近來「疾風(fēng)病毒」將網(wǎng)路用戶搞得風(fēng)風(fēng)雨雨的，現(xiàn)在又出現(xiàn)新的漏洞駭蟲「疾風(fēng)殺手」━Welchi_Worm。該駭蟲之所以會(huì)受封「疾風(fēng)殺手」，是因?yàn)樗鼤?huì)在入侵後會(huì)關(guān)掉疾風(fēng)病毒Msblast，并自行到微軟更新網(wǎng)站下傳 DCOM/RPC Buffer Overflow 漏洞修補(bǔ)檔進(jìn)行修補(bǔ)。但可別以為它是好心的修復(fù)程式，其實(shí)Welchi的用心也在於入侵電腦，并且會(huì)從中毒的電腦自動(dòng)再入侵其它有漏洞的機(jī)器，也會(huì)自動(dòng)下傳 Dllhost.exe 到 Windows 的 System32Wins 目錄內(nèi)執(zhí)行。

防毒公司金帥表示，「疾風(fēng)殺手」利用二個(gè)已知的系統(tǒng)漏洞 DCOM/RPC Buffer Overflow 漏洞與 IIS 5.0 的 WebDAV 漏洞，分別使用 TCP Port 135 與 80 入侵電腦，受影響的系統(tǒng)包含 Windows 2000/XP 系統(tǒng)。利用系統(tǒng)提供的 tftpd.exe 備份到 Windows 的 System32Wins 目錄內(nèi)為 Svchost.exe ，并開啟 TFTP Service ，讓遠(yuǎn)端的電腦可以下傳 Dllhost.exe 駭蟲檔案。

目前微軟已提供修補(bǔ)漏洞程式，用戶若要自行檢查是否中毒，可檢查 Windows 的 System32Wins 目錄內(nèi)是否有 Dllhost.exe 與 Svchost.exe 檔案，發(fā)現(xiàn)檔案時(shí)可以刪除。但需注意的是，正常的系統(tǒng)檔案 Dllhost.exe 與 Svchost.exe 是存在 Windows 的 System32 目錄內(nèi)，請勿殺掉。此外，金帥指出，疾風(fēng)殺手在2004年1月1日之後，駭蟲功能將不啟動(dòng)。

本文由 CTIMES 同意轉(zhuǎn)載，原文鏈接:http://www.ctimes.com.tw/DispCols/cn/VIRUS/%E9%87%91%E5%B8%85/%E7%BD%91%E9%99%85%E5%AE%89%E5%85%A8%E7%B3%BB%E7%BB%9F/03081920402L.shtmll