*감염 경로

윈도우 보안 취약점을 통해 감염

사용자 계정의 취약한 암호에 의해 감염

Ex) win2000, login, winxp, 12345,123456,1234567,12345678,123456789,1234567890... 등등.

윈도우 NT계열(윈도우 NT,2000,XP)의 관리 목적 공유폴더에 대한 사용자 로그인 계정의 암호가 취약한 경우 시스템에 접속 후 실행.

.

 -레지스트리 등록

 레지스트리에 다음 value를 등록해 윈도우 구동시 자동 실행되도록 만든다.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Window\CurrentVersion\Run
“ati as filter “ = msnse.exe

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Window\CurrentVersion\Run
“ati as filter “ = msnse.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
“ati as filter “ = msnse.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices
“ati as filter “ = msnse.exe

감염된 시스템은 TCP 임의의 포트를 LISTENING 상태로 열어둔다. (상대로부터 접속을 기다리는 상태)

그 후 사용자 몰래 접속 해 스팸 메일 발송, 애드웨어 설치, 데이터 삭제, 그리고 개인의 컴퓨터 사용 내역을 훔쳐보거나 각종 파일(개인 문서, 기밀 문서 등)을 외부로 빼가는 보안상 문제도 발생할 수 있음

-호스트 파일 변경

 HOSTS 파일을 수정해 감염된 시스템에서 특정 주소로 접속하지 못하게 방해한다. 보안사이트 홈페이지나 안티 바이러스 사이트에 접속을 차단해 사용자가 정보를 얻거나 치료를 위한 업데이트를 방해한다.

 HOSTS 파일은 사용 윈도우에 따라 아래와 같은 폴더에 존재.

 윈도우 95/98/ME - C:\Windows\System

 윈도우 NT/2000 - C:\WinNT\System32\Drivers\ETC

 윈도우 XP -C:\Windows\System32\Drivers\ETC

-뮤텍스 생성

다음 뮤텍스(Mutex)를 생성해 중복 실행을 방지한다.
 - gfhjfgjf

- 감염된 시스템은 실행중인 특정 프로세스를 강제 종료 시킨다.

TASKSYS.EXE
WPA.EXE
MOUSESYNC.EXE
MOUSEMM.EXE
MOUSEBM.EXE
WINTNPX.EXE
WINTBPX.EXE
WINTBP.EXE
WINDRG32.EXE
CSM.EXE
BOTZOR.EXE
HPSV.EXE
QSECUE.EXE
SSL.EXE

등등..