|
|
|
|
 |
|
| 바이러스
이름 |
W32/WinCEO@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Win9x, Win2000, NT |
제작지 |
한국 |
| 발견일 |
20021122 |
바이러스크기 |
91,085 Bytes |
| 메일
제목 |
AVAR 에 관련되거나 N'4(특수문자)(문자) |
| 첨부파일 |
CEO, PIF, HTM의 확장자를 가진 파일 |
| 증상 |
다른 이름: Win32/Winevar.Worm(안철수 연구소)
감염된 이메일의 첨부 파일을 통해 전파 된다.
부정확한 MIME 헤더를 이용하여 E-mail첨부파일을 실
행하도록 야기하는 보
안 버그와 첨부되는 HTML 파일은 Microsoft VM
ActiveX Component의 허점
을 이용 하므로 메일을 클릭 하는 것만으로 감염될
수 있다.
이 HTML 파일에는 CEO 파일을 실행할수 있게 아래의
내용이 레지스트리에
추가 된다.
HKEY_CLASSES_ROOT\.ceo 항목에 기본값(default) 이
exefile 이고,
Content Type 이 "application/x-msdownload 와 같이
된다.
웜이 실행 되면 윈도우의 시스템 폴더(win9x :
c:\windows\system,
Win2000 : C:\Winnt\system32)
에 WINxxxx(xxxx : 시스템에 따른 랜덤 숫자) 파일이
생성되고, 레지스트리
에 아래와 같이 등록하여 재부팅시 실행되며 무작위
로 파일을 삭제하게 된
다.
(실행중이거나 읽기 속성이 있는 파일은 삭제가 되지
않는다.)
또 WINxxxx.tmp 라는 파일도 생성되는데 이것은
W32/FunLove.4099 로 진단
이 되며, ~AAVAR 2002 in Seoul~ 와 같은 문자열을 포
함하고 있다.
HEKY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr
entVersion\run
항목에 WINxxxx 등록.
다음과 같은 메시지 박스가 나타나며, 확인 버튼을 클
릭 하면 c:드라이브의
파일을 삭제 하게 된다.
Make a fool of oneself <- (메시지 박스 캡션)
What a foolish thing you have done!"
또한, 주요 백신 및 파이어월, 모니터 프로그래밍, 시
스템 디버그등의 프로
그램 실행을 중단 시키며, 실패할 경우 컴퓨터가 다운
되는 등의 증상을 나
타낸다.
* AVAR은,"Association of anti Virus Asia
Researchers"의 약자로 아시아 컴퓨터바이러스
연구 모임이며, 이 웜과는 전혀 관련이 없다.
|
|
치료 방법 |
터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료가능 하다.
부정확한 MIME 헤더를 이용하여 E-mail첨부파일을 실행하도록 야기하는 보안 버그와 첨부되는 HTML 파일은 Microsoft VM ActiveX Component의 허점을 이용 하므로 메일을 클릭 하는 것만으로 감염될 수 있다.
이 버그를 수정하기 위해서 아래 사이트에서 패치를 받아 적용하기 바란다.
< Outlook Express >
- http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp
< Outlook 2000 >
- http://office.microsoft.com/korea/downloads/2000/Out2ksec.aspx
< Outlook 2002(Office XP) >
- http://office.microsoft.com/korea/Downloads/2002/oxpsp2.aspx
|
|
직접치료방법 |
|
|
|
