|
|
 |
|
|
| 바이러스
이름 |
W32/Sircam@mm |
바이러스
종류 |
Worm |
| 실행
환경 |
Win9x, Win2000 |
제작지 |
|
| 발견일 |
|
바이러스크기 |
137216 |
| 메일
제목 |
<영문> 메일 첫 줄 : "Hi! How are you?" |
| 첨부파일 |
확장자가 PIF, LNK, BAT, COM 인 파일 |
| 바이러스 증상 |
언어 버전에 다라 메일의 내용이 다르나 문장의 첫줄과 끝에는 항상 동일
한 메세지가 붙는다.
자체 메일 발송기능을 가지고 있어서, 감염된 사용자는 자신이 이 바이러스
에감염됬는지 조차 모른채 컴퓨터를 사용하게 된다.
감염된 사용자 컴퓨터 내에 존재하는 파일에 웜을 붙여서 보내게 되며, 이
는 개인의 정보가 유출됨을 의미 한다.
인터넷 캐시 부분을 이용하기 때문에 자신이 직접 메일을 발송한 사람이 아
니더라도 한 번 방문했던 적이 있었던 페이지의 웹 마스터에게 감염된 메일
을 보내게 된다.
이 때문에 확산력이 빠르며, 같은 사람에게 수십통의 감염된 메일이 배달
되기도 한다.
웜이 실행되면 첫번째로 HKEY_CLASSES_ROOT\exefile\shell\open\command 항
목이(기본값) C:\Recycled\SirC32.exe "%1" %* 으로 변경된다.
이후 모든 EXE 파일 실행시 웜이 먼저 실행되게 된다.
여기서 C:\Recycled\SirC32.exe 값이 없을수도 있으나, 감염이 되지 않은
것은 아니니 주의해야 한다.
두번째로 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\RunServices 항목에 Driver32 = "C:\WINDOWS\SYSTEM\SCam32.exe"이 추가되
며 세번째로 HKEY_LOCAL_MACHINE\Software 메뉴에 SirCam이 추가 된다.
Autoexec.bat 내에 @Win \recycled\SirC32.exe를 추가하여 부팅시 웜이 자
동적으로 실행되게 만든다.
그리고 Windows폴더에 존재하는 정상적인 Rundll32.exe파일을
Run32.exe파일로 이름을 변경한후 숨김속성으로 변형시켜 보관하며,
그 후 웜자체를 Rundll32.exe로 바꾸어 버린다.
만약 이 파일의 이름을 정상적으로 리네임 시키지 않으면 윈도우(제어판 클
릭등..)
사용시 이 파일을 찾는 에러 메세지를 내게 된다.
윈도우의 시스템 폴더(Win9X의 경우 C:\Windows\system, Win2000의 경우
C:\Winnt\system32 )에
SCam32.EXE, SCD.DLL, SCI1.DLL, SCW1.DLL의 파일 등이 생성되며, 발견시
모두 삭제해야 한다.
|
|
치료 방법 |
터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료 가능합니다. |
|
직접치료방법 |
1. C:\Recycled\SirC32.exe 의 값을 숨김속성 해제후 삭제한다.
2. 윈도우의 시스템 폴더(Win9X의 경우 C:\Windows\system, Win2000의 경
우 C:\Winnt\system32 )에 SCam32.EXE, SCD.DLL, SCI1.DLL, SCW1.DLL의 파
일을, 발견시 모두 삭제해야 한다.
3. C:\Windows\Temp 안에 파일이 존재 하면 지운다.(없을 수도 있다)
4. HKEY_CLASSES_ROOT\exefile\shell\open\command 항목의
(기본값) C:\Recycled\SirC32.exe "%1" %* 에서 C:\Recycled\SirC32.exe
부분만 삭제 하고 "%1"%* 만 남긴다.
5. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\RunServices 항목의 Driver32 = "C:\WINDOWS\SYSTEM\SCam32.exe"값 삭
제.
6. HKEY_LOCAL_MACHINE\Software 메뉴에 SirCam 항목을 삭제한다.
7. Autoexec.bat 내에 @Win \recycled\SirC32.exe 부분을 삭제한다.
8. Windows폴더에 Rundll32.exe파일을 삭제하고 숨김속성으로 되있는
Run32.exe파일을 숨김속성 해제시켜 Rundll32.exe로 이름을 바꾼다.
|
|
|
|
|
