W32.Korgo.F 是 W32.Korgo.E 的一個較小的變種。 它是利用位於 TCP 445 連線埠上的 Microsoft Windows LSASS 緩衝區溢出漏洞 (BID 10108) 進行傳播的蠕蟲。它還監聽 TCP 連線埠 113、3067 和其它隨機連線埠。
基本介紹
- 中文名：W32.Korgo.F
- 發現時間：2004 年 6 月 1 日
- 類型： Worm
- 感染長度：10,752 bytes
發現,注意,威脅評估,損壞,分發,執行,建議,工具防毒,手動防毒,指導,
發現
更新： 2007 年 2 月 13 日 12:26:10 PM
別名： Worm.Win32.Padobot.e [Kaspersk, W32/Korgo.worm.g [McAfee], WORM_KORGO.F [Trend]
受感染的系統： Windows 2000, Windows XP
由於提交率的提高，Symantec 安全回響中心自 2004 年 6 月 2 日起，將此病毒威脅級別從 2 類升級為 3 類。
注意
* 快速發布病毒定義版本 6/2/2004 的第 17 版（序列號為 31552）或更高的版本明確將該威脅檢測為 W32.Korgo.F。
* 病毒定義 60408w（擴展版本 4/8/2004 的第 23 版）將該威脅檢測為 Bloodhound.Packed。
* Symantec 安全回響中心已發布了清除 W32.Korgo.F 的防毒工具。
防護
* 病毒定義（每周 LiveUpdate™） 2004 年 6 月 2 日
* 病毒定義（智慧型更新程式） 2004 年 6 月 2 日
威脅評估
廣度
* 廣度級別： Low
* 感染數量： 50 - 999
* 站點數量： More than 10
* 地理位置分布： Low
* 威脅抑制： Easy
* 清除： Moderate
損壞
* 損壞級別： Medium
* 泄露機密信息： Backdoor functionality allows unauthorized access.
* 降低性能： Network propagation routines may degrade overall network performance.
* 危及安全設定： Backdoor functionality may compromise security settings.
分發
* 分發級別： Medium
* 連線埠： TCP 445, 113, 3067, and 6667. May listen on random ports as well.
* 感染目標： Unpatched machines vulnerable to the Microsoft LSASS Windows exploit.
執行
1. 從該蠕蟲的運行資料夾刪除檔案 Ftpupd.exe。
2. 刪除以下值：
"System Service Manager"
"System Restore Service"
"Bot Loader"
"Windows Update Service"
"WinUpdate"
"Windows Security Manager"
"avserve.exe"
"avserve2.exe"
這些值位於以下註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
3. 查找值：
"Update Service"
在下列註冊表鍵中：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
* 如果“Disk Defragmenter”值不存在，該蠕蟲會將值：
Client"="1"
添加到註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless
* 如果“Disk Defragmenter”值存在，但是該檔案的路徑不同，則該蠕蟲會：
a.將自身複製為 %System%\<隨機檔案名稱>.exe。
注意：%System% 是一個變數。 蠕蟲會找到 System 資料夾，並將自身複製到其中。 默認情況下，此資料夾為 C:\Windows\System (Windows 95/98/Me)、C:\Winnt\System32 (Windows NT/2000) 或 C:\Windows\System32 (Windows XP)。
b.將值：
"Disk Defragmenter"="%System%\<random filename>.exe"
添加到註冊表鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
c.啟動 <隨機檔案名稱>.exe，然後結束當前進程。
* 如果“Disk Defragmenter”值存在，並且該值匹配該蠕蟲的路徑，則將刪除值：
"Client"
該值位於以下註冊表鍵:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless
4. 嘗試將一個功能作為執行緒插入 Explorer.exe。
如果不成功，它將繼續作為自己的進程運行。
