EXE
* NPROTECT.EXE
* NSCHED32.EXE
* NTVDM.EXE
* NUPGRADE.EXE
* NVARCH16.EXE
* NWINST4.EXE
* NWTOOL16.EXE
* OSTRONET.EXE
* OUTPOST.EXE
* OUTPOSTINSTALL.EXE
* OUTPOSTPROINSTALL.EXE
* PADMIN.EXE
* PANIXK.EXE
* PAVPROXY.EXE
* PCC2002S902.EXE
* PCC2K_76_1436.EXE
* PCCIOMON.EXE
* PCDSETUP.EXE
* PCFWALLICON.EXE
* PCFWALLICON.EXE
* PCIP10117_0.EXE
* PDSETUP.EXE
* PERISCOPE.EXE
* PERSFW.EXE
* PF2.EXE
* PFWADMIN.EXE
* PINGSCAN.EXE
* PLATIN.EXE
* POPROXY.EXE
* POPSCAN.EXE
* PORTDETECTIVE.EXE
* PPINUPDT.EXE
* PPTBC.EXE
* PPVSTOP.EXE
* PROCEXPLORERV1.0.EXE
* PROPORT.EXE
* PROTECTX.EXE
* PSPF.EXE
* PURGE.EXE
* PVIEW95.EXE
* QCONSOLE.EXE
* QSERVER.EXE
* RAV8WIN32ENG.EXE
* REGEDIT.EXE
* REGEDT32.EXE
* RESCUE.EXE
* RESCUE32.EXE
* RRGUARD.EXE
* RSHELL.EXE
* RTVSCN95.EXE
* RULAUNCH.EXE
* SAFEWEB.EXE
* SBSERV.EXE
* SD.EXE
* SETUP_FLOWPROTECTOR_US.EXE
* SETUPVAMEEVAL.EXE
* SFC.EXE
* SGSSFW32.EXE
* SH.EXE
* SHELLSPYINSTALL.EXE
* SHN.EXE
* SMC.EXE
* SOFI.EXE
* SPF.EXE
* SPHINX.EXE
* SPYXX.EXE
* SS3EDIT.EXE
* ST2.EXE
* SUPFTRL.EXE
* SUPPORTER5.EXE
* SYMPROXYSVC.EXE
* SYSEDIT.EXE
* TASKMON.EXE
* TAUMON.EXE
* TAUSCAN.EXE
* TC.EXE
* TCA.EXE
* TCM.EXE
* TDS2-98.EXE
* TDS2-NT.EXE
* TDS-3.EXE
* TFAK5.EXE
* TGBOB.EXE
* TITANIN.EXE
* TITANINXP.EXE
* TRACERT.EXE
* TRJSCAN.EXE
* TRJSETUP.EXE
* TROJANTRAP3.EXE
* UNDOBOOT.EXE
* UPDATE.EXE
* VBCMSERV.EXE
* VBCONS.EXE
* VBUST.EXE
* VBWIN9X.EXE
* VBWINNTW.EXE
* VCSETUP.EXE
* VFSETUP.EXE
* VIRUSMDPERSONALFIREWALL.EXE
* VNLAN300.EXE
* VNPC3000.EXE
* VPC42.EXE
* VPFW30S.EXE
* VPTRAY.EXE
* VSCENU6.02D30.EXE
* VSECOMR.EXE
* VSHWIN32.EXE
* VSISETUP.EXE
* VSMAIN.EXE
* VSMON.EXE
* VSSTAT.EXE
* VSWIN9XE.EXE
* VSWINNTSE.EXE
* VSWINPERSE.EXE
* W32DSM89.EXE
* W9X.EXE
* WATCHDOG.EXE
* WEBSCANX.EXE
* WGFE95.EXE
* WHOSWATCHINGME.EXE
* WHOSWATCHINGME.EXE
* WINRECON.EXE
* WNT.EXE
* WRADMIN.EXE
* WRCTRL.EXE
* WSBGATE.EXE
* WYVERNWORKSFIREWALL.EXE
* XPF202EN.EXE
* ZAPRO.EXE
* ZAPSETUP3001.EXE
* ZATUTOR.EXE
* ZAUINST.EXE
* ZONALM2601.EXE
* ZONEALARM.EXE
