|
|
 |
|
|
| 바이러스
이름 |
W32/Mimail.12832@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Windows |
제작지 |
불분명 |
| 발견일 |
20031031 |
바이러스크기 |
12,832 Byte |
| 메일
제목 |
Re[2]: our private photos <임의의 문자열> |
| 첨부파일 |
PHOTOS.zip |
| 바이러스 증상 |
이 웜은 이메일을 통하여 전파되며, 아래와 같은 본문 내용을 가지고 있다.
Hello Dear!,
Finally i''ve found possibility to right u, my lovely girl :)
All our photos which i''ve made at the beach (even when u''re without ur bh:))
photos are great! This evening i''ll come and we''ll make the best SEX :)
Right now enjoy the photos.
Kiss, James.
첨부 파일 photos.zip은 압축파일 이고, 압축을 풀면 photos.jpg.exe 파일이 생성되며, 이 파일이 실행 되어 실제 감염이 이루어진다.
해당 파일이 실행 되면 윈도우 폴더(win9x, XP: c:\windows, win2000: c:\winnt)에 Netwatch.exe, Zip.tmp, Exe.tmp, Eml.tmp을 생성한다.
Netwatch.exe : 웜의 본체파일
Zip.tmp : Photo.zip 파일이며 파일내부에 Photo.jpg.exe파일을 내장하고 있다.
Exe.tmp : 첨부된 zip 파일을 해제할때 photo.jpg.exe파일을 생성한다.
Eml.tmp : 웜이 추출한 이메일 주소록.
그런 다음 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에
(win9x, Xp의 경우)
NetWatch32 = c:\windows\netwatch.exe
(win2000, NT의 경우)
NetWatch32 = c:\winnt\netwatch.exe
google.com 에 접속이 되면 시스템의 파일에서 메일주소를 수집한 다음 수집된 메일을 가지고, 내장되어 있는 SMTP 를 이용하여 웜을 발송한다.
또한 다음확장자를 제외한 파일에서 메일주소를 주집하기도 한다.
- exe
- dll
- com
- wav
- cab
- pdf
- rar
- zip
- tif
- psd
- ocx
- vxd
- mp3
- mpg
- avi
- gif
- jpg
- bmp |
|
치료 방법 |
터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.
터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를
실행하시기 바랍니다. |
|
직접치료방법 |
|
|
|
|
|
