목록ㅣ 인쇄

W32/WinCEO@mm 바이러스 종류 Worm 실행환경 Win9x, Win2000, NT 발견일 2002년11월22일 제작지 한국 위험등급 확산방법 바이러스 크기 91,085 Bytes 첨부파일 CEO, PIF, HTM의 확장자를 가진 파일 메일제목 AVAR 에 관련되거나 N'4(특수문자)(문자) 증상요약 치료방법 터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료가능 하다. 부정확한 MIME 헤더를 이용하여 E-mail첨부파일을 실행하도록 야기하는 보안 버그와 첨부되는 HTML 파일은 Microsoft VM ActiveX Component의 허점을 이용 하므로 메일을 클릭 하는 것만으로 감염될 수 있다. 이 버그를 수정하기 위해서 아래 사이트에서 패치를 받아 적용하기 바란다. < Outlook Express > - http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp < Outlook 2000 > - http://office.microsoft.com/korea/downloads/2000/Out2ksec.aspx < Outlook 2002(Office XP) > - http://office.microsoft.com/korea/Downloads/2002/oxpsp2.aspx    다른 이름: Win32/Winevar.Worm(안철수 연구소) 감염된 이메일의 첨부 파일을 통해 전파 된다. 부정확한 MIME 헤더를 이용하여 E-mail첨부파일을 실 행하도록 야기하는 보 안 버그와 첨부되는 HTML 파일은 Microsoft VM ActiveX Component의 허점 을 이용 하므로 메일을 클릭 하는 것만으로 감염될 수 있다. 이 HTML 파일에는 CEO 파일을 실행할수 있게 아래의 내용이 레지스트리에 추가 된다. HKEY_CLASSES_ROOT\.ceo 항목에 기본값(default) 이 exefile 이고, Content Type 이 "application/x-msdownload 와 같이 된다. 웜이 실행 되면 윈도우의 시스템 폴더(win9x : c:\windows\system, Win2000 : C:\Winnt\system32) 에 WINxxxx(xxxx : 시스템에 따른 랜덤 숫자) 파일이 생성되고, 레지스트리 에 아래와 같이 등록하여 재부팅시 실행되며 무작위 로 파일을 삭제하게 된 다. (실행중이거나 읽기 속성이 있는 파일은 삭제가 되지 않는다.) 또 WINxxxx.tmp 라는 파일도 생성되는데 이것은 W32/FunLove.4099 로 진단 이 되며, ~AAVAR 2002 in Seoul~ 와 같은 문자열을 포 함하고 있다. HEKY_LOCAL_MACHINE\Software\Microsoft\Windows\Curr entVersion\run 항목에 WINxxxx 등록. 다음과 같은 메시지 박스가 나타나며, 확인 버튼을 클 릭 하면 c:드라이브의 파일을 삭제 하게 된다. Make a fool of oneself <- (메시지 박스 캡션) What a foolish thing you have done!" 또한, 주요 백신 및 파이어월, 모니터 프로그래밍, 시 스템 디버그등의 프로 그램 실행을 중단 시키며, 실패할 경우 컴퓨터가 다운 되는 등의 증상을 나 타낸다. * AVAR은,"Association of anti Virus Asia Researchers"의 약자로 아시아 컴퓨터바이러스 연구 모임이며, 이 웜과는 전혀 관련이 없다. 무단전재ㆍ배포금지 - 에브리존에서 제공하는 모든 컨텐츠 정보에 대한 저작권은 에브리존의 소유이며 관련법의 보호를 받습니다. - 에브리존의 사전 허가 없이 에브리존 컨텐츠를 무단으로 전재, 배포를 금지되어 있습니다. - 이를 위반하는 경우 손해배상의 대상 또는 민.형사상의 법적 소송 대상이 될 수 있습니다. * 에브리존 정보 이용 문의 : greenking@everyzone.com