Win32.Worm.Welchia.A
( W32.Welchia.Worm, W32/Nachi.worm, WORM_MSBLAST.D )| Ausbreitung : | high | |
| Schaden : | low | |
| Size: | 10240 (packed with upx and patched) | |
| Entdeckt : | 2005 May 30 |
SYMPTOMS:
Presence of dllhost.exe and svchost.exe files in %system32%\wins directory (e.g. C:\Windows\System32\Wins\DllHost.exe).Presence of two services: Network Connections Sharing with the path to executable: %system32%\wins\svchost.exe and WINS Client with the path to executable: %system32%\wins\dllhost.exe.
TECHNICAL DESCRIPTION:
For Windows XP systems, it uses the Windows DCOM RPC vulnerability described in MS03-026 security bulletin, to infect new computers.For systems that have the IIS service, it uses the Windows WebDav vulnerability described in MS03-007 security bulletin, to infect new computers.
When ran it looks for Win32.Msblast.A worm file (msblast.exe) and tries to remove it from the computer. It also attempts to download the patch for the DCOM RPC vulnerability and to install it. If it successfully installs it, it restarts the computer without notice.
After infecting a remote computer, it opens a random TCP port between 666 and 765, on the remote computer so as to send commands to it.
It uses the TFTP file transfer protocol to copy the worm body: dllhost.exe, and the TFTP server: tftpd.exe, that will be renamed to svchost.exe after copying in %system32%\wins.
It creates two services: Network Connections Sharing with the path to executable: %system32%\wins\svchost.exe and WINS Client with the path to executable: %system32%\wins\dllhost.exe, that are set to run automatically, so that the worm will be active, even if no user is logged on the computer.
The worm contains some text strings: I love my wife & baby :), Welcome Chian, Notice: 2004 will remove myself:) and sorry zhongli. It is true, from the year 2004 it would uninstall itself from the infected machine.
The mutex that it uses not to run twice on the same computer is named RpcPatch_Mutex.
Removal instructions:
The BitDefender Virus Analyse Team has releasead a free removal tool for this particular virus.
Important: You will have to close all applications before running the tool (including the antivirus shields) and to restart the computer afterwards. Additionally you'll have to manually delete the infected files located in archives and the infected messages from your mail client.
The BitDefender Antiwelchia-en.exe tool does the following:
You may also need to restore the affected files.
First apply the patches for the two vulnerabilities used by this worm:
- For DCOM RPC, download and install the patch released by Microsoft: MS03-026 (at the end of the page).
- For WebDav, download and install the patch released by Microsoft: MS03-007 (at the end of the page).
- Right-click on My Computer and select Manage from the menu. Maximize the Computer Management window that appears.
- In the left side of the window, click on Services and Applications. In the right side of the window, double-click on Services.
- In the list of services, click on the column title Name so as to sort the service names alphabetically. If you click twice, the service names will be sorted in reverse order.
- Find the service Network Connections Sharing. Right-click on it, and select Properties from the menu. Look in the Properties window and assure that the Path to executable is %system32%\wins\svchost.exe (e.g. C:\Windows\System32\wins\svchost.exe). Press the Stop button (if it is not disabled), to stop the service.
- Find the servce WINS Client, make sure the Path to executable is %system32%\wins\dllhost.exe and stop it too.
- Go to Start, Run and open regedit.exe. Go to to the registry key:
HKLM\SYSTEM\CurrentControlSet\Services
and delete the values RpcTftpd and RpcPatch. - Restart your computer.
- Go to %system32%\wins and delete the files svchost.exe and dllhost.exe.
ANALYZED BY:
Mircea Ciubotariu, Mihai Neagu, Bogdan Dragu.
Die E-Guides-Reihe von Bitdefender
Die E-Guides-Reihe von Bitdefender ist eine Lerninitiative, deren Ziel es ist, die Leser- und Anwendergemeinschaft von Bitdefender mit wertvollen Informationen über Bedrohungen aus dem Internet und IT-Sicherheitsfragen zu versorgen und zudem praktische Ratschläge und machbare Lösungen für alle Anforderungen rund um den Online-Schutz bereitzustellen. Die Sicherheitanalysten von Bitdefender teilen ihr Wissen um die Identifizierung und Abwehr von Malware-Bedrohungen und legen dabei besonderen Wert auf Online-Datenschutz und verschiedene Technologien, Gegenmaßnahmen und Methoden zur Abwehr von Cyber-Kriminalität.
Die E-Guides-Reihe behandelt verschiedenste Themen vom Online-Schutz für Kinder und Familien über die Sicherheit in sozialen Netzwerken und den Schutz vor Datendiebstahl bis hin zur Absicherung von ganzen Unternehmensumgebungen und richtet sich daher an ein breites Publikum aus mittelständischen Unternehmen und Privatanwendern, die sich für die Sicherheit und Integrität ihrer Netzwerke und Systeme interessieren. Die E-Guides enthalten zudem nützliche Informationen für die tägliche Arbeit von IT-Sicherheitsmanagern, System- und Netzwerkadministratoren, Entwicklern von Sicherheitstechnologien, Analysten und Forschern.
