*감염 경로

이 바이러스는 해킹된 특정 웹사이트를 통해서 유포된 것으로 보이며 최근에는 웜이나 다른 악성코드에 결합되어 네트워크를 타고 감염되는 것으로 보인다.

*증상

감염되면 아래와 같은 문자가 포함된 폴더나 파일을 제외한 exe파일은 감염이 된다.

- WINC
- WCUN
- WC32
- PSTO

감염된 파일을 실행하면 윈도우 시스템 프로세스인 Winlogon.exe 에 자신의 코드를 인젝션 해둔다.

아래와 같은 이벤트값을Winlogon.exe에 발생 시켜 Winlogon.exe에 중복 인젝션 되는 것을 방지 시킨다.

-VT_4

특정 서버로 접속을 시도하며 추가적으로 다른 악성코드의 다운로드를 시도한다.

-Proxima.ircgalaxy.** (port 65520)

감염된 파일은 TimeDateStamp 값이 0x20202020으로 변경하는데 이는 자기 자신이 중복되어 감염되는 것을 방지하기 위한 값이다.

또한 다른 바이러스와는 달리 시작점은 그대로 이며 시작점 근처의 임의의 코드를 바이러스가 시작하는 부분으로 호출하도록 변경함으로써 자기 자신을 호출함으로써 진단을 어렵게 만든다.

바이러스 시작부분에는 바이러스 본체 부분을 복호화 하는 코드가 있으며 바이러스 본체는 파일 뒤에 위치한다.