|
언어 버전에 다라 메일의 내용이 다르나 문장의 첫줄과 끝에는 항상 동일
한 메세지가 붙는다.
자체 메일 발송기능을 가지고 있어서, 감염된 사용자는 자신이 이 바이러스
에감염됬는지 조차 모른채 컴퓨터를 사용하게 된다.
감염된 사용자 컴퓨터 내에 존재하는 파일에 웜을 붙여서 보내게 되며, 이
는 개인의 정보가 유출됨을 의미 한다.
인터넷 캐시 부분을 이용하기 때문에 자신이 직접 메일을 발송한 사람이 아
니더라도 한 번 방문했던 적이 있었던 페이지의 웹 마스터에게 감염된 메일
을 보내게 된다.
이 때문에 확산력이 빠르며, 같은 사람에게 수십통의 감염된 메일이 배달
되기도 한다.
웜이 실행되면 첫번째로 HKEY_CLASSES_ROOT\exefile\shell\open\command 항
목이(기본값) C:\Recycled\SirC32.exe "%1" %* 으로 변경된다.
이후 모든 EXE 파일 실행시 웜이 먼저 실행되게 된다.
여기서 C:\Recycled\SirC32.exe 값이 없을수도 있으나, 감염이 되지 않은
것은 아니니 주의해야 한다.
두번째로 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion
\RunServices 항목에 Driver32 = "C:\WINDOWS\SYSTEM\SCam32.exe"이 추가되
며 세번째로 HKEY_LOCAL_MACHINE\Software 메뉴에 SirCam이 추가 된다.
Autoexec.bat 내에 @Win \recycled\SirC32.exe를 추가하여 부팅시 웜이 자
동적으로 실행되게 만든다.
그리고 Windows폴더에 존재하는 정상적인 Rundll32.exe파일을
Run32.exe파일로 이름을 변경한후 숨김속성으로 변형시켜 보관하며,
그 후 웜자체를 Rundll32.exe로 바꾸어 버린다.
만약 이 파일의 이름을 정상적으로 리네임 시키지 않으면 윈도우(제어판 클
릭등..)
사용시 이 파일을 찾는 에러 메세지를 내게 된다.
윈도우의 시스템 폴더(Win9X의 경우 C:\Windows\system, Win2000의 경우
C:\Winnt\system32 )에
SCam32.EXE, SCD.DLL, SCI1.DLL, SCW1.DLL의 파일 등이 생성되며, 발견시
모두 삭제해야 한다.
|
|
|
Home 
