|
윈도우즈 폴더의 explorer.exe 파일에만 감염되며, 감염된 파일크기는 약 4,900 Byte 늘어난다.
감염대상인 explorer.exe 파일이 존재 하는 다음 폴더를 감염 대상으로 한다.
* windows 98, me, xp
c:\windows, c:\windows\servicepackFiles\i386, c:\windows\dllcache
* windows 2000
c:\winnt, c:\winnt\servicepackFiles\i386, c:\winnt\dllcache
그리고 WININIT.INI 를 다음 처럼 변경하여 explorer.exe 를 감염시킨다.
[rename]
c:\windows\explorer.exe=c:\windows\explorer.new
아래와 같이 레지스트리를 변경한다.
HKEY_CURRENT_USER\Software\Microsoft\Security Center
AntiVirusDisableNotify = “dword:00000001”
FirewallDisableNotify = “dword:00000001”
UpdatesDisableNotify = “dword:00000001”
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
SelfLimit = dword:00000001
HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = “dword:00000001”
HKEY_CURRENT_USER\Software\Policies\Microsoft\
Windows\WindowsUpdate\AU
AUOptions = “dword:00000001”
NoAutoUpdate = “dword:00000001”
HKEY_LOCAL_MACHINE\Software\Microsoft\
Security Center
AntiVirusDisableNotify = “dword:00000001”
FirewallDisableNotify = “dword:00000001”
UpdatesDisableNotify = “dword:00000001”
HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main
SelfLimit = dword:00000001
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = “dword:00000001”
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\
Windows\WindowsUpdate\AU
AUOptions = “dword:00000001”
NoAutoUpdate = “dword:00000001”
HKEY_CURRENT_USER\Software\Policies\Microsoft\
WindowsFirewall\DomainProfile
EnableFirewall = “dword:00000001”
HKEY_CURRENT_USER\Software\Policies\Microsoft\
WindowsFirewall\StandardProfile
EnableFirewall = “dword:00000001”
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\
WindowsFirewall\DomainProfile
EnableFirewall = “dword:00000001”
HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\
WindowsFirewall\StandardProfile
EnableFirewall = “dword:00000001”
마지막으로 http://advXXXin.biz/tasks 에 접속을 시도하며
성공했을 경우 바탕화면에 tasks 파일이 생긴다. |
|
|
Home 
