blaster worm

Tipe:  Worm
  Panjang infeksi :  10,240 bytes  
  Systems yang dapat di infeksi:Microsoft IIS, Windows 2000, Windows XP
  Systems yang tidak terinfeksi:Linux, Macintosh, OS/2, UNIX, Windows 3.x,
  Windows 95, Windows 98, Windows Me, Windows NT

  Port yang digunakan: TCP 135(RPC DCOM), TCP 80(WebDav)

  saat W32.Welchia.Worm di eksekusi, maka akan melakukan:

  mengkopikan dirinya ke:
  %System%\Wins\Dllhost.exe
  catatan %Sytem% adalah variabel, worm akan mencari folder file system dan
  mengkopikan dirinya,secara default adalah C:\Winnt\System32 (Windows 2000)
  atau
 
  C:\Windows\System32 (Windows XP).membuat kopi file
  %System%\Dllcache\Tftpd.exe sebagai %System%\Wins\svchost.exe.

  catatan:Tftpd adalah program yang diijinkan, sehingga sulit untuk dideteksi
  oleh antivirus.
 
  menambah subkeys:
 RpcPatch

 dan:

 RpcTftpd

  ke registry key di:

 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services


  Membuat beberapa services:

  Nama Service : RpcTftpd
  Service Display Name: Network Connections Sharing
  Service Binary: %System%\wins\svchost.exe

  Service ini akan diset untuk berjalan secara manual.

  Nama Service : RpcPatch
  Service Display Name: WINS Client
  Service Binary: %System%\wins\dllhost.exe

  Service ini akan di set untuk dapat berjalan secara otomatis.
  Proses terakhir adalah menghapus file %System%\msblast.exe sebagai tempat
  pertama kali W32.Blaster.Worm


  worm ini melakukan:
  - mengirimkan packet ICMP /ping , untuk mengecek apakah komputer denga ip
    tersebut aktif di jaringan.
  - Setelah worm berhasil mengetahui bahwa mesin tersebut aktif di jaringan
    maka akan mengirimkan data ke port  tcp 135  dan  akan  mengeksploitasi
    kelemahan DCOM RPC
    atau,
    akan mengirim date ke port tcp 80 untuk mengeksploitasi kelemahan Webdav
  - membuat shell untuk remote pada   mesin   yang  telah   di    ekspoitasi
    kelemahannya dan akan mencoba terhubung  ke   mesin   penyerang   dengan
    menggunakan prot tcp secara acak, antara    666 dan 765   untuk menerima
    instruksi.
  - Menjalankan server TFTP pada mesin penyerang dan menginstruksikan mesin
    yang tereksploitasi (korban) untuk terhubung dan mendownload Dllhost.exe
    dan Svchost.exe   dari mesin  penyerang. jika file 
    %System%\dllcache\tftpd.exe ada,  maka   worm   tidak  akan  mendownload
    svchost.exe.
  - memeriksa versi   Sistem operasi komputer tersebut, Nomor   Service pack
    dan juga menghalangi untuk terhubung ke Microsoft's Windows Update   dan
    mencegah komputer untuk DCOM RPC vulnerability patch.

  Untuk memusnahkan worm ini dapat dilakukan beberapa cara:
  + Gunakan peralatan removal W32.Welchia.WOrm
  + Menghapus secara manual:
   1 menDisable System Restore (Windows XP).
     mengapa? XP kuhusnya secara   default   mengenable    system   restore,
     mengapa berbahaya?   karena virus,  worm   atau trojan yang menginfeksi
     komputer anda mungkin saja di backup juga oleh system restore dan  yang
     membuat lebih berbahaya adalah windows melindungi program lain,termasuk
     antivirus untuk memodifikasi (menquarantine, menghapus dan membersihkan)
     sytem restore=system restore bisa jadi tempat teraman bagi  virus   dkk.
     karena itu anda wajib men-disablekan system restore anda  
 
    untuk mematikan system restore:
    - anda harus sebagaoi administrator (xp)
    - masuk ke control panel
    - pilih system, di system properties pilih System restore
    - centang turn off system restore   

 
   2 Update virus definition dari antivirus yang digunakan. anda hanya perlu
     mengunjungi situs antivirus anda, atau menjalankan Live Update langsung
     dari program antivirus anda untuk melaukan update.

   3 Restart komputer anda dalam save mode untuk menghentikan Worm.
     untuk windows 95/98/me anda bisa masuk ke save mode setelah restart
     sedangkan,
     untuk xp/nt/win 2000
     anda dapat menghentikan kerja virus buat sementara dengan cara:
     -masuk control panel
     -pilih services pada administrative tools
     -scroll kebawah sampai anda temukan
       + Network Connections Sharing
       + WINS Client
     -klik-kanan dan pilih stop
 
   4 jalankan full system scan dan delete semua file  yang dideteksi sebagai
     W32.Welchia.Worm.jalankan full scan dan   konfigurasi  terlebih  dahulu
     antivirus anda jika ditemukan ada file yang terinfeksi W32.Welchia.Worm
     maka hapus file tersebut

   5 Delete values& subkeys yang dibuat oleh virus di registry.
     hal ini sedikit beresiko, sebelum anda lakukan, backup dulu registry anda
   
     -klik start -run dan ketik regedit
       masuk ke key:

       HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
     
       hapus subkey berikut:

       RpcPatch

       dan

       RpcTftpd
       simpan perubahan dan keluar dari registry

   6 Delete Svchost.exe file.
     masuk ke folder  %system%wins dan hapus semua file svchost.exe

sumber : http://ezine.echo.or.id/ezine1/w32.welchia.worm.txt