病毒名称:
Worm.Korgo.a.enc
类别: 蠕虫
病毒资料:
破坏方法:
该病毒是一个通过网络传播、使用微软的 Microsoft Windows LSASS 漏洞传播的蠕虫.相关信息在:
Microsoft Security Bulletin MS04-011
此病毒使用 C++ 编写,采用 UPX压缩。
一旦执行,病毒将执行如下操作:
1.复制自己到WIndows系统目录,文件名随机
2.病毒添加如下键值:
WinUpdate = %SYSDIR%\文件名
到:
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
这样,病毒就可以随系统自启动
病毒还将添加键值:
Server = 1
到:
HKLM\SOFTWARE\Microsoft\Wireless
下
3.病毒创建互斥量 "10", "u2" and "uterm5" .
4.病毒使用一个随机的IP地址来进行攻击、感染,感染、攻击是使用 MS04-011 漏洞
5.病毒将执行一个死循环来禁止机器重启
6.病毒打开并监听 TCP 端口 113, 3067 和 2041 来接收命令。
7.病毒将试图连接下列 IRC 服务器的几个频道:
moscow-advokat.ru
graz.at.eu.undernet.org
flanders.be.eu.undernet.org
caen.fr.eu.undernet.org
brussels.be.eu.undernet.org
los-angeles.ca.us.undernet.org
washington.dc.us.undernet.org
london.uk.eu.undernet.org
lia.zanet.net
gASPode.zanet.org.za
irc.kar.net
来接收命令。
病毒的清除法:
使用光华反病毒软件,彻底删除。
病毒演示:
病毒FAQ:
Windows下的PE病毒。
发现日期:
2004-5-26