Und das hier auch noch:
Name: W32.Welchia.Worm
Alias:
W32/Nachi.worm [McAfee]
WORM_MSBLAST.D [Trend]
Welchi [F-Secure]
Art:
Wurm
Größe des Anhangs: 10.240 Bytes (aspacked)
Betriebssystem: Windows 2000/XP
Art der Verbreitung: Netzwerk (TCP 135, TCP 80 bei IIS 5.0)
Verbreitung:
hoch
Risiko:
mittel
Schadensfunktion:
Verbreitung über Port 135, Port 80 bei IIS 5.0
Versucht Microsoft-Patch gegen DCOM-RPC-Schwachstelle zu installieren
Entfernt Blaster-Wurm, sofern vorhanden
Wegen fehlerhaftem Code möglicherweise Störungen bei der Nutzung der Internet-Verbindung
Spezielle Entfernung: nein
bekannt seit: 18. August 2003
Beschreibung:
W32.Welchia.Worm ist ein Wurm, der sich über das Netzwerk verbreitet.
Er nutzt einerseits dazu die auch schon vom Blaster-Wurm verwendetete DCOM RPC Schwachstelle aus. Dabei handelt es sich um einen nicht geprüften Puffer im "Windows Distributed Component Object Model (DCOM) Remote Procedure Call (RPC) Interface". Durch Überschreiben der Puffergrenze kann beliebiger Programmcode ausgeführt werden. Diese Schwachstelle befindet sich in nicht-gepatchten Windows NT/2000/XP-Systemen.
Informationen zu dieser Schwäche finden Sie im Microsoft Security Bulletin MS03-026 . Eine deutsche Beschreibung der Schwachstelle finden Sie auf dieser Microsoft-Seite .
Der zweite Weg, auf dem sich der Wurm verbreitet, ist über die WebDav-Schwachstelle. Hierbei handelt es sich eigentlich um einen nicht geprüften Puffer in der dynamischen Bibliothek ntdll.dll. Durch Überschreiben der Puffergrenze kann beliebiger Programmcode ausgeführt werden. Diese Schwachstelle wird hauptsächlich bei Rechnern mit nichtgepatchtem IIS 5.0 (Internet Information Server 5.0 auf Windows NT-, 2000-, XP-Rechnern) ausgenutzt.
Informationen zu dieser Schwäche finden Sie im Microsoft Security Bulletin MS03-007 . Eine deutsche Beschreibung der Schwachstelle finden Sie auf dieser Microsoft-Seite .
Windows 95, 98, Me und Windows NT sind nicht betroffen.
W32.Welchia.Worm sucht über TCP Port 135 und Port 80 einen angreifbaren Rechner. Er versucht, den Microsoft-Patch gegen die DCOM RPC Schwachstelle zu installieren und den Blaster-Wurm zu entfernen.
Dafür kopiert er sich selbst per TFTP in das Verzeichnis C:\Windows\System32 oder C:\WINNT\System32 in die Datei dllhost.exe.
Er kopiert die Datei tftpd.exe in ein neues Verzeichnis unter dem Namen der Systemdatei svchost.exe und installiert zwei neue Dienste mit den Namen "Network Connections Sharing" und "Wins Client", um den Patch zu laden, den Blaster-Wurm zu entfernen und sich selbst weiterzuverbreiten.
Wenn der Patch installiert wurde, startet der Rechner sich neu.
Möglicherweise wird versucht, den Patch in einer falschen Sprache zu installieren. Auch einige bisher nicht verifizierte Eigenarten werden möglicherweise durch fehlerhaften Code des Wurm ausgelöst. Dazu zählen auch einige Störungen, die bei laufender Internet-Verbindung auftreten.
Der Wurm enthält den nicht angezeigten Text:
=========== I love my wife & baby
~~~ Welcome Chian~~~
Notice: 2004 will remove myself:)~~ sorry zhongli~~~====
======= wins
Im Jahr 2004 wird der Wurm deaktiviert und entfernt sich selbst vom Rechner.
Hinweis:
Da sich der Wurm nicht über E-Mail-Nachrichten versendet, kann er an Mail-Gateways nicht abgefangen werden.
Administratoren sollten (wenn möglich) auf der Firewall die Ports
69 UDP
135 TCP
135 UDP
139 TCP
139 UDP
445 TCP
445 UDP
4444 TCP
sperren.
