I-Worm/Korgo.p

基本信息

I-Worm/Korgo。p

危害等級：**

1。從蠕蟲被執行的資料夾下刪除檔案：Ftpupd。exe。

2。修改註冊表：

/刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

下的鍵值：

Windows Security Manager

Disk Defragmenter

System Restore Service

Bot Loader

WinUpdate

Windows Update Service

avserve。exe

avserve2。exeUpdate Service

/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

查找鍵值："Windows Update"

▲不存在：

△則在註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下添加鍵值："Client"="1"

設定"ID"值

△複製自身為%System%\<隨機檔案名稱>。exe

△添加鍵值："Windows Update"="%System%\<隨機檔案名稱>。exe"

到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

△運行<隨機檔案名稱>。exe並結束當前進程

▲存在但檔案路徑不同：

△則首先複製自身為：%System%\<隨機檔案名稱>。exe

△然後添加鍵值："Windows Update" ="%System%\<隨機檔案名稱>。exe"

到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

△最後運行此檔案並中止當前進程。

▲存在並且蠕蟲路徑正確：

刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下的鍵值："Client"

3。將自身作為執行緒嵌入Exporer。exe，而後開始運行並有如下操作：

/打開TCP連線埠113，3067和從256到8191的任意連線埠，蠕蟲通過這些連線埠傳送自身。

/依賴隨機的IP位址在TCP連線埠445利用LSASS漏洞進行傳播，一旦發現目標計算機，它會通過連線感染的計算機去下載蠕蟲檔案。

/試圖連線下列HTTP伺服器進行升級。