|
AntiVirus
Win32.Worm.Korgo.A,B - Virensignatur
A |
B |
C |
D |
E |
F |
G |
H |
I |
J |
K |
L |
M |
N |
O |
P |
Q |
R |
S |
T |
U |
V |
W |
X |
Y |
Z
| Bezeichnung |
Name |
Typ |
| Korgo.A |
Win32.Worm.Korgo.A,B |
Ausführender Backdoor Wurm |
| Schaden |
Entdeckt |
Ermittelt |
| Mittel |
25.05.2004 |
25.05.2004 |
| Größe |
Verbreitung |
Noch unterwegs |
| 10,240 bytes, gepackt mit UPX (beide Varianten) |
Mittel |
Ja |
| Andere Namen |
| |
|
|
 |
Symptome :
|
Präsenz der folgenden Dateien im %SYSTEM% Ordner:
eine neugeschaffene exe Datei ????????.exe (10,240 bytes, s. u.)
Präsenz der folgenden Registry Keys:
HKEY_LOCAL_MACHINE \SoftwareMicrosoft\ WindowsCurrentVersionRun"WinUpdate"="%SYSTEM%????????.exe"
???????? ist ein String mit maximal 8 Ziffern,
und ? kann jeder Buchstabe sein (z.B.: etxovima.exe ,
afpsqg.exe)
und die exe Datei wo die Registry Entry 10,240 bytes hat.
%WINDOWS% weist zum Windows Ordner (oder WinNT bei Windows NT based Systemen)
%SYSTEM% weist auf den "System" Ordner bei Windows 9x Systemen und "System32" Ordner bei WinNT Systemen.
|
Technische Beschreibung:
|
Der Wurm nutzt die Microsoft LSASS Windows Schwäche zur Verbreitung.
siehe:
http://www.microsoft.com
Wenn er läuft, macht er u. a. Folgendes:
- er versucht Go.exe vom aktuellen Ort zu löschen.
- legt eine Kopie mit zufällig gewähltem Namen in %SYSTEM% Ordner ab, als ????????.exe wo ? jeder Buchstabe sein kann.
- Vernichtet die Kopie des Wurmes und beendet den aktuellen Prozeß.
- Startet viele Threads und betritt einen unendlichen Loop, der das System daran hindert, ausgeschaltet zu werden.
8. Öffnet die Ports: 113, 3067, 2041, erlaubt Remote Connections und sendet den Wurm, sucht nach zufälligen IP Adresses um ungepatchte Systeme zu infizieren.
Öffnet Port 6667, um sich mit einer Liste von IRC Servern zu verbinden und auf Befehle zu lauschen.
|
Entfernung:
|
In unserer Bereich der free
Downloads haben wir eine Rubrik geschaffen für kostenlose Removal Tools. Hier
 Win32.Worm.Korgo.A,B Removal Tool
suchen & downloaden oder hier
zum Forum um Hilfe zu bekommen
[ Zurück zum Anfang ]
|
|
 |
aktuelle Viren
Meldungen |
|
|
|
weitere Dienste |
|
|
|
|
 |
