*증상

myphotos2007.zip 이라는 파일명으로 msn메신저를 통해 확산되며 myphotos2007.zip파일속에는 DSC515607.jpg-www.pictureland.com 파일이 압축되어 있다. 이 파일을 실행하면 윈도우 폴더와 시스템 폴더에 아래와 같은 파일을 생성한다.

또한 msn으로 다음과 같은 메시지를 보낸다.

What do you think of this picure? i feel i look ugly :/

Here''s a new pic of me

some pictures from my holyday :p

have u seen this picture? if not, se ..

Haha, is that you on that picture?

lol, picture off a friend naked, just found it on a web site, do you know here?

How do i look at this picture?

-파일 생성

Backdoor 가 실행 되면, 일반적으로 윈도우 폴더에 myphotos2007.zip파일이 설치 된다
- DSC515607.jpg-www.pictureland.com (진단명 : Backdoor-W32/IRCBot.66048)파일이 압축되어 있음

-윈도우 폴더란?

-          윈도우 95/98/ME/XP  - C:\Windows\

-          윈도우 NT/2000       -C:\WinNT\

Backdoor 가 실행 되면, 일반적으로 윈도우 시스템 폴더에 newsystem25.dll (Backdoor-W32/IRCBot.18228) 파일이 설치 된다

-윈도우 시스템 폴더란?

-          윈도우 95/98/ME     - C:\Windows\System,

-          윈도우 NT/2000      -C:\WinNT\System32

-          윈도우 XP           - C:\Windows\System32

-레지스트리 등록

감염된 시스템은 자신을 다음과 같이 레지스트리에 등록한다

HKEY_CLASSES_ROOT\CLSID\{ AB3240E6-0190-4C61-9315-1008B7255A06}\InProcServer32
(Default) = newsystem25.dll

감염된 시스템은 TCP 8080 포트를 LISTENING 상태로 열어둔다. (상대로부터 접속을 기다리는 상태)

그 후 사용자 몰래 접속 해 스팸 메일 발송, 애드웨어 설치, 데이터 삭제, 그리고 개인의 컴퓨터 사용 내역을 훔쳐보거나 각종 파일(개인 문서, 기밀 문서 등)을 외부로 빼가는 보안상 문제도 발생할 수 있다.