(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

W32/Palyh@mm

바이러스 종류

Worm

실행환경

Win9x, Win2000, NT

발견일

2003년05월19일

제작지

위험등급

확산방법

바이러스 크기

일정치 않음

첨부파일

approved.pif 외 다수

메일제목

Cool screensaver 외 다수

증상요약

치료방법

터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료가능합니다.

상세설명

W32/Sobig@mm 의 변형으로 다른 이름은 W32/Sobig.B@mm 이다.

wab, dbx, htm, html, txt, eml 에서 메일 주소를 추출하여 감염된
이메일의 첨부파일과 네트웍 공유 폴더를 통해서 전파된다.

아래의 목록은 바이러스가 랜덤하게 사용하는 메일의 제목이다.

Your details
Your password
Screensaver
Approved (Ref: 38446-263)
Cool screensaver
Re: Approved (Ref: 3394-65467)
Re: Movie
Re: My application
Re: My details

첨부파일 명은 다음에서 선택 된다.

approved.pif
application.pif
doc_details.pif
movie28.pif
password.pif
ref-394755.pif
screen_doc.pif
screen_temp.pif
your_details.pif

이 바이러스는 자신을 실행할수 있게 아래의 내용이 레지스트리에 추가 된다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
항목에

Win9x의 경우 System Tray = C:\Windows\msccn32.exe
Win2000의 경우 System Tray = C:\Winnt\msccn32.exe

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
항목에

Win9x의 경우 System Tray = C:\Windows\msccn32.exe
Win2000의 경우 System Tray = C:\Winnt\msccn32.exe

웜이 실행 되면 윈도우 폴더(win9x : c:\windows, Win2000 : C:\Winnt)
에 다음과 같은 파일이 생성된다.

msccn32.exe
hnks.ini

또한 아래의 네트웍 경로에 웜을 복사하여 자기 자신이 실행되도록 한다.

Windows\All Users\Start Menu\Programs\StartUp\
Documents and Settings\All Users\Start Menu\Programs\Startup\

웜은 2003년 5월 31일 이 후에는 더이상 바이러스를 첨부한 메일을
발송하지 않는다.

예방 및 수동조치방법