危害等級：··
I-Worm/Korgo.l在TCP連線埠445利用LSASS漏洞進行傳播，監聽TCP連線埠113、3067和256-8191段的任意連線埠，並具有開後門的功能，可使系統不需許可權隨意訪問，因此可能導致機密數據的丟失並危及安全設定。
基本介紹
傳播過程及特徵：
2.創建互斥體：u8, u9, u10, uterm11, r10，保證一個蠕蟲例程的運行。
3.創建事件對象u11x，同時打開對象u10x。
4.修改註冊表：
/刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
下的鍵值：
Windows Security Manager
Disk Defragmenter
System Restore Service
Bot Loader
WinUpdate
Windows Update Service
avserve.exe
avserve2.exeUpdate Service
/從註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
查找鍵值："Windows Update"
▲不存在：
△則在註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless
下添加鍵值："Client"="1"
設定"ID"值
△複製自身為%System%\<隨機檔案名稱>.exe
△添加鍵值："Windows Update"="%System%\<隨機檔案名稱>.exe"
到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
△運行<隨機檔案名稱>.exe並結束當前進程
▲存在但檔案路徑不同：
△則首先複製自身為：%System%\<隨機檔案名稱>.exe
△然後添加鍵值："Windows Update" ="%System%\<隨機檔案名稱>.exe"
到註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
△最後運行此檔案並中止當前進程。
▲存在並且蠕蟲路徑正確：
刪除註冊表：HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Wireless
下的鍵值："Client"
5.將自身作為執行緒嵌入Exporer.exe，而後開始運行並有如下操作：
/打開TCP連線埠113，3067和從256到8191的任意連線埠，蠕蟲通過這些連線埠傳送自身。