5. 創建其他執行緒並執行以下操作：
注意：當該蠕蟲創建這些執行緒時，會使計算機無法關機或重啟。
* 打開 TCP 連線埠 113、3067 及其他隨機連線埠。 該蠕蟲將監聽這些連線埠，並在其收到某些訊息時，向遠程計算機傳送一個它自身的副本。
* 使用隨機 IP 地址嘗試利用 TCP 連線埠 445 上的 LSASS Windows 漏洞（Microsoft 安全公告 MS04-011 中說明）。 如果該蠕蟲成功找到可攻擊的計算機，該計算機將嘗試通過該蠕蟲打開的一個 TCP 連線埠回連受感染的計算機。
* 嘗試通過 TCP 連線埠 6667 連線以下 IRC 伺服器之一併接收命令：
o gaspode.zanet.org.za
o lia.zanet.net
o irc.tsk.ru
o london.uk.eu.undernet.org
o washington.dc.us.undernet.org
o los-angeles.ca.us.undernet.org
o brussels.be.eu.undernet.org
o caen.fr.eu.undernet.org
o flanders.be.eu.undernet.org
o graz.at.eu.undernet.org
o moscow-advocat.ru
o gaz-prom.ru
Symantec Gateway Security 5400 系列和 Symantec Gateway Security 1.0 版
* 防病毒組件：針對 Symantec Gateway Security 防病毒引擎、用於防護 W32.Korgo.F.Worm 蠕蟲的更新程式現已可用。 建議 Symantec Gateway Security 5000 系列用戶運行 LiveUpdate。
* IDS/IPS 組件：用於檢測針對Microsoft LSASS 漏洞的 Symantec Gateway Security 5400 系列的特徵包括在 4 月 14 日發布的 SU 8 中。用於檢測針對Microsoft LSASS 漏洞的 SGS v1.0 的特徵也已發布。 建議 Symantec Gateway Security 5000 系列用戶運行 LiveUpdate。
* 全面應用程式檢查防火牆組件：默認情況下，Symantec 的全面應用程式檢查防火牆技術通過禁止攻擊者訪問 TCP/445及受感染系統上的後門連線埠 (TCP/113、TCP/3067) 防禦 W32.Korgo.F 蠕蟲。 管理員急需檢查其安全策略，不要允許通過這些連線埠的入站通信。 管理員應當分析他們的日誌檔案中有關內部系統失敗嘗試的信息，將目標為 TCP 連線埠 6667 的 IRC 會話作為可能危及系統安全的信號。
Symantec Enterprise Firewall 8.0
Symantec Enterprise Firewall 7.0.x 和 Symantec VelociRaptor 1.5
默認情況下，Symantec 的全面應用程式檢查防火牆技術通過禁止攻擊者訪問 TCP/445及受感染系統上的後門連線埠 (TCP/113、TCP/3067) 防禦 W32.Korgo.F 蠕蟲。 管理員急需檢查其安全策略，不要允許通過這些連線埠的入站通信。
Symantec Clientless VPN Gateway 4400 系列
Symantec Clientless VPN Gateway v5.0 不會受此威脅的感染。
Symantec Gateway Security 300 系列
默認情況下，Symantec 的狀態檢查防火牆技術禁止外部攻擊者訪問內部系統上的 TCP/445 和受感染系統上的後門連線埠（TCP 113、3067 或任意隨機連線埠）。 管理員急需檢查其安全策略，不要允許 TCP/445、TCP/113、TCP/3067 入站通信，並且使用 SGS 300 的 AVpe 功能確保其所有 AV 客戶端具有最新的病毒定義。
Symantec Firewall/VPN 100/200 系列
Symantec ManHunt
2004 年 4 月 13 日發布了 Security Update 22，用以檢測利用具有“Microsoft RPC LSASS DS Request”特徵的 LSASS 漏洞。 因此，當 W32.Korgo.F 蠕蟲發布時，Symantec ManHunt 客戶已經獲得防護。
建議
賽門鐵克安全回響中心建議所有用戶和管理員遵循以下基本安全“最佳實踐”：
* 禁用並刪除不需要的服務。 默認情況下，許多作業系統會安裝不必要的輔助服務，如 FTP 伺服器、telnet 和 Web 伺服器。這些服務可能會成為攻擊所利用的途徑。 如果將這些服務刪除，混合型威脅的攻擊途徑會大為減少，同時您的維護工作也會減少，只通過補丁程式更新即可完成。
* 如果混合型威脅攻擊了一個或多個網路服務，則在套用補丁程式之前，請禁用或禁止訪問這些服務。
* 始終安裝最新的補丁程式，尤其是那些提供公共服務而且可以通過防火牆訪問的計算機，如 HTTP、FTP、郵件和 DNS 服務（例如，所有基於 Windows 的計算機上都應該安裝最新的 Service Pack）。. 另外，對於本文中、可靠的安全公告或供應商網站上公布的安全更新，也要及時套用。
