|
W32/Sobig@mm 의 변형으로 다른 이름은 W32/Sobig.B@mm 이다.
wab, dbx, htm, html, txt, eml 에서 메일 주소를 추출하여 감염된
이메일의 첨부파일과 네트웍 공유 폴더를 통해서 전파된다.
아래의 목록은 바이러스가 랜덤하게 사용하는 메일의 제목이다.
Your details
Your password
Screensaver
Approved (Ref: 38446-263)
Cool screensaver
Re: Approved (Ref: 3394-65467)
Re: Movie
Re: My application
Re: My details
첨부파일 명은 다음에서 선택 된다.
approved.pif
application.pif
doc_details.pif
movie28.pif
password.pif
ref-394755.pif
screen_doc.pif
screen_temp.pif
your_details.pif
이 바이러스는 자신을 실행할수 있게 아래의 내용이 레지스트리에 추가 된다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에
Win9x의 경우 System Tray = C:\Windows\msccn32.exe
Win2000의 경우 System Tray = C:\Winnt\msccn32.exe
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
항목에
Win9x의 경우 System Tray = C:\Windows\msccn32.exe
Win2000의 경우 System Tray = C:\Winnt\msccn32.exe
웜이 실행 되면 윈도우 폴더(win9x : c:\windows, Win2000 : C:\Winnt)
에 다음과 같은 파일이 생성된다.
msccn32.exe
hnks.ini
또한 아래의 네트웍 경로에 웜을 복사하여 자기 자신이 실행되도록 한다.
Windows\All Users\Start Menu\Programs\StartUp\
Documents and Settings\All Users\Start Menu\Programs\Startup\
웜은 2003년 5월 31일 이 후에는 더이상 바이러스를 첨부한 메일을
발송하지 않는다.
|
|
|
Home 
