|
|
 |
|
|
| 바이러스
이름 |
W32/Netsky.29568@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Windows |
제작지 |
불분명 |
| 발견일 |
20040321 |
바이러스크기 |
29,568 bytes |
| 메일
제목 |
Re: Its me 외 다수 |
| 첨부파일 |
email.zip 외 다수 |
| 바이러스 증상 |
이 웜은 이메일을 통하여 3월 21일 부터 전파되었으며 국내에는
3월 22일 부터 전파되기 시작한 것으로 추정된다.
웜을 포함한 이메일은 아래와 같은 내용을 가지고 있다.
[메일 제목]
Mail Delivery (failure)
Re: Delivery Protection
Re: Its me
Re: A!p$ghsa
외 다수
[메일 내용]
현재 까지 알려진 것중 다음에서 선택 된다.
See the ghg5%&6gfz65!4Hf55d!46gfgf
++++ Attachment: No Virus found
++++ F-Secure AntiVirus - www.f-secure.com
I have attached your file. Your password is jkl44563.
+++ Attachment: No Virus found
+++ Panda AntiVirus - www.pandasoftware.com
외 다수~
[첨부파일]
원형과 마찬가지로 확장자가 scr, pif, exe, zip 등이 붙을수 있다.
document43.zip (29KB)
email.zip
외 다수
(웜이 발송한 메일의 예)
1. 메일 제목: Re: A!p$ghsa
본문 내용:
See the ghg5%&6gfz65!4Hf55d!46gfgf
++++ Attachment: No Virus found
++++ F-Secure AntiVirus - www.f-secure.com
첨부파일 이름:
important.zip (29KB)
2. 메일 제목: Re: Its me
본문 내용:
I have attached your file. Your password is jkl44563.
+++ Attachment: No Virus found
+++ Panda AntiVirus - www.pandasoftware.com
첨부파일 이름:
document43.zip (29KB)
3. 메일 제목: Re: Delivery Protection
본문 내용:
Follow the instructions to read the message.
+++ Attachment: No Virus found
+++ MessageLabs AntiVirus - www.messagelabs.com
첨부파일 이름:
details_greenking.zip (29KB)
4. 메일 제목: Mail Delivery (failure)
본문 내용:
Binary message is available.
+++ Attachment: No Virus found
+++ Panda AntiVirus - www.pandasoftware.com
첨부파일 이름:
email.zip (29KB)
[특징]
첨부파일은 email.zip(29Kbyte) 외 다수 이며, 압축을 해제 하면 pif, scr, exe 등의 확장자를 가진 파일이 나타난다.
처음 실행시에 다음과 같이 윈도우 폴더 (win 2000, NT : c:\Wint, win XP : c:\windows)에 다음과 같은 파일이 생성된다.
base64.tmp : 웜 파일이 Base64로 인코딩된 형태.
FVProtect.exe : 웜 파일.
userconfig9x.dll : 웜 파일 본체.
zip1.tmp : 웜을 포함한 첨부파일
zip2.tmp : 웜을 포함한 첨부파일
zip3.tmp : 웜을 포함한 첨부파일
zipped.tmp : 웜 파일을 포함한 ZIP 파일
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
(win2000, NT의 경우)
Norton Antivirus AV = c:\winnt\FVProtect.exe
(WinXP의 경우)
Norton Antivirus AV = c:\windows\FVProtect.exe
다음으로 .HTM, .HTML,, .TXT, .WAB 확장자를 지닌 파일에서 메일 주소를 수집하여
웜이 첨부된 메일을 발송한다
단 다음과 같은 메일주소로는 감염된 파일을 보내지 않는다.
@antivi
@bitdefender
@f-pro
@f-secur
@freeav
@kaspersky
@mcafee
@messagel
@microsof
@norman
@norton
@pandasof
@skynet
@sophos
@spam
@symantec
@viruslis
abuse@
noreply@
ntivir
reports@
spam@
마지막으로 레지스트리에 Mydoom, Mimail, Bagle, 등이 생성한 값과 몇가지 레지스트리 값이 삭제 된다.
