F-Secure virusinformation
Nimi: Welchi
Alias:Nachi, Welchia, WORM_MSBLAST.D, Sachi
Detektion: 2003-08-18
Koko: 10240
Tyyppi: RPC mask
Eilen (18/8) löydettiin taas uusi RPC mato!
Tämä variantti muistuttaa LOVSANia. Se käyttää tiedostoja nimeltä DLLHOST.EXE ja SVSHOST.EXE joka on ftp serveri. Huomioi että DLLHOST.EXE ja SVSHOST.EXE ovat normaalisti Windowsin omia systeemitiedostoja.
Se saastuttaa koneet joilla on sama heikkous kuin mato Lovsania vastaan. Ohjeet reiän tukkimiseen on samat kuin Lovsan:
http://www.f-secure.se/virus/virusinfo.asp?Namn=Lovsan
Welchi yrittää myös saastuttaa IIS 5.0 webbiserveriä turvareiän WebDAV kautta. Lisää tietoa tähän seuraavasta:
http://www.microsoft.com/technet/security/bulletin/MS03-007.asp
Ja vielä lisää, mutta valitettavasti vain Ruotsiksi: (eivät näköjään ole viitsineet kääntää Suomeksi)
http://www.f-secure.se/virus/virusinfo.asp?Namn=Welchi
Enjoy!
Nimi: Welchi
Alias:Nachi, Welchia, WORM_MSBLAST.D, Sachi
Detektion: 2003-08-18
Koko: 10240
Tyyppi: RPC mask
Eilen (18/8) löydettiin taas uusi RPC mato!
Tämä variantti muistuttaa LOVSANia. Se käyttää tiedostoja nimeltä DLLHOST.EXE ja SVSHOST.EXE joka on ftp serveri. Huomioi että DLLHOST.EXE ja SVSHOST.EXE ovat normaalisti Windowsin omia systeemitiedostoja.
Se saastuttaa koneet joilla on sama heikkous kuin mato Lovsania vastaan. Ohjeet reiän tukkimiseen on samat kuin Lovsan:
http://www.f-secure.se/virus/virusinfo.asp?Namn=Lovsan
Welchi yrittää myös saastuttaa IIS 5.0 webbiserveriä turvareiän WebDAV kautta. Lisää tietoa tähän seuraavasta:
http://www.microsoft.com/technet/security/bulletin/MS03-007.asp
Ja vielä lisää, mutta valitettavasti vain Ruotsiksi: (eivät näköjään ole viitsineet kääntää Suomeksi)
http://www.f-secure.se/virus/virusinfo.asp?Namn=Welchi
Enjoy!
Vastaukset 4
Vanhimmat
se on eikä mikään virus.
"Hyvä" virus Welchia yrittää siistiä LovSanin tuhot
http://www.itviikko.fi/uutiset/uutinen.asp?UutisID=56838
Luehan uudestaan, nimim. Lääke ja ota vielä se Aapinen esille oikeasta kohdasta!
1. Missä kirjoitin että se olisi virus, SE ON MATO, F-Secure käyttää nimeä: RPC mask. Ja ITVIIKKO ei edes kertonut kaikkea vaan ylisti "*Hyvä* virus Welchia yrittää siistiä LovSanin tuhot" ja käytti siitä virus nimeä.
2.Welchi försöker även infektera IIS 5.0 webservrar via säkerhetshålet WebDAV. För mer informatin om denna sårbarhet som påträffades i mars 2003, se:
http://www.microsoft.com/technet/security/bulletin/MS03-007.asp
Siis mato yrittää tai saastuttaa IIS 5.0 webbiservereitä WebDAV turva-aukon kautta!
3. Welchi käyttää portteja 666 - 765
4. Ja vielä, kukaan ei tiedä mitä "taka-ovia" Welchi jättää auki!
5. Mato luo myös kopion nimeltä "RpcPatch_Mutex"!
Että tuskin tässä mistään "hyväntekeväisyydestä" on kysymys, mutta ainahan niitä tyhmiä löytyy jotka eivät jaksa uskoa että paras suoja on päivittäminen ja kunnon antivirus-ohjelma.
Muuten "taas uusi" mato DUMARU levittäytyy varoittaa Symantec. Se tulee e-postissa ja yrittää hämätä ihmisiä luulemaan että se olisi patchi Microsoftista, ([email protected]) mutta jos se käynnistyy laittaa se IRC-trojanin koneeseen ja levittää matoa eteenpäin.
"W32.Dumaru@mm is a mass-mailing worm that drops an IRC Trojan onto the infected machine. The worm gathers email addresses from certain file types and uses its own SMTP engine to email itself."
Systems Affected: Windows 2000, Windows 95, Windows 98, Windows Me, Windows NT, Windows XP.
Lue lisää virusmasken Dumaru:sta:
http://securityresponse.symantec.com/avcenter/venc/data/[email protected]
Näin siis!
Tosin tämän version on tarkoitus taistella tuota alkup. matoa vastaan (Lovsan.A.
Poistaa msblast.exe:n ja hakee windowsin aukon päivityksen ym.
Tosin päivityksen kielivaihtohdot ei oikein suosi meitä :)
http://keskustelu.suomi24.fi/show.cgi?category=108&conference=1500000000000007&posting=22000000001046290
Enjoy!