Worm.Welchia.e，中文名稱，衝擊波剋星變種E，該病毒只會對具有RPC漏洞、WebDAV 漏洞、IIS5/WEBDAV漏洞和Locator service 漏洞的WINDOWS系統進行傳播。
基本介紹
- 中文名：Worm.Welchia.e
- 時間：2004-03-10
- 病毒類型：蠕蟲
- 影響系統：Windows 2000,Windows XP
簡介,系統修改,感染跡象,
簡介
病毒別名：Worm.win32.Welchia.e[avp]
處理時間：2004-03-10
威脅級別：★★★
中文名稱：衝擊波剋星變種E
病毒類型：蠕蟲
影響系統：Windows 2000,Windows XP
病毒行為：
“衝擊波剋星”系例
編寫工具：
vc,upx壓縮
傳染條件：
該病毒只會對具有RPC漏洞、WebDAV 漏洞、ⅡS5/WEBDAV漏洞和Locator service 漏洞的WINDOWS系統進行傳播。
發作條件：
系統修改
A、檢查互斥體"WksPatch_Mutex.",只允許一個實例運行.
B、自我複製到 %System%DriversSvchost.exe.
C、創建以下服務
服務名： WksPatch
服務程式： %System%DriversSvchost.exe
服務描述： 從以下三種字元串中組合：
1> System
Security
Remote
Routing
Performance
Network
License
Internet
2> Logging
Manager
Procedure
Accounts
Event
3> Provider
Sharing
Messaging
Client
D、刪除名為"RpcPatch"的服務（這個服務是由衝擊波剋星系列創建的）
E、檢測以下病毒是否存在：
Worm.Mydoom.A,Worm.Mydoom.B,Worm.Doomjuice,and Worm.Doomjuice.B
感染跡象
F、如果存在以上病毒則有以下現象：
1>；結束下列進程：
%System%intrenat.exe (Worm.Doomjuice)
%System%Regedit.exe (Worm.Doomjuice.B)
%System%Taskmon.exe (Worm.Mydoom.A)
%System%Explorer.exe (Worm.Mydoom.B)
2>；刪除和以上病毒有關的檔案，如：
%System%shimgapi.dll (The .dll associated with Worm.Mydoom.A)
%System%ctfmon.dll (The .dll associated with Worm.Mydoom.B)
值得注意的是刪除時上述病毒可能正在運行，所以這一步有時會失敗.
3>；刪除以下註冊表鍵值：
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Gremlin (Worm.Doomjuice)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/NeroCheck (Worm.Doomjuice.B)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Taskmon (Worm.Mydoom.A)
HKCU/Software/Microsoft/Windows/CurrentVersion/Run/Taskmon (Worm.Mydoom.A)
HKLM/Software/Microsoft/Windows/CurrentVersion/Run/Explorer (Worm.Mydoom.B)
HKCU/Software/Microsoft/Windows/CurrentVersion/Run/Explorer (Worm.Mydoom.B)
4>；恢復以下註冊表鍵值： （這些鍵值被 Worm.Mydoom.a and Worm.Mydoom.B 病毒修改指向自己的dll):
HKCR/CLSID/{E6FB5E20-DE35-11CF-9C87-00AA005127ED}/InProcServer32 = %Systemwebcheck.dll
5>；恢復hosts檔案（被Mydoom.A and .B修改）
#
#
127.0.0.1 localhost
G、產生隨機ip地址並向這些地址傳送溢出和漏洞攻擊，其中包括：
DCOM RPC
WebDav
Workstation Service
Locator service
DCOM RPC
H、在隨機連線埠開啟一個http服務，可以使別的機器容易受到感染。
I、如果被感染作業系統為日文，則在ⅡS的虛擬目錄搜尋擴展名為
shtml
shtm
stm
cgi
php
html
htm
asp
並以box.jpg.html覆蓋搜尋到的檔案內容。瀏覽效果如box.jpg所示。
J、如果受感染系統為中文，英文或者韓文則在微軟的windows升級主頁下載漏洞補丁，
安裝補丁完畢後會重新啟動計算機。
K、這個蠕蟲會自我刪除，在運行120天后或者2004年6月1日以前。
發作現象：
特別說明：
