|
|
|
|
 |
|
| 바이러스
이름 |
Worm-W32/SMB.163840 |
바이러스
종류 |
Worm |
| 실행
환경 |
9x, 2000, nt, xp |
제작지 |
한국으로 추정 |
| 발견일 |
20030926 |
바이러스크기 |
163840 Byte |
| 메일
제목 |
MSN 을 통해 전파됨 |
| 첨부파일 |
SMB.exe |
| 증상 |
MSN 메신저를 통해 2003/09/26 현재 급속히 SMB.exe 파일이 전파되고있다.
실행 할 경우, MSN 에 등록된 주소로 자동으로 재전송한다.
MSN 메신저를 통해 전송된 SMB.exe 파일을 받아 실행하게되면,
admagic.exe, msnVC.exe, raw32x.dll, sm.dll 이 생성된다.
SMB.exe 자체 적으로 uz.exe 라는 Mini unzip 프로그램을 내장하여 파일들을 해제하게된다. 해제된 파일은 C: 루트 폴더로 이동되며, 레지스트리에 사이트주소등과 레즈스트리에 등록되어 윈도우 시작시 실행된다.
sm.dll 파일이 로드되면, 자체 스크립트가 실행되어 IE(인터넷익스플로러) 가 실행될때 동시에 실행되도록 한다.
[레지스트리 값]
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에
svchost = c:\Admagic.exe 를 등록한다.
바이러스 파일 내부에 다음의 주소가 내장되어 무작위적으로 접속을 시도한다.
http://sexwal.porno10000hwa.com/?i=8
http://www.asiasex.jp/?pip=sexwal
http://realbozi.com/code.php?p=sexwal&i=2
http://www.sex-korea.cn/?pip=sexwal
http://hiddensex.jp/index5.php?code=sexwal
http://hyeyoungnude.com/?p=sexwal&i=10
http://www.say0303.com/index.php?code=030317077111&intro=&adult_pass=
http://erosasia.com/index.cgi?ID=1244275
http://sseng10tv.com/index.asp?ID=7693387
바이러스 내부에 다음과 같은 문자열을 가진다.
a d m a g i c H e l l o W o r l d !
A D M A G I C
|
|
치료 방법 |
터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료
가능 합니다. |
|
직접치료방법 |
1. Crtl+Alt+Del 키를 누르면 프로세스 목록을 확인 할 수 있다.
admagic.exe 가 있다면 강제종료한다.
2. C: 루트 디렉토리의 smb.exe, admagic.exe 를 삭제한다.
3. [시작]-[실행]에서 Regedit.exe 실행 후,
다음의 키 값을 삭제한다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에
svchost = c:\Admagic.exe 값 삭제
|
|
|
