*감염 경로

자제 전파 기능은 없으며, 사용자가 인터넷을 통해 메일, 게시판, 자료실 등에서 실행파일을 다운로드 해 실행되는 것으로 추정, 또한 다른 악성코드에 의해서도 다운로드 되거나 감염됨.

*증상

해당 트로이목마는 Proxy 서버 기능을 수행하며 아래와 같은 일을 수행한다.

-레지스트리 등록

레지스트리에 다음 value를 등록해 윈도우 구동 시 자동 실행되도록 만든다.

 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
" anti-virus update scheduler v1.39.12r” = 실행위치\실행 파일명

-뮤텍스 생성

아래와 같은 뮤텍스를 생성하여 중복 실행을 방지한다.

AVUPSCHED13912R.EXE5000

-포트 오픈

감염된 시스템은 TCP 80번포트를 LISTENING 상태로 열어둔다. (상대로부터 접속을 기다리는 상태)

그 후 사용자 몰래 접속 해 스팸 메일 발송, 애드웨어 설치, 데이터 삭제, 그리고 개인의 컴퓨터 사용 내역을 훔쳐보거나 각종 파일(개인 문서, 기밀 문서 등)을 외부로 빼가는 보안상 문제도 발생할 수 있음