|
이 웜은 이메일을 통하여 전파되며, 아래와 같은 본문 내용을 가지고 있다.
Hello Dear!,
Finally i''ve found possibility to right u, my lovely girl :)
All our photos which i''ve made at the beach (even when u''re without ur bh:))
photos are great! This evening i''ll come and we''ll make the best SEX :)
Right now enjoy the photos.
Kiss, James.
첨부 파일 photos.zip은 압축파일 이고, 압축을 풀면 photos.jpg.exe 파일이 생성되며, 이 파일이 실행 되어 실제 감염이 이루어진다.
해당 파일이 실행 되면 윈도우 폴더(win9x, XP: c:\windows, win2000: c:\winnt)에 Netwatch.exe, Zip.tmp, Exe.tmp, Eml.tmp을 생성한다.
Netwatch.exe : 웜의 본체파일
Zip.tmp : Photo.zip 파일이며 파일내부에 Photo.jpg.exe파일을 내장하고 있다.
Exe.tmp : 첨부된 zip 파일을 해제할때 photo.jpg.exe파일을 생성한다.
Eml.tmp : 웜이 추출한 이메일 주소록.
그런 다음 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
(win9x, Xp의 경우)
NetWatch32 = c:\windows\netwatch.exe
(win2000, NT의 경우)
NetWatch32 = c:\winnt\netwatch.exe
google.com 에 접속이 되면 시스템의 파일에서 메일주소를 수집한 다음 수집된 메일을 가지고, 내장되어 있는 SMTP 를 이용하여 웜을 발송한다.
또한 다음확장자를 제외한 파일에서 메일주소를 주집하기도 한다.
- exe
- dll
- com
- wav
- cab
- pdf
- rar
- zip
- tif
- psd
- ocx
- vxd
- mp3
- mpg
- avi
- gif
- jpg
- bmp |
|
|
Home 
