病毒名称(中文):
冲击波克星变种E
病毒别名:
Worm.win32.Welchia.e[avp]
威胁级别:
★★★☆☆
病毒类型:
蠕虫病毒
病毒长度:
13
影响系统:
Win2000WinXP
病毒行为:
“冲击波克星”系例
编写工具:
vc,upx压缩
传染条件:
该病毒只会对具有RPC漏洞、WebDAV漏洞、IIS5/WEBDAV漏洞和Locatorservice漏洞的WINDOWS系统进行传播。
发作条件:
系统修改:
A、检查互斥体"WksPatch_Mutex.",只答应一个实例运行.
B、自我复制到%System%DriversSvchost.exe.
C、创建以下服务
服务名:WksPatch
服务程序:%System%DriversSvchost.exe
服务描述:从以下三种字符串中组合:
1>System
Security
Remote
Routing
Performance
Network
License
Internet
2>Logging
Manager
Procedure
Accounts
Event
3>Provider
Sharing
Messaging
Client
D、删除名为"RpcPatch"的服务(这个服务是由冲击波克星系列创建的)
E、检测以下病毒是否存在:
Worm.Mydoom.A,Worm.Mydoom.B,Worm.Doomjuice,andWorm.Doomjuice.B
F、假如存在以上病毒则有以下现象:
1>结束下列进程:
%System%intrenat.exe(Worm.Doomjuice)
%System%Regedit.exe(Worm.Doomjuice.B)
%System%Taskmon.exe(Worm.Mydoom.A)
%System%Explorer.exe(Worm.Mydoom.B)
2>删除和以上病毒有关的文件,如:
%System%shimgapi.dll(The.dllassociatedwithWorm.Mydoom.A)
%System%ctfmon.dll(The.dllassociatedwithWorm.Mydoom.B)
值得注重的是删除时上述病毒可能正在运行,所以这一步有时会失败.
3>删除以下注册表键值:
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Gremlin(Worm.Doomjuice)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/NeroCheck(Worm.Doomjuice.B)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Taskmon(Worm.Mydoom.A)
HKCU/Software/Microsoft/Windows/CurrentVersion/Run/Taskmon(Worm.Mydoom.A)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Explorer(Worm.Mydoom.B)
HKCU/Software/Microsoft/Windows/CurrentVersion/Run/Explorer(Worm.Mydoom.B)
4>恢复以下注册表键值:(这些键值被Worm.Mydoom.aandWorm.Mydoom.B病毒修改指向自己的dll):
HKCR/CLSID/{E6FB5E20-DE35-11CF-9C87-00AA005127ED}/InProcServer32=%Systemwebcheck.dll
5>恢复hosts文件(被Mydoom.Aand.B修改)
#
#
127.0.0.1localhost
G、产生随机ip地址并向这些地址发送溢出和漏洞攻击,其中包括:
DCOMRPC
WebDav
WorkstationService
Locatorservice
DCOMRPC
H、在随机端口开启一个http服务，可以使别的机器轻易受到感染。
I、假如被感染操作系统为日文，则在IIS的虚拟目录搜索扩展名为
shtml
shtm
stm
cgi
php
html
htm
asp
并以box.jpg.html覆盖搜索到的文件内容。浏览效果如box.jpg所示。
J、假如受感染系统为中文，英文或者韩文则在微软的windows升级主页下载漏洞补丁，
download.microsoft.com/download/4/d/3/4d375d48-04c7-411f-959b-3467c5ef1e9a
/WindowsXP-KB828035-x86-CHS.exe
download.microsoft.com/download/a/4/3/a43ea017-9abd-4d28-a736-2c17dd4d7e59
/WindowsXP-KB828035-x86-KOR.exe
download.microsoft.com/download/e/a/e/eaea4109-0870-4dd3-88e0-a34035dc181a
/WindowsXP-KB828035-x86-ENU.exe
download.microsoft.com/download/9/c/5/9c579720-63e9-478a-bdcb-70087ccad56c
/Windows2000-KB828749-x86-CHS.exe
download.microsoft.com/download/0/8/4/084be8b7-e000-4847-979c-c26de0929513
/Windows2000-KB828749-x86-KOR.exe
download.microsoft.com/download/3/c/6/3c6d56ff-ff8e-4322-84cb-3bf9a915e6d9
/Windows2000-KB828749-x86-ENU.exe
安装补丁完毕后会重新启动计算机。
K、这个蠕虫会自我删除，在运行120天后或者2004年6月1日以前。
发作现象:
非凡说明: