國家病毒應急中心捕獲：Worm_Bagle.Be

類型：蠕蟲 | 平台：Win 95/98/Me/NT/2000/XP | 大小：34,304 Bytes | 危害：較早期變種顯著升級。

六大核心惡意行為

1. 生成雙文件互備：
   — %System%\WIWSHOST.EXE（釋放器）
   — %System%\WINSHOST.EXE（主體）
   釋放器將主體注入 EXPLORER.EXE 進程隱藏運行。
   %System% 路徑：9x/Me→C:\Windows\System，NT/2000→C:\Winnt\System32，XP→C:\Windows\System32。
2. 雙重註冊表自啟：
   HKCU\Software\Microsoft\Windows\CurrentVersion\Run\winshost.exe = "%System%\winshost.exe"
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\winshost.exe = "%System%\winshost.exe"
   當前用戶 + 本地機器雙重保障，標準用戶/管理員登錄均生效。
3. SMTP 引擎群發：附件 a.zip，用戶點擊即中招。內置引擎無需郵件客戶端。
4. 終止安全進程：主動殺掉主流殺毒/防火牆/監控進程，癱瘦防禦體系。
5. 刪除競爭對手註冊表鍵值：
   — 刪除 HKCU\...\Run 下特定鍵值（清理其他木馬/軟件自啟）；
   — 刪除 Zone Labs Client（ZoneAlarm 防火牆組件），精準打擊競品。
6. 後門 + HOSTS 劫持 + 自動更新：
   — 開放/監聽 TCP 80 端口，特定密碼登錄控制；
   — **修改 %System%\drivers\etc\HOSTS**，將主流殺毒廠商域名解析至 127.0.0.1/無效 IP，**阻斷病毒庫更新**；
   — 從指定資源服務器下載執行新模組/變種，**實現持久化進化**。

清除指南

1. 斷網，進入安全模式；
2. 任務管理器結束 WINSHOST.EXE、WIWSHOST.EXE、EXPLORER.EXE（含注入體）進程；
3. 刪除上述兩文件及註冊表雙 Run 鍵值；
4. 恢復 HOSTS 文件（刪除惡意條目，保留 127.0.0.1 localhost）；
5. 全盤掃毒（更新病毒庫至最新）；
6. 修復防火牆/殺毒軟件組件（重新註冊服務/驅動）；
7. 修改重要賬號密碼。

防範核心：HOSTS 文件保護

設置 HOSTS 文件**只讀屬性** + **ACL 拒絕寫入**（僅 SYSTEM/Administrators 可寫），部署 HIDS/EDR 監控文件變更事件 (Sysmon Event ID 11)，異常修改即時告警回滾。