|
이 웜은 마이크로 소프트 사에서 발표한 2004년 4월 보안 패치중 MS04-011 패치가 안된 컴퓨터를 대상으로
해외에서 4월 30일 부터 전파되기 시작 하였으며 TCP 445번 포트의 이상 트레픽을 일으킨다.
또한 CPU가 100% 사용되 시스템이 느려지며 시스템 자동 종료 카운트가 발생 한다.
그리고 일부 시스템에서는 인터넷 익스플로러 사용시 페이지를 찾을수 없다는 메시지와 함께
웹 서핑이 어려워지기도 한다.
[특징]
MS04-011 패치가 안된 시스템을 찾기 위해 감염된 시스템으로부터
임의의 IP 대역으로 접속을 시도 하며, 취약점 시스템을 발견할 경우
해당 시스템은 다음과 같은 오류 메시지 박스를 뜨운다.
"C:\WINNT\system32\lsass.exe''''''''''''''''''''''''''''''''이(가) 예상하지 않게 상태 코드 128(으)로 종료되었습니다. 지금 시스템을 종료하고 다시 시작할 것입니다"
그런 다음 Worm-W32/Blaster 와 같이 시스템 종료 1분 카운트에 들어 간다.
웜이 실행 되면 다음과 같이 윈도우 폴더 (win 2000, NT : c:\Winnt, win XP : c:\windows)에
avserve.exe 파일이 생성된다.
그리고 윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에
숫자와 _up으로 조합된 웜 파일이 만들어 진다.
(ex : 12345_up.exe )
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에
(win2000, NT의 경우)
avserve.exe = c:\winnt\avserve.exe
(WinXP의 경우)
avserve.exe = c:\windows\avserve.exe
|
|
|
Home 
