|
1. 요약 : 윈도우 기반의 웜
- 코드명 : Worm.Win32.AutoRun.cdz (명명 : Kaspersky, 2008-01-24, GMT+1)
- 다른 이름 : Win-Trojan/Autorun.146365, SHeur.SHW, Trojan.PSW.Win32.GameOL.loz,
W32/Smalltroj.CKGS, Virus.Worm.Win32.AutoRun.cdz, Worm.Autorun-342,
Packer.Malware.NSAnti.K, W32/Smalltroj.CKGS, W32/Autorun.worm.h,
WORM_AUTORUN.ZO, VirTool:Win32/Obfuscator.T
- 감염 경로 : 다른 악성코드에 의해 다운로드 +
[이동식 저장 장치] 예) USB, Mp3 플레이어 등
- 크기 : ytmb.bat (146,365 바이트, MD5 : fed0c14077bd8fe442666f5fba8bcd6b)
- 2건의 문의 메일을 받았다.
2. 생성 파일 (%시스템% 란? : 클릭)
- %시스템% 폴더 아래
fool1.dll (77,312 바이트, MD5 : e10d5db06095976664d728a0823009cd)
ieso0.dll (49,152 바이트, MD5 : 001952b9f568a8aa992377481b141919)
// Worm.Win32.AutoRun.cdz 로 진단
kxvo.exe (151,871 바이트, MD5 : b4219223ad34071a529c38e724b53e90)
- 모든 로컬 드라이브 루트
[autorun.inf] (343 바이트, MD5 : 2fdd55dbfbc00b182e724cb5e35a994f)
3g.com (151,871 바이트, MD5 : b4219223ad34071a529c38e724b53e90)
- %temp% 폴더 : l.dll (31,171 바이트, MD5 : 9464a1eb1e4afd833201c0f3afb03438)
- Kaspersky, V3 이 문서를 작성하는 현재 생성된 일부 파일만 진단했으며,
진단하지 못한 것들도 다수 존재한다.
3. 주요 증상
- 폴더옵션 메뉴 숨기거나, 숨김 파일이 보이지 않게 설정 : [해결책]
- 특정 사이트로부터 또 다른 악성코드 다운로드
[http]://www.hg7890.com/h[삭제]/ll.rar
(ll.rar : 66 바이트, MD5 : f10b3490e52b0e1325b7ce74eb451803)
- explorer.exe 에 코드를 삽입하여 실행
4. 관련 악성코드 정보
- [주의] head3.vbs 와 VBS.Generic.552 정보 : [보기]
- [주의] rundll64.dll.vbs 와 W32/Wekode-B 정보 : [보기] (2007/10/13)
- [주의] ms32dll.dll.vbs 와 VBS.Zodgila 정보 : [보기] (2006/11/28)
- [주의] kernel32.dll.vbs 와 W32/Wekode-A 정보 : [보기] (2007/03/24)
5. 레지스트리 추가/변경 (HKLM 이란? : 클릭)
- HKCU -> Software -> Microsoft -> Windows -> CurrentVersion -> Run
kxva = %시스템%kxvo.exe
- HKLM -> SOFTWARE -> Classes -> CLSID -> {CE7C3CF0-4B15-11D1-ABED-709549C10000}
- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Explorer ->
Browser Helper Objects -> {CE7C3CF0-4B15-11D1-ABED-709549C10000}
- HKLM -> SOFTWARE -> Classes -> IEHlprObj.IEHlprObj.1
- HKLM -> SOFTWARE -> Classes -> IEHlprObj.IEHlprObj
- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Explorer ->
Advanced -> Folder -> Hidden -> SHOWALL, CheckedValue = 0
6. 진단/치료
- W32/Autorun 웜 전용 치료 백신 : [다운로드] (통하기 공개)
- AV로 진단/치료시 하드디스크 뿐만 아니라 USB 스틱이나 외장형 하드웨어를 사용하고
있다면 이에 대한 검사도 함께 이루어져야 한다.
- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]
- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]
- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]
7. 본 문서의 이용에 관한 조건 : [내용보기] | 
