病毒名称:
Worm.Welchia.i
类别： 蠕虫
病毒资料：
破坏方法：
一个利用多个漏洞进行传播的蠕虫病毒
病毒行为：
病毒运行后将自己复制到％System％\drivers\svchost.exe并在注册表中加入一个
服务名为：WksPatch，其文件路径指向％System％\drivers\svchost.exe。显示名为以下
3组字符串随机组合的服务。
字串组1：
Security
Remote
Routing
Performance
Network
License
Internet
字串组2：
Manager
Procedure
Accounts
Event
字串组3：
Sharing
Messaging
Client
修改主页：
病毒判断当前系统是否为日文系统，如果是病毒从注册表
SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots
及IIS Help folders中读取路径并尝试搜索用病毒体内带的一个Html文件替换。
将被替换的文件扩展名为：
.ASP,.htm,.html,.PHP,.cgi,.stm,.shtm,.shtml
病毒体内的文件内容：
LET HISTORY TELL FUTURE !
1931.9.18
1937.7.7
1937.12.13 300,000 !
1941.12.7
1945.8.6 Little boy
1945.8.9 Fatso
1945.8.15
Let history tell future !
清除Worm.MyDoom.a,Worm.MyDoom.b病毒：
当前系统不是日文系统的话，并统中了Worm.MyDoom的话,病毒将尝试清除掉。并清楚病毒
留下的后门。
补丁下载：
当前系统是英文，韩文或简繁中文的话，病毒将利用系统注册表尝试判断去microsoft的网
站下载相应的补丁包。并运行。
漏洞攻击：
病毒随机产成ip地址尝试利用以下四个漏洞进行攻击。（病毒的一个漏洞溢出点是从本地
系统的动态库中搜出：ws2_32.dll,rtutils.dll，mprapi.dll，这样对使用同样系统的局域网
攻击目标成功率将提高。）
1.DCOM RPC
2.WebDav vulnerability.
3.Workstation Service vulnerability
4.Locator service vulnerability.
病毒后门：
病毒监听一个随机的端口做为一个http服务器：当收到Get WksPatch.exe请求后， 向请求发送WksPatch.exe文件。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-3-16
|
