|
*감염
경로
윈도우
보안
취약점을
통해
감염
*증상
Worm-W32/AgoBot.119808.E
가
실행되면
다음
작업을
수행한다
-파일
생성
윈도우
시스템
폴더에
cmd.exe.tmp
라는
파일을
생성한다.
|
윈도우
시스템
폴더 |
|
95/98/ME |
C:\Windows\System |
|
NT/2000 |
C\WinNT\System32 |
|
XP |
Windows\System32 |
.
-레지스트리
등록
레지스트리에
다음
value를
등록해
윈도우
구동시
자동
실행되도록
만든다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“cmd”
= 윈도우
시스템
폴더\cmd.exe
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
“cmd”
= 윈도우
시스템
폴더\cmd.exe
감염된
시스템은
TCP 임의의
포트를
LISTENING 상태로
열어둔다.
(상대로부터
접속을
기다리는
상태)
그
후
사용자
몰래
접속
해
스팸
메일
발송,
애드웨어
설치,
데이터
삭제,
그리고
개인의
컴퓨터
사용
내역을
훔쳐보거나
각종
파일(개인
문서,
기밀
문서
등)을
외부로
빼가는
보안상
문제도
발생할
수
있음
-hosts
파일 변경
HOSTS
파일을 수정해 감염된 시스템이 보안 사이트 홈페이지
접속이나 안티 바이러스 엔진 업데이트를 방해하여 정보를 얻거나 치료를 방해한다.
주)
HOSTS 파일은 사용 윈도우에 따라 다른 폴더에 존재한다.
95/98/ME
C:\Windows\System
NT/2000 C:\WinNT\System32\Drivers\ETC
XP C:\Windows\System32\Drivers\ETC
접속이 차단되는 주소는 다음과 같다.
www.symantec.com
securityresponse.symantec.com
symantec.com
www.sophos.com
sophos.com
www.mcafee.com
mcafee.com
liveupdate.symantecliveupdate.com
www.viruslist.com
viruslist.com
viruslist.com
f-secure.com
www.f-secure.com
kaspersky.com
www.avp.com
www.kaspersky.com
avp.com
www.networkassociates.com
networkassociates.com
www.ca.com
ca.com
mast.mcafee.com
my-etrust.com
www.my-etrust.com
download.mcafee.com
dispatch.mcafee.com
secure.nai.com
nai.com
www.nai.com
update.symantec.com
updates.symantec.com
us.mcafee.com
liveupdate.symantec.com
customer.symantec.com
rads.mcafee.com
trendmicro.com
www.trendmicro.com |
