|
실행 파일을 감염시키는 W32/Nimda@MM과 비슷한 방식으로
파일을 감염시키며 메일과 KaZaA, eDonkey2000 등의 P2P 프로그램을 통해
전파 된다.
바이러스의 본체는 볼랜드사의 델파이로 작성 되었으며 바이러스를 실행 하
면 다음과 같은 파일이 윈도우 폴더(Win 9x : c:\windows, Win2000 :
C:\Winnt) 생성 한다.
appboost.exe
appboost.reg
appboost.vbs
appbsvc.exe
appbsvc.exe 파일은 응용프로그램이 감염된 것이며, 바이러스의 본체인
appboost.exe파일은 다음과 같이 레지스트리에 등록되어 파일을 실행 할때
바이러스가 먼저 실행 되도록 조작한다.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\comfile\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\batfile\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\cmdfile\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\piffile\shell\open\command
각 각 항목에
Win 9x의 경우 : c:\windows\appboost.exe "%1" %*
Win 2000의 경우 : c:\windows\appboost.exe "%1" %*
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\scrfile\shell\open\command
항목에
Win 9x의 경우 : c:\windows\appboost.exe "%1"/S %*
Win 2000의 경우 : c:\windows\appboost.exe "%1"/S %*
HKEY_LOCAL_MACHINE\Microsoft\Windows\CurrentVersion\Run
항목에
Win 9x의 경우 : (기본값) regedit.exe /s appboost.reg
Win 2000의 경우 : (기본값) regedit.exe /s appboost.reg
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunService
s
항목에
Win 9x의 경우 : (기본값) regedit.exe /s appboost.reg
Win 2000의 경우 : (기본값) regedit.exe /s appboost.reg
감염되는 파일은 레지스트리를 변경하는 bat, scr, exe, pif, com 등의 확
장자를 가지는 파일들이며, 한글 윈도우 시스템중 주로 2000 계열에서 윈도
우 시스템 파일에 감염될 경우 정상적으로 부팅되지 않는 현상도 발생하였
다.
참고적으로 이 바이러스의 원형은 다음과 같은 프로그램의 프로세스를 종
료 하는 기능을 가지고 있으며, 변종도 같은 기능을 가지고 있을 것으로 추
측 된다.
AVP32
AVPCC
ZONEALARM
WEBTRAP
NOD32
SWEEP95
AVSYNMGR
PCCWIN98
NRESQ32
IOMON98
NSCHED32
AVPTC
LUCOMSERVER
NSCHEDNT
AVE32
IAMAPP
NSPLUGIN
AVCONSOL
ATRACK
NAV
FP-WIN
IAMSERV
NAVAPSVC
DVP95
PCFWALLICON
NAVAPW32
F-AGNT95
TDS2-98
NAVLU32
CLAW95
TDS2-NT
NAVRUNR
NVC95
VSECOMR
NAVW32
SCAN
NISSERV
AVPM
VIRUS
NISUM
ALERTSVC
LOCKDOWN2000
F-PROT
AMON
NORTON
AOL
MCAFEE
AVPCC
ANTIVIR
AVPM
FIREWAL
N32SCANW
VET95
NAVWNT
SAFEWEB
ANTIVIR
WEBSCANX
AVPUPD
ICMON
AVGCTRL
CFINET
AVWIN95
AVP.EXE
SCAN32
VSHWIN32
AMON.EXE
F-STOPW
PCCIOMON
F-PROT95
PCCMAIN
ACKWIN32
POP3TRAP
|
|
|
Home 
