|
부정확한 MIME 헤더를 이용하여 E-mail첨부를 실행하도록 야기하는 보안 버
그를 이용한
웜으로 이메일을 통해 전파되며 KaZaa(P2P 프로그램) 프로그램과 IRC 등으
로도 전파된다.
또한 다음과 같은 파일에서 메일주소를 추출하여
자체 SMTP 엔진을 이용하여 웜바이러스가 첨부된 메일을 발송한다.
*.abd, *.dot, *.rtf, *.log, *.txt, *.tbb , *.wab,
또한 웜이 실행되면 다음과 같이 레지스트리의 기본값을 변경하여 파일을
실행 할때
마다 웜이 실행 되도록 조작한다.
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\exefile\shell\open\command 항목에
c:\Winnt\appboost.exe "%1" %*
그리고 웜 본체를 윈도우 폴더(C:\Winnt)에 숨김 및 시스템, 읽기 전용 속
성을 주어
Appboost.exe로 복사 한다.
메일제목은 아래의 리스트에서 조합된다.
A nice Screensaver of
Ein netter Screensaver von (Translated: A nice Screensaver of)
New Version of
Eine neue Version von (Translated: New Version of)
뒤에 첨가되는 문장은 다음과 같다.
BestTool
Pamela Anderson
Angelina Jolie
Anna Kournikova
Porn Screensaver
Sex ScreenSaver
Flashget
Flashget
WarezBoardAccess
TvTool
Undelivarable Email
Brute Force Tool
확인 된 첨부 파일은 다음과 같은 이름에서 선택 된다.
AnnaKournikova.scr
BestTool.exe
FlashGet.exe
Jolie.scr
FreeSex.exe
WarezBoardAccess.exe
Undelivarablemail.exe
PamAnderson.scr
TvTool.exe
vertrag.exe
XXX.scr
웜이 실행 되면 감염된 컴퓨터에 다음과 같은 프로세스가 발견되면 강제 종
료 시킨다.
AVP32
AVPCC
ZONEALARM
WEBTRAP
NOD32
SWEEP95
AVSYNMGR
PCCWIN98
NRESQ32
IOMON98
NSCHED32
AVPTC
LUCOMSERVER
NSCHEDNT
AVE32
IAMAPP
NSPLUGIN
AVCONSOL
ATRACK
NAV
FP-WIN
IAMSERV
NAVAPSVC
DVP95
PCFWALLICON
NAVAPW32
F-AGNT95
TDS2-98
NAVLU32
CLAW95
TDS2-NT
NAVRUNR
NVC95
VSECOMR
NAVW32
SCAN
NISSERV
AVPM
VIRUS
NISUM
ALERTSVC
LOCKDOWN2000
F-PROT
AMON
NORTON
AOL
AVP32
MCAFEE
AVPCC
ANTIVIR
AVPM
FIREWAL
N32SCANW
VET95
NAVWNT
SAFEWEB
ANTIVIR
WEBSCANX
AVPUPD
ICMON
AVGCTRL
CFINET
AVWIN95
AVP.EXE
SCAN32
VSHWIN32
AMON.EXE
F-STOPW
PCCIOMON
F-PROT95
PCCMAIN
ACKWIN32
POP3TRAP |
|
|
Home 
