病毒名称:
Worm.Welchia.n
类别： 蠕虫病毒
病毒资料：
破坏方法：
一个利用多个漏洞进行传播的蠕虫病毒
病毒行为：
病毒将于2004年7月1日以后，自动删除自己的服务，并删除自己的exe文件。
病毒运行后将自己复制到％System％\drivers\svchost.exe并在注册表中加入一个
服务名为：WksPatch，其文件路径指向％System％\drivers\svchost.exe。显示名为以
下3组字符串随机组合的服务。
字串组1：
Security
Remote
Routing
Performance
Network
License
Internet
字串组2：
Manager
Procedure
Accounts
Event
字串组3：
Sharing
Messaging
Client
修改主页：
病毒判断当前系统是否为日文系统，如果是病毒从注册表
SYSTEM\CurrentControlSet\Services\W3SVC\Parameters\Virtual Roots
及IIS Help folders中读取路径并尝试搜索用病毒体内带的一个Html文件替换。
将被替换的文件扩展名为：
.ASP,.htm,.html,.PHP,.cgi,.stm,.shtm,.shtml
病毒体内的文件内容：
LET HISTORY TELL FUTURE !
1931.9.18
1937.7.7
1937.12.13 300,000 !
1941.12.7
1945.8.6 Little boy
1945.8.9 Fatso
1945.8.15
Let history tell future !
清除Worm.MyDoom.a,Worm.MyDoom.b病毒：
当前系统不是日文系统的话，并统中了Worm.MyDoom的话,病毒将尝试清除掉。并清
除病毒留下的后门。
补丁下载：
当前系统是英文，韩文或简繁中文的话，病毒将利用系统注册表尝试判断是否已打
补丁，否则将去microsoft的网站下载相应的补丁包，并运行<补丁为MS03-043和MS
03-049>。
漏洞攻击：
病毒随机产成ip地址尝试利用以下四个漏洞进行攻击。（病毒的一个漏洞溢出点
是从本地系统的动态库中搜出：ws2_32.dll,rtutils.dll，mprapi.dll，这样对使用
同样系统的局域网攻击目标成功率将提高。）
1.冲击波使用的漏洞
2.震荡波使用的漏洞
病毒后门：
病毒监听一个随机的端口做为一个http服务器，当接收到远程的“Get WksPatch.
exe”请求后，会向请求发送WksPatch.exe文件。
附：
MS03-043和MS03-049是微软最新的漏洞，详情请访问微软相关站点。
病毒的清除法：
使用光华反病毒软件，彻底删除。
病毒演示：
病毒FAQ：
Windows下的PE病毒。
发现日期：
2004-8-6
|