Symantec Gateway Security 5400 系列设备和 Symantec Gateway Security v1.0
* 防病毒组件：针对 Symantec Gateway Security 防病毒引擎、用于防护 W32.Beagle.X 蠕虫的更新程序现已可用。建议 Symantec Gateway Security 5000 系列用户运行 LiveUpdate。
* IDS/IPS 组件：目前没有针对该蠕虫发布更新程序的计划。
* 全面的应用程序检查防火墙组件：默认情况下，Symantec 的全面应用程序检查防火墙技术，通过阻止攻击者用TCP/2535后门程序访问受感染的系统，来阻止W32.Beagle.X@mm 蠕虫传播。建议管理员确保安全策略未修改，来防止允许 TCP/2535 入站通信。
如使用策略向导设置，安全网关创建的 SMTP 规则会阻止受感染的系统直接向 Internet 发送电子邮件。
Symantec Enterprise Firewall 8.0
默认情况下，Symantec 的全面应用程序检查防火墙技术，通过阻止攻击者用TCP/2535后门程序访问受感染的系统，来阻止W32.Beagle.X@mm 蠕虫传播。建议管理员确保安全策略未修改，来防止允许 TCP/2535 入站通信。
如使用策略向导设置，安全网关创建的 SMTP 规则会阻止受感染的系统直接向 Internet 发送电子邮件。
Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5
默认情况下，Symantec 的全面应用程序检查防火墙技术，通过阻止攻击者用TCP/2535后门程序访问受感染的系统，来阻止W32.Beagle.X@mm 蠕虫传播。建议管理员确保安全策略未修改，来防止允许 TCP/2535 入站通信。
如使用 SMTP向导设置，安全网关创建的 SMTP 规则会阻止受感染的系统直接向 Internet 发送电子邮件。
Symantec Clientless VPN Gateway 4400 系列
Symantec Clientless VPN Gateway v5.0 不会受此威胁的感染。 为了降低进一步传播的风险，还应该设置规则，仅允许经过授权的远程用户访问您的内部邮件服务器。
Symantec Gateway Security 300 系列
默认情况下，Symantec 的全面应用程序检查防火墙技术，通过阻止攻击者用TCP/2535后门程序访问受感染的系统，来阻止W32.Beagle.X@mm 蠕虫传播。建议管理员确保安全策略未修改，来防止允许 TCP/2535 入站通信。为了降低进一步传播的风险，请使用 SGS 300 系列的 AVpe 功能，以确保所有 AV 客户有最新病毒定义。
Symantec Firewall/VPN 100/200 系列
默认情况下，Symantec 的全面应用程序检查防火墙技术，通过阻止攻击者用TCP/2535后门程序访问受感染的系统，来阻止W32.Beagle.X@mm 蠕虫传播。建议管理员确保安全策略未修改，来防止允许 TCP/2535 入站通信。
建议
赛门铁克安全响应中心建议所有用户和管理员遵循以下基本安全“最佳实践”：
* 禁用并删除不需要的服务。 默认情况下，许多操作系统会安装不必要的辅助服务，如 FTP 服务器、telnet 和 Web 服务器。这些服务可能会成为攻击所利用的途径。 如果将这些服务删除，混合型威胁的攻击途径会大为减少，同时您的维护工作也会减少，只通过补丁程序更新即可完成。
* 如果混合型威胁攻击了一个或多个网络服务，则在应用补丁程序之前，请禁用或禁止访问这些服务。
* 始终安装最新的补丁程序，尤其是那些提供公共服务而且可以通过防火墙访问的计算机，如 HTTP、FTP、邮件和 DNS 服务（例如，所有基于 Windows 的计算机上都应该安装最新的 Service Pack）。. 另外，对于本文中、可靠的安全公告或供应商网站上公布的安全更新，也要及时应用。
* 强制执行密码策略。 复杂的密码使得受感染计算机上的密码文件难以破解。这样会在计算机被感染时防止或减轻造成的损害。
* 配置电子邮件服务器以禁止或删除带有 vbs、.bat、.exe、.pif 和 .scr 等附件的邮件，这些文件常用于传播病毒。
* 迅速隔离受感染的计算机，防止其对企业造成进一步危害。 执行取证分析并使用可靠的介质恢复计算机。
* 教育员工不要打开意外收到的附件。 并且只在进行病毒扫描后才执行从互联网下载的软件。如果未对某些浏览器漏洞应用补丁程序，那么访问受感染的网站也会造成病毒感染。
使用 W32.Bealge@mm 杀毒工具杀毒