Was ist Phishing?
Auf den ersten Blick scheint alles in Ordnung zu sein: In einer freundlichen E-Mail wird der Kunde von seiner Bank oder einem Online-Versandhaus aufgefordert, er möge doch seine Daten verifizieren, also Anmeldenamen, Passwort, PIN etc. Als Grund wird angeführt, es sei ein "Zugriff Unbefugter" auf das Konto vom Kunden erfolgt. Und um ihm das "Verifizieren" so einfach wie möglich zu machen, enthält die Nachricht einen Link zu einer Internet-Seite mit einem Online-Formular. Dort möge er doch die entsprechenden Daten eingeben.
Spyware - Der Spion auf Deinem PC
Die Zeiten sind längst vorbei, in denen sich Hacker nur aus "sportiven" Motiven Zugang zu fremden PCs verschafften. Heute geht es in den meisten Fällen um Geld. Das belegt auch der "Threat Landscape Report" für das erste Halbjahr 2012 von Bitdefender. Demnach haben Cyber-Kriminelle ihre Aktivitäten ausgeweitet, um an Online-Bankdaten oder Bitcoins (elektronisches Geld für Online-Einkäufe) von Web-Nutzern zu kommen.
Firewall – Ein unverzichtbarer Schutz für den PC
Heute ist es selbstverständlich, dass PCs, Notebooks, Smartphones und Tablet-Rechner auf das Internet zugreifen. Doch damit sind Risiken verbunden, speziell Angriffe von Hackern. Deshalb sind zwei Dinge auf jedem Rechner unverzichtbar: eine leistungsfähige Anti-Spyware-Lösung, Antivirenprogramme und eine Firewall.
Anleitung zum sicheren Blogging
Wie Sie Ihr Blog und Ihre Identität vor Missbrauch schützen können
Blogging ist eine der beliebtesten Möglichkeiten, sich im Internet einer breiten Öffentlichkeit zu präsentieren und mittlerweile gibt es bereits mehr als 150 Millionen registrierte Blogs weltweit. Während der durchschnittliche Leser dieser Blogs nur auf der Suche nach Informationen und Artikeln ist, hegen Internet-Kriminelle ein ganz anderes Interesse. Sie dursuchen Blogs nach persönlichen Informationen oder nutzen sie als billigen Speicherplatz für ihre Malware-Kampagnen, um nur zwei Beispiele aus einer Vielzahl von Missbrauchsmöglichkeiten zu nennen.
Diese Anleitung enthält Richtlinien für sicheres Blogging und konzentriert sich dabei auf individuelle Blogs, die entweder vom Blogger selbst oder von kommerziellen Blog-Anbietern als Hosting-Dienstleistung betrieben werden.
Anleitung zum Schutz drahtloser Netzwerke
Wie Sie Ihr Heimnetzwerk vor Eindringlingen schützen können
Dieses Dokument richtet sich an Anwender, die zuhause bereits ein drahtloses Netzwerk eingerichtet haben oder beabsichtigen, dies zu tun. Heutztage ist die drahtlose Kommunikation aus dem täglichen Leben kaum noch wegzudenken. Internet-Kriminelle wissen jedoch jede Schwachstelle in der Konfiguration von Drahtlosnetzwerken auszunutzen, um Datenverkehr abzufangen oder die Internet-Verbindung für illegale Zwecke zu nutzen.
In dieser Anleitung erfahren Sie alles Wissenswerte über die Nutzung von ungesicherten Drahtlosnetzwerken und die richtige Konfiguration Ihres Heim-Routers oder Zugangspunkts, damit Sie Ihr Netzwerk vor Missbrauch schützen können.
Online-Leitfaden zum Jugendschutz
Wie Sie die digitalen Welten Ihrer Kinder nachhaltig schützen können
Dieses Dokument richtet sich an Familien, Eltern und Lehrer uns soll ihnen dabei helfen, die digitalen Ausflüge von Kindern und Jugendlichen möglichst sicher zu gestalten. Heute haben sich Computer durch Massenproduktion und ständige Verfügbarkeit zu einem täglichen Begleiter entwickelt und Kinder machen sich mit PC und Internet schon sehr früh vertraut. Doch trotz der unbestrittenen Vorteile im Bereich der Kommunikation kann das Internet auch ein gefährlicher Ort für Kinder sein. Es lauern E-Threats, die speziell auf diese Altersgruppe zugeschnitten sind.
Dieser E-Guide behandelt die häufigsten Risiken und Gefahren für Kinder und Jugendliche im Internet, so z.B. Cyber-Mobbing, nicht jugendfreie Inhalte, Internet-Sucht und andere schädliche Internet-Einflüsse. Gleichzeitig werden Themen wie Malware, Phishing-Attacken, Identitätsdiebstahl und Spam-Nachrichten behandelt, die Teenager heutzutage genau wie jeden anderen Internet-Nutzer betreffen. Ein Bereich mit Sicherheitstipps hilft Eltern und Lehrern diese Themen besser zu verstehen und in Angriff zu nehmen ohne dabei die Kinder außer Acht zu lassen.
