|
|
|
|
 |
|
| 바이러스
이름 |
W32/Sober.42496@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Windows |
제작지 |
불분명 |
| 발견일 |
20040404 |
바이러스크기 |
42,496byte |
| 메일
제목 |
Oh my God 외 다수 |
| 첨부파일 |
attachment.pif 외 다수 |
| 증상 |
이 웜은 이메일을 통하여 전파되며, 비주얼 베이직으로 제작되었다.
웜을 포함한 이메일은 아래와 같은 제목과 본문 첨부파일로 구성되어 전파된다.
[메일 제목]
(독일어)
Besttigung
Datenbank-Fehler
Einzelheiten
Fehler
Fehler in E-Mail
Fehlerhafte Mailzustellung
Hallo Du!
Hallo!
Hey Du
Ich bin es .-)
Ich bin''s
Ihr Passwort
Ihr neues Passwort
Illegale Zeichen in Mail-Routing
Info
Information
Mailzustellung fehlgeschlagen
Na, berrascht?!
Registrierungs-Besttigung
Verbindung fehlgeschlagen
Verdammt
Warnung!
(영어)
Bad Gateway
Confirmation Required
Connection failed
Faulty mail delivery
Hey- Hi, it''s me
Hi!- hey you
Illegal signs in Mail-Routing
Invalid mail sentence length
Mail Delivery failure
Mail Error
Message Error
Oh my God
Warning!
Well, surprise?!
Your document
damn!
elivery failed
mail delivery status
[메일 내용]
(독일어)
Ich war auch ein wenig
Wer konnte so etwas ahnen!? Lese selbst
Oh-Mann
Alles klaro bei dir?
Schau mal was Ich gefunden habe
Meinst Du das wirklich?
(영어)
I was surprised, too! :-(
Who could suspect something like that?
All OK :)
see, what i''ve found!
hi its me
i''ve found a shity virus on my pc. check your pc, too!
follow the steps in this article.
bye
I ''ve told you!:-) sometime I grab your passwords!
I hope you accept the result!
Follow the instructions to read the message.
Please read the document
[첨부파일]
첨부파일의 확장자는 zip, pif로 이루어져 있다.
attachment
AMD-System.txt
Anleitung
AntiVirus-Text
Benutzer-Daten
Block-Lists
Datenbank-Fehler
Dokument
KurzText
Oh-Mann
Passwoerter.txt
Text-Inhalt
Textdocument
_attach
abuse-liste
anitv_text
attach
attach-message
corrected_text-file
instructions
messagedoc
pass-message
schwarze-listen
text
your_article
your_passwords
[특징]
웜이 실행되면 다음과 같이 윈도우 시스템 폴더(win 2000, NT : c:\Wint\system32, win XP : c:\windows\system32)
에 zmndpgwf.kxx, zhcarxxi.vvx, bcegfds.lll, syst32win.dll, winsys32xx.zzp, winhex32xx.wrm, spoofed_recips.ocx
파일을 생성한다.
시스템에 생성하는 웜 파일은 특정 문자열을 랜덤하게 조합하여 생성한다.
*랜덤문자 :
sys, host,dir,expolrer,win,run,log,32,disc,crypt,data,diag,spool,service,smss32,
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
항목에
(win9x의 경우)
랜덤 문자 = c:\windows\system\(랜덤문자).exe
(win2000, NT의 경우)
랜덤문자 = c:\winnt\system32\(랜덤문자).exe
(WinXP의 경우)
랜덤문자 = c:\windows\system32\(랜덤문자).exe
를 기록한다.
다음으로 .HTM, .HTML,, .TXT, .WAB, .PHP, .XLS, XML, .MSG, .mbx, .mdx,
.jsp, .eml, .cgi 등등의 확장자를 지닌 파일에서 메일 주소를 수집하여
지체 SMTP를 이용하여 웜이 첨부된 메일을 발송하지만 다음 도메인으로는
감염된 메일이 발송되지 않는다.
@microsoft
mailer-daemon
office
redaktion
support
variabel
password
time
postmas
service
freeav
@ca.
abuse
winrar
domain.
host.
viren
ewido.
emsisoft
linux
google
@foo.
winzip
@arin
mozilla
@iana
@avp
@msn
microsoft.
@sophos
@panda
symant
ntp-
ntp@
@ntp.
@kaspers
free-av
antivir
virus
verizon.
@ikarus.
@nai.
@messagelab
clock |
|
치료 방법 |
터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.
*터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를
실행하시기 바랍니다. |
|
직접치료방법 |
|
|
|
