Win32.Worm.Welchia.A - Virensignatur

Symptome :

Technische Beschreibung:

Für Windows XP Systeme nutzt er die Windows DCOM RPC Schwäche aus, beschrieben in MS03-026 security bulletin.
Für Systeme, die den IIS Service haben, nutzt er die Windows WebDav Schwäche aus, beschrieben in MS03-007 security bulletin.
Wenn er läuft, sucht er nach dem Win32.Msblast.A Wurm Ordner (msblast.exe) und versucht ihn vom Computer zu entfernen. Er versucht das Patch für die DCOM RPC Schwäche downzuloaden und zu installieren. Bei Erfolg startet er unbemerkt den Computer neu.
Nachdem er einen Remote Computer infiziert hat, it öffnet er einen zufälligen TCP Port zwischen 666 und 765 auf dem Remote Computer, um Befehle an ihn zu senden.
Er benutzt das TFTP Ordner Transfer Protokoll, um den Wurm Body zu kopieren: dllhost.exe, und den TFTP Server: tftpd.exe, der umbenannt wird in svchost.exe, nachdem er sich in %System32%wins kopiert hat.
Er schafft zwei Services: Network Connections Sharing mit dem Pfad zu: %System32%winssvchost.exe und WINS Client mit dem Pfad zu: %System32%winsdllhost.exe, die automatisch laufen, so dass der Wurm auch aktiv ist, wenn der User nicht in den Computer eingeloggt ist

Entfernung:

[ Zurück zum Anfang ]