목록ㅣ 인쇄

W32/Zafi@mm 바이러스 종류 Worm 실행환경 Windows 발견일 2004년06월12일 제작지 불분명 위험등급 확산방법 바이러스 크기 12,800 bytes 첨부파일 www.ecard.com.funny.picture.index.nude.php356.pif 외 다수 메일제목 Don`t worry, be happy! 외 다수 증상요약 치료방법 터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.    이 웜은 자체 smtp를 이용한 이메일을 통해 전파되며, 감연된 메일내용의 언어가 다양 하다. 웜은 감염된 파일에 겹쳐쓰기 하여 정상 파일을 손상시키기도 하며, 특정 프로세스를 자동으로 종료 시키기도 한다. 다음은 신고된 메일의 한 예이다. [메일 제목] Don`t worry, be happy! [메일 내용] Hi Honey! I`m in hurry, but i still love ya... (as you can see on the picture) Bye - Bye: [첨부파일] www.ecard.com.funny.picture.index.nude.php356.pif [특징] 첨부된 파일이 실행되면 윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에 (랜덤 파일명).exe, (랜덤 파일명).dll 웜 파일이 만들어 진다. 또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에 (win2000, NT의 경우) _Hazafibb    = c:\winnt\system32\(랜덤 파일명).exe (WinXP의 경우) _Hazafibb    = c:\windows\(랜덤 파일명).exe HKEY_LOCAL_MACHINE\Software\Microsoft\_Hazafibb 웜이 실행 되면 regedit(레지스트리 편집기), msconfig(시스템 구성 유틸리티),task 등의 프로그램 실행을 방해 하며 fvprotect.exe winlogon.exe jammer2nd.exe services.exe 파일및 프로세스가 있다면 종료 후 삭제 한다. 그리고 감염된 컴퓨터에 share, upload 라는 폴더를 발견하면, 다음과 같은 이름으로 웜파일을 생성한다. winamp 7.0 full_install.exe Total Commander 7.0 full_install.exe 웜이 감염된 파일을 보내기 위해 다음과 같은 확장자를 가진 파일에서 메일주소를 수집한다. adb asp dbx eml htm mbx php pmr sht tbb txt wab 마지막으로 수집된 이메일 주소에서 다음과 같은 문자열을 발견하면 웜파일을 보내지 않는다. admi cafee google help hotm info kasper micro msn panda sopho suppor syma trend use vir webm win yaho 무단전재ㆍ배포금지 - 에브리존에서 제공하는 모든 컨텐츠 정보에 대한 저작권은 에브리존의 소유이며 관련법의 보호를 받습니다. - 에브리존의 사전 허가 없이 에브리존 컨텐츠를 무단으로 전재, 배포를 금지되어 있습니다. - 이를 위반하는 경우 손해배상의 대상 또는 민.형사상의 법적 소송 대상이 될 수 있습니다. * 에브리존 정보 이용 문의 : greenking@everyzone.com