* 強制執行密碼策略。 複雜的密碼使得受感染計算機上的密碼檔案難以破解。這樣會在計算機被感染時防止或減輕造成的損害。
* 配置電子郵件伺服器以禁止或刪除帶有 vbs、.bat、.exe、.pif 和 .scr 等附屬檔案的郵件，這些檔案常用於傳播病毒。
* 迅速隔離受感染的計算機，防止其對企業造成進一步危害。 執行取證分析並使用可靠的介質恢復計算機。
工具防毒
Symantec 安全回響中心開發了一種防毒工具,可用來清除 防毒工具感染。這是消除此威脅最簡易的方法，請先使用此方法防毒。
手動防毒
1. 關閉「系統還原」(Windows Me/XP)。
2. 更新病毒定義。
3. 將計算機重啟到安全模式或者 VGA 模式。
4. 運行完整的系統掃描，並刪除所有檢測為 W32.Beagle.X@mm 的檔案。
5. 恢復註冊表的值。
有關每個步驟的詳細信息，請閱讀以下指導。
1. 禁用系統還原（Windows Me/XP）
如果您運行的是 Windows Me 或 Windows XP，建議您暫時關閉“系統還原”。此功能默認情況下是啟用的，一旦計算機中的檔案被破壞，Windows 可使用該功能將其還原。如果病毒、蠕蟲或特洛伊木馬感染了計算機，則系統還原功能會在該計算機上備份病毒、蠕蟲或特洛伊木馬。
Windows 禁止包括防病毒程式在內的外部程式修改系統還原。因此，防病毒程式或工具無法刪除 System Restore 資料夾中的威脅。這樣，系統還原就可能將受感染檔案還原到計算機上，即使您已經清除了所有其他位置的受感染檔案。此外，病毒掃描可能還會檢測到 System Restore 資料夾中的威脅，即使您已將該威脅刪除。
指導
請參閱 Windows 文檔或下列文章之一：
* 如何禁用或啟用 Windows XP 系統還原
* 如何禁用或啟用 Windows Me 系統還原
注意：蠕蟲移除乾淨後，請按照上述文章所述恢復系統還原的設定。
有關詳細信息以及禁用 Windows Me 系統還原的其他方法，請參閱 Microsoft 知識庫文章：病毒防護工具無法清除 _Restore 資料夾中受感染的檔案，文章 ID：CH263455。
2. 更新病毒定義
賽門鐵克安全回響中心在我們的伺服器上發布任何病毒定義之前，會對其進行全面測試以保證質量。可以通過兩種方式獲得最新的病毒定義：
* 運行 LiveUpdate（這是獲取病毒定義的最簡便方法）：這些病毒定義被每周一次（通常在星期三）發布到 LiveUpdate 伺服器上，除非出現大規模的病毒爆發情況。要確定是否可通過 LiveUpdate 獲取此威脅的定義，請參考病毒定義 (LiveUpdate)。
* 使用智慧型更新程式下載病毒定義：智慧型更新程式病毒定義會在工作日（美國時間，星期一至星期五）發布。應該從賽門鐵克安全回響中心網站下載病毒定義並手動進行安裝。要確定是否可通過智慧型更新程式獲取此威脅的定義，請參考病毒定義（智慧型更新程式）。
現在提供智慧型更新程式病毒定義：有關詳細說明，請參閱如何使用智慧型更新程式更新病毒定義檔案。
3. 將計算機重啟到安全模式或者 VGA 模式
請關閉計算機，等待至少 30 秒鐘後重新啟動到安全模式或者 VGA 模式
* Windows 95/98/Me/2000/XP 用戶：將計算機重啟到安全模式。所有 Windows 32-bit 作業系統，除了Windows NT，可以被重啟到安全模式。更多信息請參閱文檔 如何以安全模式啟動計算機 。
* Windows NT 4 用戶：將計算機重啟到 VGA 模式。
4. 掃描和刪除受感染檔案
1. 啟動 Symantec 防病毒程式，並確保已將其配置為掃描所有檔案。
* Norton AntiVirus 單機版產品：請閱讀文檔：如何配置 Norton AntiVirus 以掃描所有檔案。
* 賽門鐵克企業版防病毒產品：請閱讀 如何確定 Symantec 企業版防病毒產品被設定為掃描所有檔案。
2. 運行完整的系統掃描。
3. 如果檢測到任何檔案被 W32.Korgo.F感染，請單擊“刪除”。
5. 恢復註冊表中的值
注意：對系統註冊表進行任何修改之前，賽門鐵克強烈建議您最好先替註冊表進行一次備份。對註冊表的修改如果有任何差錯，嚴重時將會導致數據遺失或檔案受損。只修改指定的註冊表鍵。如需詳細指示，請閱讀「如何備份 Windows 註冊表」檔案。
1. 單擊“開始”，然後單擊“運行”。（將出現“運行”對話框。）
2. 鍵入 regedit 然後單擊“確定”。（將打開註冊表編輯器。）
3. 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
4. 在右窗格中，刪除值：
"Disk Defragmenter"="%System%\<random filename>.exe"
5. 導航至以下鍵：
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless
6. 在右窗格中，刪除值：
"Client"="1"
7. 退出註冊表編輯器。
8. 以正常模式重新啟動計算機。更多信息請參閱文檔 如何以安全模式啟動計算機 內如何以正常模式重新啟動計算機一節。
