|
이 웜은 이메일을 통하여 2월 18일 부터 전파되었으며 국내에는
2월 19일 오전 부터 전파되기 시작한 것으로 추정된다.
웜을 포함한 이메일은 아래와 같은 내용을 가지고 있다.
[메일 제목]
hi
hello
read it immediately
information
stolen
fake
something for you
warning
unknown
[메일 내용]
현재 까지 알려진 것중 다음에서 선택 된다.
I have your password!
about me
anything ok?
do you?
fake
from the chatter
greetings
hello
here
here is the document.
here it is
here, the cheats
here, the introduction
here, the serials
hi
i found this document about you
i hope it is not true!
i wait for a reply!
i''''''''''''''''m waiting
information
information about you
is that from you?
is that true?
is that your account?
is that your name?
kill the writer of this document!
misc
my hero
ok
read it immediately!
read the details.
reply
see you
something about you!
something is fool
something is going wrong
something is going wrong!
stuff about you?
take it easy
that is bad
that''''''''''''''''s funny
thats wrong
what does it mean?
yes, really?
you are a bad writer
you are bad
you earn money
you feel the same
you try to steal
your name is wrong
[첨부파일]
다음중에서 선택 되어 진다. 확장자가 zip 외에 scr, pif, exe 등이 붙을 수 있다.
aboutyou
attachment
bill
concert
creditcard
details
dinner
disco
doc
document
final
found
friend
information
jokes
location
mail2
mails
me
message
msg
nomoney
note
object
part2
party
posting
product
ps
ranking
release
shower
story
stuff
swimmingpool
talk
textfile
topseller
website
misc
(웜이 발송한 메일의 예)
1. 메일 제목 : read it immediately
본문 내용 here
첨부파일 이름: ranking.zip
2. 메일 제목 : read it immediately
본문 내용 : here it is
첨부파일 이름 : release.zip
[특징]
첨부파일은 release.zip(22,144 bytes) 외 다수 이며, 압축을 해제 하면 마이크로 소프트 워드 아이콘을 하고 있다.
처음 실행시에 다음과 같이 윈도우 시스템 폴더(win 2000, NT : c:\Wint\system32, win XP : c:\windows\system32)
에 있는 services.exe 파일 이름과 똑같은 이름으로 윈도우 폴더 (win 2000, NT : c:\Wint, win XP : c:\windows)에
생성되어 마치 정상 프로그램 인 것 처럼 속인다.
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
(win2000, NT의 경우) service = c:\winnt\services.exe -serv
(WinXP의 경우) service = c:\windows\services.exe -serv
다음으로 .HTM, .HTML,, .TXT, .WAB 확장자를 지닌 파일에서 메일 주소를 수집하여 웜이 첨부된 메일을 발송한다
마지막으로 레지스트리에 Mydoom 웜 변종이 생성한 값과 몇가지 레지스트리 값이 삭제 된다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
항목에
Taskmon
Explorer
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
Taskmon
Explorer
KasperskyAv
system
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
항목에
system
|
|
|
Home 
