(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

Worm-W32/BoBox.22528

바이러스 종류

Worm

실행환경

Windows

발견일

2004년05월18일

제작지

불분명

위험등급

확산방법

바이러스 크기

22,528

첨부파일

메일제목

증상요약

치료방법

터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.

마이크로 소프트 MS04-011 보안패치가 안된 사용자는 다시 재감염 되므로 다음 링크에서 해당 운영체제에 맞는 보안패치를 받아 설치 해야 한다.
MS04-011 보안패치 페이지 설명(한글)

Windows XP 패치 다운로드

Windows 2000 패치 다운로드

만약 패치를 받는 동안 윈도우 재부팅 카운드가 나오면 다음과 같이 중지시키도록 한다.

[시작]->[실행] -> Shutdown -a 입력후 [enter]

[참고]
마이크로 소프트 사에서는 네트웍 보안 취약점에 대한 검사를 실행해 주는 MBSA(Microsoft Baseline Security Analyzer) 프로그램을 제공하고 있으므로 확인해 보기 바란다.

http://www.microsoft.com/korea/technet/security/tools/Tools/MBSAhome.asp

상세설명

이 웜은 Worm-W32/Sasser.15872 처럼 마이크로 소프트 사에서 발표한
2004년 4월 보안 패치중 MS04-011 패치가 안된 컴퓨터를 대상으로 작동 한다.
해외에서 5월 18일 부터 전파되기 시작 하였으며 TCP 445번 포트의 이상 트레픽을 일으킨다.
또한 TCP 445번 을 이용하여 타겟의 버퍼 오버런을 발생 하고, 감염된 시스템은 HTTP 서버가
된다.
그리고 일부 시스템에서는 인터넷 익스플로러 사용시 페이지를 찾을수 없다는 메시지와 함께
웹 서핑이 어려워지기도 한다.

[특징]

MS04-011 패치가 안된 시스템을 찾기 위해 감염된 시스템으로부터

TCP 5000 포트를 이용, 임의의 IP 대역으로 접속을 시도 하며, 취약점 시스템을 발견할 경우

svc.exe(22,528byte) 파일을 다운로드 시키고 ~(숫자).tmp (ex : ~1.tmp, ~4.tmp 등등)을

생성하여 explore 에 inject 시킨다.

그리고 윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에
(랜덤 파일명).exe 웜 파일이 만들어 진다.
(ex : ujlzzdgh.exe )

또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에

(win2000, NT의 경우)
(랜덤 파일명) = c:\winnt\system32\(랜덤 파일명).exe

(WinXP의 경우)
(랜덤 파일명) = c:\windows\(랜덤 파일명).exe

예방 및 수동조치방법