Ein Leitfaden zur Online-Sicherheit für Silver Surfer
Wie man wertvolle Ideen und Anlagen gegen Cyber-Angriffe schützen kann
Dieses Dokument richtet sich an Familien und ältere Mitbürger und soll ihnen dabei helfen, sicher im Internet zu surfen und ihre Online-Aktivitäten zu genießen.
Auf den ersten Blick könnte man meinen, dass Online-Kriminalität altersunabhängig ist und unsere älteren Mitbürger im gleichen Maße bedroht wie jeden anderen unerfahrenen Internet-Nutzer. Dieser E-Guide zeigt jedoch anhand verschiedener Fallstudien, dass speziell Silver Surfer von einer Vielzahl von Bedrohungen betroffen sind, so zum Beispiel Betrugsversuche bei Rentenzahlungen, betrügerische Methoden zur Steuerzahlung oder andere Betrugsmaschen, die es auf ihr Geld abgesehen haben. Neben den Fallstudien gibt es Beispiele, Tipps und Infos, um ihnen wertvolle Handlungsempfehlungen für ihre täglichen Internet-Aktivitäten an die Hand zu geben.
Leitfaden zum Schutz vor Datendiebstahl von Unternehmensdaten
Wie Unternehmen sich vor Datendiebstahl schützen
Der E-Guide widmet sich den möglichen wunden Punkten bei der Sicherung von Unternehmensdaten, angefangen von Fragen der physischen Integrität des Netzwerks bis hin zu den komplexen Mechanismen der Cyber-Kriminalität, die sich speziell gegen Unternehmen richtet (z.B. Banking-Trojaner, Phishing-Attacken). Die enthaltenen Materialien sind zwar nicht so detailliert wie eine vollwertige technische Beschreibung, sollen jedoch IT-Administratoren den praktischen Nutzen der Funktionen der Bitdefender-Lösungen für Privat- und Geschäftskunden anhand von Situationsbeispielen aufzeigen.
Dieses Dokument unterstützt Sie bei der Entscheidung, welche Sicherheitstrategie für kleine und mittelgroße Netzwerke am sinnvollsten ist, und bietet eine gute Grundlage für weiterführende Vergleiche in diesem Bereich.
Whitepapers
- Bitdefender Case Study: Kids and Online Threats
- Facebook-Whitepaper
- Bitdefender-Virenschutz-Technologie (.pdf)
- B-HAVE, Der Weg zum Erfolg (.pdf)
- Nur das Mittel oder die Nachricht? Der richtige Umgang mit Bilder-Spam, Dezember 2006,Virus Bulletin
- Abwehr von Spam in Bilddateien
- Bitdefenders NeuNet-Anti-Spam-Technologie
- Proactive security I body armor against business attacks
- Whitepaper - Aufkommende Bedrohungen der Unternehmenssicherheit
- Das Unsichere sicher machen Bitdefenders vorbeugende B-HAVE-Technologie zum Schutz vor vielfältigen Bedrohungen
- Die Absicherung von E-Mails ist die erste strategische Verteidigungslinie
- Virusnamensgebung. Das alte "Wer ist wer?"-Problem
- Facebook - Die nächste Sicherheitslücke
- Bitdefender Active Virus Control: Vorbeugender Schutz gegen neue und aufkommende Bedrohungen
Laden Sie jetzt die Vollversion herunter Bericht zur Online-Bedrohungslage 2. Halbjahr 2012 (PDF)
Übersicht jetzt herunterladen Bericht zur Online-Bedrohungslage 2. Halbjahr 2012 - Zusammenfassung (PDF)
Archive
2012
Jetzt herunterladen Bericht zur Online-Bedrohungslage 1. Halbjahr 2012 (PDF)
2011
Jetzt herunterladen Bericht zur Online-Bedrohungslage 1. Halbjahr 2011 - Zusammenfassung (PDF)
Jetzt herunterladen Bericht zur Online-Bedrohungslage 2. Halbjahr 2011 (PDF)
Jetzt herunterladen Bericht zur Online-Bedrohungslage 2. Halbjahr 2011 - Zusammenfassung (PDF)
2010
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2010 - Zusammenfassung (PDF)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2010 (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2010 - Zusammenfassung (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2010 (pdf)
2009
Jetzt herunterladen Zusammenfassung des Malware- und Spam-Berichts 1. Halbjahr 2009 (pdf)
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2009 (pdf)
Jetzt herunterladen Malware- und Spam-Bericht 2. Halbjahr 2009 (pdf)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2009 - Zusammenfassung (pdf)
2008
Jetzt herunterladen E-Threats Landscape Report 1. Halbjahr 2008 (pdf)
Jetzt herunterladen E-Threats Landscape Report 2. Halbjahr 2008 (pdf)
Wer sind Ihre Ansprechpartner? Unten finden Sie eine Liste mit unseren Medienvertretern, die Ihre Fragen gerne beantworten werden.
