|
쓰기 권한이 주어진 공유 폴더와 암호가 없이 부팅되는 컴퓨터에서
주로 감염되며, 윈도우 폰트 폴더(c:\Winnt\Fonts)에
explorer.exe, omnithread_rt.dll, VNCHooks.dll 파일을
윈도우 시스템 폴더(c:\Winnt\System32)에 cygwin1.dll, inst.exe, psexec.exe
파일을 숨김 속성으로 생성한다.
최초 윈도우 시스템 폴더(c:\Winnt\System32)에 Dvldr32.exe
파일이 실행 압축된 형식으로 존재 하게 되며
일단 웜이 실행 되면 부팅때마다 바이러스를 실행 하도록
다음과 같이 레지스트리를 조작한다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에
messnger= C:\Winnt\System32\Dvldr32.exe
TaskMan=C:\WINNT\Fonts\rundll32.exe
Explorer= C:\Winnt\Fonts\explorer.exe
부팅시 일부 도스창이 나타났다가 사라지는 경우도 있는데 이는 바이러스가
먼저 실행 되고 있는 경우이다.
웜은 다음 폴더에도 자신을 복사해둔다.
C$\WINNT\All Users\Start Menu\Programs\Startup
C\WINDOWS\Start Menu\Programs\Startup
C$\Documents and Settings\All Users\Start Menu\Programs\Startup
또한 다음의 공유드라이브를 삭제한다.
- ADMIN$
- C$
- D$
- E$
- F$
- IPC$
그리고 TCP Port 5800, 5900 번을 열어놓아 원격제어 프로그램 신호가
떨어지면 이를 실행하는 통로를 만들어 놓게 된다. |
|
|
Home 
