|
이 웜은 자체 smtp를 이용한 이메일을 통해 전파되며, 감연된 메일내용의 언어가 다양 하다.
웜은 감염된 파일에 겹쳐쓰기 하여 정상 파일을 손상시키기도 하며,
특정 프로세스를 자동으로 종료 시키기도 한다.
다음은 신고된 메일의 한 예이다.
[메일 제목]
Don`t worry, be happy!
[메일 내용]
Hi Honey!
I`m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:
[첨부파일]
www.ecard.com.funny.picture.index.nude.php356.pif
[특징]
첨부된 파일이 실행되면
윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에
(랜덤 파일명).exe, (랜덤 파일명).dll 웜 파일이 만들어 진다.
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에
(win2000, NT의 경우)
_Hazafibb = c:\winnt\system32\(랜덤 파일명).exe
(WinXP의 경우)
_Hazafibb = c:\windows\(랜덤 파일명).exe
HKEY_LOCAL_MACHINE\Software\Microsoft\_Hazafibb
웜이 실행 되면 regedit(레지스트리 편집기), msconfig(시스템 구성 유틸리티),task
등의 프로그램 실행을 방해 하며
fvprotect.exe
winlogon.exe
jammer2nd.exe
services.exe
파일및 프로세스가 있다면 종료 후 삭제 한다.
그리고 감염된 컴퓨터에 share, upload 라는 폴더를 발견하면, 다음과 같은 이름으로
웜파일을 생성한다.
winamp 7.0 full_install.exe
Total Commander 7.0 full_install.exe
웜이 감염된 파일을 보내기 위해 다음과 같은 확장자를 가진 파일에서 메일주소를 수집한다.
adb
asp
dbx
eml
htm
mbx
php
pmr
sht
tbb
txt
wab
마지막으로 수집된 이메일 주소에서 다음과 같은 문자열을 발견하면 웜파일을 보내지 않는다.
admi
cafee
google
help
hotm
info
kasper
micro
msn
panda
sopho
suppor
syma
trend
use
vir
webm
win
yaho |
|
|
Home 
