I-Worm/Korgo.e

基本信息

I-Worm/Korgo.e

影響平台：Win2000/XP

1.從蠕蟲被執行的資料夾下刪除檔案：Ftpupd.exe。

2.創建互斥體：u6, u9, u7, uterm_9, r10，保證一個蠕蟲例程的運行。

3.修改註冊表：

/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

刪除下列鍵值：

"System Service Manager"

"System Restore Service"

"Bot Loader"

"Windows Update Service"

"WinUpdate"

"Windows Security Manager"

"avserve.exe"

"avserve2.exe

/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

查找鍵值："Update Service"

▲不存在：

△則在註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下添加鍵值："Client"="1"

設定"ID"值

△複製自身為%System%\<隨機檔案名稱>.exe

△添加鍵值："Update Service"="%System%\<隨機檔案名稱>.exe"

到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

△運行<隨機檔案名稱>.exe並結束當前進程

▲存在但檔案路徑不同：

△則首先複製自身為：%System%\<隨機檔案名稱>.exe

△然後添加鍵值："Update Service" ="%System%\<隨機檔案名稱>.exe"

到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

△最後運行此檔案並中止當前進程。

▲存在並且蠕蟲路徑正確：

刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下的鍵值："Client"

4.將自身作為執行緒嵌入Exporer.exe進程，而後開始運行並有如下操作：

/打開TCP連線埠113，3067和從256到8191的任意連線埠進行監聽，並在此接收信息，傳送蠕蟲副本到遠程計算機。