(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

W32/Zafi@mm

바이러스 종류

Worm

실행환경

Windows

발견일

2004년06월12일

제작지

불분명

위험등급

확산방법

바이러스 크기

12,800 bytes

첨부파일

www.ecard.com.funny.picture.index.nude.php356.pif 외 다수

메일제목

Don`t worry, be happy! 외 다수

증상요약

치료방법

터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.

상세설명

이 웜은 자체 smtp를 이용한 이메일을 통해 전파되며, 감연된 메일내용의 언어가 다양 하다.
웜은 감염된 파일에 겹쳐쓰기 하여 정상 파일을 손상시키기도 하며,
특정 프로세스를 자동으로 종료 시키기도 한다.

다음은 신고된 메일의 한 예이다.

[메일 제목]

Don`t worry, be happy!

[메일 내용]

Hi Honey!
I`m in hurry, but i still love ya...
(as you can see on the picture)
Bye - Bye:

[첨부파일]

www.ecard.com.funny.picture.index.nude.php356.pif

[특징]

첨부된 파일이 실행되면

윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에
(랜덤 파일명).exe, (랜덤 파일명).dll 웜 파일이 만들어 진다.

또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에

(win2000, NT의 경우)
_Hazafibb = c:\winnt\system32\(랜덤 파일명).exe

(WinXP의 경우)
_Hazafibb = c:\windows\(랜덤 파일명).exe

HKEY_LOCAL_MACHINE\Software\Microsoft\_Hazafibb

웜이 실행 되면 regedit(레지스트리 편집기), msconfig(시스템 구성 유틸리티),task
등의 프로그램 실행을 방해 하며
fvprotect.exe
winlogon.exe
jammer2nd.exe
services.exe

파일및 프로세스가 있다면 종료 후 삭제 한다.

그리고 감염된 컴퓨터에 share, upload 라는 폴더를 발견하면, 다음과 같은 이름으로
웜파일을 생성한다.

winamp 7.0 full_install.exe
Total Commander 7.0 full_install.exe

웜이 감염된 파일을 보내기 위해 다음과 같은 확장자를 가진 파일에서 메일주소를 수집한다.

adb
asp
dbx
eml
htm
mbx
php
pmr
sht
tbb
txt
wab

마지막으로 수집된 이메일 주소에서 다음과 같은 문자열을 발견하면 웜파일을 보내지 않는다.

admi
cafee
google
help
hotm
info
kasper
micro
msn
panda
sopho
suppor
syma
trend
use
vir
webm
win
yaho

예방 및 수동조치방법