|
비주얼 C++로 작성되었으며, windows 2000, XP에서 관리 목적으로 설정된
공유폴더를 통해 전파된다.
특정 IP는 웜에 의해서 결정된 범위에서 대상을 선택 하여
감염여부를 확인하게 되며, 이 과정은 지속적으로 이루어지기 때문에
네트웍을 통한 작업시 시스템 성능이 저하되는 현상이 발생 할 수 있다.
감염된 시스템은 TCP 1080, 8080 포트를 이용하여 SYN_SENT패킷을
보내어 트레픽이 증가하게 된다.
또한 135, 139번 포트를 오픈시켜 둔다.
감염이 되면 윈도우 시스템 폴더(c:\windows\system32, c:\Winnt\system32)에 scardsvr32.exe을 생성한다.
이 파일이 실행 되면 scardsvr32.dll, MoFei.DAT, MoFei.VER, MoFei.ID, MoFei.cfg, MoFei.MIS 파일이 생성된다.
또한 레지스트리 서비스 항목에 다음의 값을 추가하여 부팅시 웜을 실행 하도록 한다.
서비스의 이름은 Smart Card Helper Properties 이다.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet\Services\SCardDrv
항목에
ImagePath = c:\winnt\system32\scardsvr32.exe -v
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SCardDrv
항목에
ImagePath = c:\winnt\sytem32\scardsvr32.exe -v
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\SCardDrv
항목에
ImagePath = c:\winnt\sytem32\scardsvr32.exe -v
|
|
|
Home 
