病毒名称:
Worm.Korgo.m.enc
类别： 蠕虫
病毒资料：
破坏方法：
一个蠕虫病毒
病毒行为：
病毒运行后将删除名为：“FTPupd.exe”的文件，并创建一个名为：“uterm11”的互斥量，以防止自己运行多个复本。
病毒将自己复制到％SYSTEM％目录下，文件名为随便的字符组成。并将在注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
中加入自己的键值：Windows Update
病毒尝试清除注册表：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
以下的如下键：
“Windows Security Manager”，“System Restore Service”，“Bot
Loader”
“Disk Defragmenter”，“WinUpdate”，“avserve.exe”...
并杀死相关的的进程。
病毒尝试将自己注入到eXPlorer进程内。在该进程内进行传播..等后续动作。
当病毒注入失败，将在自己的进程内做主要传播动作。
传播：
病毒以特定昵称登录特定的MIRC频道以方便病毒作者了解感染情况等。病毒利用MS04-011漏洞进行传播。
传播流程：
病毒建立一个服务线程：
该线程监听一个端口，当联系上以后向对方发送整个病毒文件的数据。
病毒以当前ip计算出攻击目标机ip向其进行漏攻击，当成功后，被攻入病毒将联接上攻击发起者接收病毒文件数据。以达到传播目的。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-6-22
|