또한 p2p 공유프로그램을 이용할때는 다음과 같은 이름으로 확산 된다.
1001 Sex and more.rtf.exe
3D Studio Max 6 3dsmax.exe
ACDSee 10.exe
Adobe Photoshop 10 crack.exe
Adobe Photoshop 10 full.exe
Adobe Premiere 10.exe
Ahead Nero 8.exe
Altkins Diet.doc.exe
American Idol.doc.exe
Arnold Schwarzenegger.jpg.exe
Best Matrix Screensaver new.scr
Britney Spears Sexy archive.doc.exe
Britney Spears Song text archive.doc.exe
Britney Spears and Eminem porn.jpg.exe
Britney Spears blowjob.jpg.exe
Britney Spears cumshot.jpg.exe
Britney Spears fuck.jpg.exe
Britney Spears full album.mp3.exe
Britney Spears porn.jpg.exe
Britney Spears.jpg.exe
Britney Spears.mp3.exe
Britney sex xxx.jpg.exe
Clone DVD 6.exe
Cloning.doc.exe
Cracks & Warez Archiv.exe
Dark Angels new.pif
Dictionary English 2004 - France.doc.exe
DivX 8.0 final.exe
Doom 3 release 2.exe
E-Book Archive2.rtf.exe
Eminem Poster.jpg.exe
Eminem Sexy archive.doc.exe
Eminem Song text archive.doc.exe
Eminem Spears porn.jpg.exe
Eminem blowjob.jpg.exe
Eminem full album.mp3.exe
Eminem sex xxx.jpg.exe
Eminem.mp3.exe
Full album all.mp3.pif
Gimp 1.8 Full with Key.exe
Harry Potter 1-6 book.txt.exe
Harry Potter 5.mpg.exe
Harry Potter all e.book.doc.exe
Harry Potter e book.doc.exe
Harry Potter game.exe
Harry Potter.doc.exe
How to hack new.doc.exe
Internet Explorer 9 setup.exe
Kazaa Lite 4.0 new.exe
Kazaa new.exe
Keygen 4 all new.exe
Learn Programming 2004.doc.exe
Lightwave 9 Update.exe
MS Service Pack 6.exe
Magix Video Deluxe 5 beta.exe
Matrix.mpg.exe
Microsoft Office 2003 Crack best.exe
Microsoft WinXP Crack full.exe
Norton Antivirus 2005 beta.exe
Opera 11.exe
Partitionsmagic 10 beta.exe
Porno Screensaver britney.scr
RFC compilation.doc.exe
Ringtones.doc.exe
Ringtones.mp3.exe
Saddam Hussein.jpg.exe
Screensaver2.scr
Serials edition.txt.exe
Smashing the stack full.rtf.exe
Star Office 9.exe
Teen Porn 15.jpg.pif
The Sims 4 beta.exe
Ulead Keygen 2004.exe
Visual Studio Net Crack all.exe
Win Longhorn re.exe
WinAmp 13 full.exe
WinXP eBook newest.doc.exe
Windows 2000 Sourcecode.doc.exe
Windows 2003 crack.exe
Windows XP crack.exe
XXX hardcore pics.jpg.exe
netsky source code.scr
|
|
치료 방법 |
터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.
터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를
실행하시기 바랍니다.
[패치 방법]
- 인터넷 익스플로어는 부정확한 MIME 헤더는 첨부파일을 열기만 해도 실행
하도록 하는 문제가 있는데, 아래 주소에서 패치를 받아 적용시키면 이를
막을 수 있다.
http://www.microsoft.com/technet/treeview/default.asp?
url=/technet/security/bulletin/MS01-020.asp
- 윈도우즈 서버상에서 IIS 를 실행하는 사용자라면 반드시 아래 주소에서
Web Server Folder Traversal 보안 패치를 받아서 적용하기 바란
다.
http://www.microsoft.com/technet/treeview/default.asp?
url=/technet/security/bulletin/MS01-044.asp |
|
직접치료방법 |
|
|
|
|
|
