쓰기 권한이 주어진 공유 폴더와 암호가 없이 부팅되는 컴퓨터에서
주로 감염되며, 윈도우 폰트 폴더(c:\Winnt\Fonts)에
explorer.exe, omnithread_rt.dll, VNCHooks.dll 파일을
윈도우 시스템 폴더(c:\Winnt\System32)에 cygwin1.dll, inst.exe, psexec.exe
파일을 숨김 속성으로 생성한다.
최초 윈도우 시스템 폴더(c:\Winnt\System32)에 Dvldr32.exe
파일이 실행 압축된 형식으로 존재 하게 되며
일단 웜이 실행 되면 부팅때마다 바이러스를 실행 하도록
다음과 같이 레지스트리를 조작한다.
부팅시 일부 도스창이 나타났다가 사라지는 경우도 있는데 이는 바이러스가
먼저 실행 되고 있는 경우이다.
웜은 다음 폴더에도 자신을 복사해둔다.
C$\WINNT\All Users\Start Menu\Programs\Startup
C\WINDOWS\Start Menu\Programs\Startup
C$\Documents and Settings\All Users\Start Menu\Programs\Startup
또한 다음의 공유드라이브를 삭제한다.
- ADMIN$
- C$
- D$
- E$
- F$
- IPC$
그리고 TCP Port 5800, 5900 번을 열어놓아 원격제어 프로그램 신호가
떨어지면 이를 실행하는 통로를 만들어 놓게 된다.
예방 및 수동조치방법
무단전재ㆍ배포금지
에브리존에서 제공하는 모든 컨텐츠 정보에 대한 저작권은 에브리존의 소유이며 관련법의 보호를 받습니다.
에브리존의 사전 허가 없이 에브리존 컨텐츠를 무단으로 전재, 배포를 금지되어 있습니다.
이를 위반하는 경우 손해배상의 대상 또는 민.형사상의 법적 소송 대상이 될 수 있습니다.
* 에브리존 정보 이용 문의 : greenking@everyzone.com