赛门铁克安全响应中心已经创建了用来杀除 W32.Beagle.X@mm 的杀毒工具。这是消除此威胁的最简便方法。
手动杀毒
以下指导适用于所有当前和最新的赛门铁克防病毒产品，包括 Symantec AntiVirus 和 Norton AntiVirus 系列产品。
1. 关闭「系统还原」(Windows Me/XP)。
2. 更新病毒定义。
3. 将计算机重启到安全模式或者 VGA 模式。
4. 运行完整的系统扫描，并删除所有检测为 W32.Beagle.X@mm 的文件。
5. 恢复注册表的值。
有关每个步骤的详细信息，请阅读以下指导。
1. 禁用系统还原
如果您运行的是 Windows Me 或 Windows XP，建议您暂时关闭“系统还原”。此功能默认情况下是启用的，一旦计算机中的文件被破坏，Windows 可使用该功能将其还原。如果病毒、蠕虫或特洛伊木马感染了计算机，则系统还原功能会在该计算机上备份病毒、蠕虫或特洛伊木马。
Windows 禁止包括防病毒程序在内的外部程序修改系统还原。因此，防病毒程序或工具无法删除 System Restore 文件夹中的威胁。这样，系统还原就可能将受感染文件还原到计算机上，即使您已经清除了所有其他位置的受感染文件。此外，病毒扫描可能还会检测到 System Restore 文件夹中的威胁，即使您已将该威胁删除。
有关如何关闭系统还原功能的指导，请参阅 Windows 文档或下列文章之一：
* 如何禁用或启用 Windows XP 系统还原
* 如何禁用或启用 Windows Me 系统还原
注意：蠕虫移除干净后，请按照上述文章所述恢复系统还原的设置。
有关详细信息以及禁用 Windows Me 系统还原的其他方法，请参阅 Microsoft 知识库文章：病毒防护工具无法清除 _Restore 文件夹中受感染的文件，文章 ID：CH263455。
2. 更新病毒定义
赛门铁克安全响应中心在我们的服务器上发布任何病毒定义之前，会对其进行全面测试以保证质量。可以通过两种方式获得最新的病毒定义：
* 运行 LiveUpdate（这是获取病毒定义的最简便方法）：这些病毒定义被每周一次（通常在星期三）发布到 LiveUpdate 服务器上，除非出现大规模的病毒爆发情况。要确定是否可通过 LiveUpdate 获取此威胁的定义，请参考病毒定义 (LiveUpdate)。
* 使用智能更新程序下载病毒定义：智能更新程序病毒定义会在工作日（美国时间，星期一至星期五）发布。应该从赛门铁克安全响应中心网站下载病毒定义并手动进行安装。要确定是否可通过智能更新程序获取此威胁的定义，请参考病毒定义（智能更新程序）。
现在提供智能更新程序病毒定义：有关详细说明，请参阅如何使用智能更新程序更新病毒定义文件。
3. 将计算机重启到安全模式或者 VGA 模式
请关闭计算机，等待至少 30 秒钟后重新启动到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用户：将计算机重启到安全模式。所有 Windows 32-bit 操作系统，除了Windows NT，可以被重启到安全模式。更多信息请参阅文档 如何以安全模式启动计算机 。
* Windows NT 4 用户：将计算机重启到 VGA 模式。
4. 扫描和删除受感染文件
1. 启动 Symantec 防病毒程序，并确保已将其配置为扫描所有文件。
* Norton AntiVirus 单机版产品：请阅读文档：如何配置 Norton AntiVirus 以扫描所有文件。
* 赛门铁克企业版防病毒产品：请阅读 如何确定 Symantec 企业版防病毒产品被设置为扫描所有文件。
2. 运行完整的系统扫描。
3. 如果检测到任何文件被 W32.Beagle.X@mm 感染，请单击“删除”。
5. 恢复注册表中的值
注意：对系统注册表进行任何修改之前，赛门铁克强烈建议您最好先替注册表进行一次备份。对注册表的修改如果有任何差错，严重时将会导致数据遗失或档案受损。只修改指定的注册表键。如需详细指示，请阅读「如何备份 Windows 注册表」文件。
1. 单击“开始”，然后单击“运行”。（将出现“运行”对话框。）
2. 键入 regedit 然后单击“确定”。（将打开注册表编辑器。）
3. 导航至以下键：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，删除值：
"Drvddll_exe"="%system%\drvddll.exe"
5. 退出注册表编辑器。
6. 以正常模式重新启动计算机。更多信息请参阅文档 如何以安全模式启动计算机 内如何以正常模式重新启动计算机一节。