|
|
 |
|
|
| 바이러스
이름 |
W32/Mytob.33485@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Windows |
제작지 |
불분명 |
| 발견일 |
20050617 |
바이러스크기 |
33,485 Byte |
| 메일
제목 |
Members Support 외 다수 |
| 첨부파일 |
document.zip 외 다수 |
| 바이러스 증상 |
[메일 제목]
다음 중에서 선택된다.
*DETECTED* Online User Violation
Email Account Suspension
Important Notification
Members Support
Notice of account limitation
Security measures
Warning Message: Your services near to be closed.
You have successfully updated your password
Your Account is Suspended
Your Account is Suspended For Security Reasons
Your new account password is approved
Your password has been successfully updated
Your password has been updated
[메일 내용]
Dear {도메인 아이디} Member,
We have temporarily suspended your email account {도메인주소}.
This might be due to either of the following reasons:
1. A recent change in your personal information
(i.e. change of address).
2. Submiting invalid information during
the initial sign up process.
3. An innability to accurately verify
your selected option of subscription
due to an internal error within our processors.
See the details to reactivate your {random} account.
Sincerely,The {도메인주소} Support Team
+++ Attachment: No Virus (Clean)
+++ {도메인주소} Antivirus - www.{도메인주소}
[첨부파일]
이름 은 다음 리스트에서 선택 된다.
accepted-password
account-details
account-info
account-password
account-report
approved-password
document
email-details
email-password
important-details
new-password
password
readme
updated-password
확장자는 다음과 같다.
BAT
CMD
EXE
PIF
SCR
ZIP
[특징]
웜이 실행되면 다음과 같이 윈도우 시스템 폴더(win 2000, NT : c:\Wint\system32, win XP : c:\windows\system32)
에 skybotx.exe 파일을 생성한다.
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
WINDOWS SYSTEM = "skybotx.exe"
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices
항목에
WINDOWS SYSTEM = "skybotx.exe"
를 기록한다.
windows xp 에서는 firwall 설정에 관계된 다음 레지스트리를 수정한다.
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess
Start = "4"
이메일 주소는 다음 확장자를 가진 파일에서 추출 한다.
ADB
ASP
DBX
HTM
JSP
PHP
PL
SHT
TBB
WAB
XML
다음 문자열을 포함한 메일주소로는 감염된 메일을 보내지 않는다.
acketst
arin.
be_loyal:
berkeley
borlan
example
google
hotmail
ibm.com
icrosof
inpris
isc.o
isi.e
kernel
linux
mit.e
mozilla
mydomai
nodomai
panda
postmaster
rfc-ed
ripe.
ruslis
samples
secur
sendmail
sopho
tanford.e
usenet
utgers.ed
webmaster
www
you
your
다음 문자를 포함한 메일주소로는 감염된 메일을 전송하지 않는다.
abuse
accoun
acketst
admin
administrator
anyone
arin.
be_loyal:
berkeley
borlan
certific
contact
example
feste
gold-certs
google
hotmail
ibm.com
icrosof
icrosoft
inpris
isc.o
isi.e
kernel
linux
linux
listserv
mit.e
mozilla
mydomai
nobody
nodomai
noone
nothing
ntivi
panda
postmaster
privacy
rating
register
rfc-ed
ripe.
ruslis
samples
secur
secur
sendmail
service
service
somebody
someone
sopho
submit
support
system
tanford.e
the.bat
usenet
utgers.ed
virusalert
webmaster
그리고 TCP 6999,7373 포트를 이용하여 특정 IRC 서버에 접속을 시도한다.
마지막으로 Hosts 파일을 수정하여 특정 주소로 접속을 방해 한다.
내용은 다음과 같다.
127.0.0.1 avp.com
127.0.0.1 www.symantec.com
127.0.0.1 securityresponse.symantec.com
127.0.0.1 symantec.com
127.0.0.1 www.sophos.com
127.0.0.1 sophos.com
127.0.0.1 www.mcafee.com
127.0.0.1 mcafee.com
127.0.0.1 liveupdate.symantecliveupdate.com
127.0.0.1 www.viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 viruslist.com
127.0.0.1 f-secure.com
127.0.0.1 www.f-secure.com
127.0.0.1 kaspersky.com
127.0.0.1 kaspersky-labs.com
127.0.0.1 www.avp.com
127.0.0.1 www.kaspersky.com
127.0.0.1 www.networkassociates.com
127.0.0.1 networkassociates.com
127.0.0.1 www.ca.com
127.0.0.1 ca.com
127.0.0.1 mast.mcafee.com
127.0.0.1 my-etrust.com
127.0.0.1 www.my-etrust.com
127.0.0.1 download.mcafee.com
127.0.0.1 dispatch.mcafee.com
127.0.0.1 secure.nai.com
127.0.0.1 nai.com
127.0.0.1 www.nai.com
127.0.0.1 update.symantec.com
127.0.0.1 updates.symantec.com
127.0.0.1 us.mcafee.com
127.0.0.1 liveupdate.symantec.com
127.0.0.1 customer.symantec.com
127.0.0.1 rads.mcafee.com
127.0.0.1 trendmicro.com
127.0.0.1 pandasoftware.com
127.0.0.1 www.pandasoftware.com
127.0.0.1 www.trendmicro.com
127.0.0.1 www.grisoft.com
127.0.0.1 www.microsoft.com
127.0.0.1 microsoft.com
127.0.0.1 www.virustotal.com
127.0.0.1 virustotal.com
127.0.0.1 www.amazon.com
127.0.0.1 www.amazon.co.uk
127.0.0.1 www.amazon.ca
127.0.0.1 www.amazon.fr
127.0.0.1 www.paypal.com
127.0.0.1 paypal.com
127.0.0.1 moneybookers.com
127.0.0.1 www.moneybookers.com
127.0.0.1 www.ebay.com
127.0.0.1 ebay.com |
|
치료 방법 |
터보백신 제품군으로 진단/치료 가능합니다.
마이크로 소프트 MS04-011 보안패치와 MS04-026가 안된 사용자는
다음 링크에서 해당 운영체제에 맞는 보안패치를 받아 설치 해야 한다.
MS04-011 보안패치 페이지 설명(한글)
MS03-039 보안패치 페이지 설명(한글)
터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를
실행하시기 바랍니다.
|
|
직접치료방법 |
|
|
|
|
|
