Worm/Korgo.i

基本信息

I-Worm/Korgo.i

I-Worm/Korgo.i通過LSASS漏洞進行傳播，監聽TCP連線埠113、3067以及從256到8191的任意連線埠，並具有開後門的功能，可使系統不需許可權隨意訪問，因此可能導致機密數據的丟失並危及安全設定。

1.從蠕蟲被執行的資料夾下刪除檔案：Ftpupd.exe。

2.修改註冊表：

/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

刪除下列鍵值：

"Windows Security Manager"

"Disk Defragmenter"

"System Restore Service"

"Bot Loader"

"WinUpdate"

"Windows Update Service"

"avserve.exe"

"avserve2.exeUpdate Service"

/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

查找鍵值："Windows Update"

則在註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下添加鍵值："Client"="1"

▲存在但檔案路徑不同：

則首先複製自身為：%System%\<隨機檔案名稱>.exe

然後添加鍵值："Windows Update" ="%System%\<隨機檔案名稱>.exe"

到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

最後運行此檔案並中止當前進程。

▲存在並且蠕蟲路徑正確：

刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless

下的鍵值："Client"

3.將自身作為執行緒嵌入Exporer.exe進程，而後開始運行並有如下操作：

/打開TCP連線埠113，3067和從256到8191的任意連線埠進行監聽，並在此接收信息，傳送蠕蟲副本到遠程計算機。

/依賴隨機的IP位址在TCP連線埠445利用LSASS漏洞進行傳播，一旦發現目標計算機，它會通過蠕蟲打開的TCP連線埠連線到感染的計算機。

/在TCP連線埠6667連線下列IRC伺服器，並在此接收指令。

moscow-advokat.ru

graz.at.eu.undernet.org

flanders.be.eu.undernet.org