Robak tworzy dwa żądania, które wysyłane są do komputerów zdalnych. Pierwsze z nich wykorzystuje lukę WebDav, natomiast drugie - DCOM RPC (niemal identycznie, jak robił to robak Lovesan).Następnie Welchia.b wybiera adres IP, wysyła żądanie ICMP i oczekuje na odpowiedź. Jeżeli zdalny komputer odpowie na żądanie, robak łączy się z nim za pośrednictwem portu 135 (identycznie jak Lovesan) lub 80 (jeżeli na atakowanym komputerze zainstalowany jest serwer IIS). Na koniec robak wysyła do atakowanego komputera pakiet, który pobiera zainfekowany kod.
Więcej informacji.
Znasz już sposób rozprzestrzeniania się wiruska, więc zrób co trzeba.