|
Windows Address Book, 쿠키 파일, 인터넷 임시 파일, 현재 사용자 개인 폴더에 저장되 있는 메일 주소를 추출하여 감염된 이메일의 첨부 파일을 통해 전파되며, KaZaa와 같은 공유 프로그램으로도 전파 된다.
또한 백도어 프로그램과 키보드 입력 정보를 저장하는 키로거(Keylogger)도 포함 하고 있으며, 다음과 같은 문자열을 가진 프로세스를 종료 시킨다.
AVP
ANTIV
F-PROT
NAV
SCAN
TASKM
VIRUS
VSHW
VSS
NMAIN
아래의 목록은 바이러스가 랜덤하게 사용하는 메일의 제목이다.
Damn it feels good to be gangsta.
imbrue
I thought this was interesting...
kind of simple, but fun nonetheless.
rather psychedelic...
found this on the net, you might like it...
LOL
check this out... hehehe
question...
see you tomorrow.
Know Thyself
Hell
I love you
little popup remover
The way I feel - Remy Shand
Paradigm Shift
B cannot remember
Yo, WASSUP, B?
an interesting program...
You might not appreciate this...
I think you might find this amusing...
how are you?
you need to lose weight.
why?
WASSUP!
메시지: 메시지는 웜에 포함되어 있는 다음 목록중에서 무작위로 선택된다.
I sent this program (Sparky) from anonymous places on the net.
The way to gain a good reputation is to endeavor to be what you desire to appear.
There is only one good, knowledge, and one evil, ignorance.
Watchin'' the game, having a bud.
Did you ever stop to think that viruses are good for the economy? Maybe the primary creators of the world''s worst viruses are the companies that make the Anti-Virus software.
Today is a good day to die...
so, how are you?
the attachment is only for you to look at
you must not show this to anyone...
delete this as soon as you look at it...
Let me know what you think of this...
If you don''t like it, just delete it.
thought I''d let you know
you don''t have to if you don''t want to.
이 바이러스는 자신을 실행할수 있게 아래의 내용이 레지스트리에 추가 된다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에
Win9x의 경우 SystemInit = C:\Windows\iservc.exe
Win2000의 경우 SystemInit = C:\Winnt\iservc.exe
HKEY_LOCAL_MACHINE\Software\CLASSES\txtfile\shell\open\command
항목에
Win9x의 경우 (기본값) ="c:\Windows\ProgOp.exe 0 7 ''c:\Windows\notepad.exe %1''''C:\Windows\initbak.dat''''iservc.exe''"
Win2000의 경우 (기본값) ="c:\Winnt\ProgOp.exe 0 7 ''c:\Winnt\System32\notepad.exe %1''''c:\Winnt\initbak.dat''''iservc.exe''
웜이 실행 되면 윈도우 폴더(win9x : c:\windows, Win2000 : C:\Winnt)
에 다음과 같은 파일이 생성된다.
data1-2.cab
initbak.dat
iservc.dat
iservc.dll
iservc.exe
ProgOp.exe
Uninstall.pky
upd.bin
또한 iservc.klg 파일을 생성하는데 이 파일은 감염자의 키보드 입력 정보를 저장해둔다.
그리고 탑재된 백도어가 사용가능한 2018, 2019, 2020, 2021 등의 포트를 열어 둔다.
아래의 내용은 바이러스가 접속을 시도하려는 IRC 서버의 목록이다.
irc.awesomechat.net
irc.blueshadownet.org
irc.chatlands.org
irc.darkmyst.org
irc.hemmet.chalmers.se
irc.exodusirc.net
irc.mirc.gr |
|
|
Home 
