Kobridge Forum  

Go Back   Kobridge Forum > Technical Solution Center [기술정보센터] - Korean, English Mixed Topics

Technical Solution Center [기술정보센터] - Korean, English Mixed Topics This place is to share the technical information and solutions in many areas [이곳은 컴퓨터 및 기타 전자제품의 기술정보 교환및 공유를 위한 공간입니다]

 
 
Thread Tools Rate Thread Display Modes
Prev Previous Post   Next Post Next
  #2  
Old 02-11-2009, 10:54 AM
JJ's Avatar
JJ JJ is offline
Administrator
 
Join Date: Jan 2006
Posts: 285
JJ is on a distinguished road
Default '2090 바이러스' 치료하는 무료 전용 백신 배포

안철수연구소는 오늘(10일) 밤부터 컴퓨터 윈도 시스템의 날짜를 2090년으로 고정하여, PC사용을 막는 악성코드 일명 '2090 바이러스'(Win32/Aimbot.worm.15872) 전용 백신을 배포하고 있습니다.

2090 바이러스 치료 전용백신인 V3Kill(V3Aimbot.exe)은 안랩의 웹사이트를 통해 무료로 다운로드 받으실 수 있습니다. 이미 감염된 PC의 경우에 전용백신을 다운받아 치료하시면 됩니다.

(기존 V3 사용자(V3 365클리닉, V3 Lite 등)는 이미 몇일전부터 실시간 감시에서 사전에 진단 및 방어를 하기 때문에 크게 걱정하기 않아도 됩니다.)

전용백신 다운로드 사이트 바로가기

이 웜에 감염되면 윈도 시스템 날짜가 2090년 1월 1일로 바뀌고, 일부 시스템(서비스팩3)에서는 컴퓨터 로그인과 동시에 로그오프가 되는 현상이 발생합니다. 또한 윈도 시스템 폴더에 랜덤한 7자리 숫자 파일을, Temp 폴더에 랜덤한 5자리 숫자의 sys 파일을 생성하기도 합니다. 감염 후에는 포르노사이트 등 특정 사이트로 접속 후 대기합니다.

이 웜은 윈도우 서버 서비스 관련 취약점(MS08-067)또는 오래전에 알려진 RPC DCOM (MS03-039) 취약점을 이용하였으며, 스스로 전파하는 기능은 없고 특정 호스트에 접속후 공격자의 명령에 의해서만 취약점을 이용하여 전파 되는 것으로 추정됩니다. USB의 autorun.inf 파일을 이용하기 때문에 만약 감염된 USB를 컴퓨터에 꽂으면 자동으로 감염되기도 합니다. 또한 네트워크로도 확산, 기업·기관 등에 피해가 확산될 우려가 있습니다.

Win32/Aimbot.worm.15872 상세 분석 정보

위험도 - 시스템 (높음) 네트워크(매우 높음) 확산(높음) 현재 확산도(보통)
다른이름 - Win-Trojan/Agent.15872.KM, Virus.Win32.PureMorph!IK, Win32:PureMorph, Generic12.BMBL, Trojan.Win32.Inject.oqw, Virus.Win32.PureMorph, Trojan/W32.Agent.15872.AY, Trojan.Win32.Crypt.15872.B
생성 파일명 - 7673010, 20410.sys, system.exe
대표적 증상 - 시스템 관련, 네트워크 관련, 보안상 위험, 네트워크 트래픽 발생, 사용자 정보 유출
활동플랫폼 - 윈도우
감염/설치경로 - 네트워크, 보안취약점
최초발견일 - 2.09.2009

증상 및 요약
Win32/Aimbot.worm.15872 는 Win32/IRCBot.worm의 변형 중 하나이다. 웜이 실행되면 윈도우 시스템 폴더에 system.exe와 템프 폴더에 5자리 숫자를 가진 랜덤한 파일명.sys를 생성한다. 그리고 특정 IRC 서버의 채널에 접속하여 오퍼(방장)가 내리는 명령에 따라 다양한 악의적인 기능을 수행하게 된다.

상세정보
* 전파 경로


윈도우 서버 서비스 관련 취약점(MS08-067)또는 오래전에 알려진 RPC DCOM (MS03-039) 취약점 코드가 포함 되어 있다. 그러나 스스로 전파하는 기능은 없고 특정 호스트에 접속후 공격자의 명령에 의해서만 취약점을 이용하여 전파 되는 것으로 보인다. 이 부분은 추후 분석이 완료되는대로 업데이트 될 예정이다.

네트워크 드라이브나 USB 플래쉬 메모리를 통해 전파되며 악성코드 파일(explorer.exe)와 autorun.inf 파일을 생성한다.




* 실행 후 증상


[파일 생성]

윈도우 시스템 폴더에 랜덤한 7자리 숫자로 된 파일명을 갖는 파일을 생성하는데 악성코드 복사본이다.

주) 윈도우 시스템 폴더는 사용 윈도우에 따라 다르며 보통 윈도우 95/98/ME는 C:\Windows\System, 윈도우 NT/2000은 C:\WinNT\System32, 윈도우 XP는 C:\Windows\System32 폴더이다.

* Win32/AimBot.worm.15872 증상 *

실행되는 파일명이 system 이라면 시스템 시간을 2090년 1월 1일로 변경하지 않는다. 다만 "system"이 아닌 다른 이름으로 실행하면 시스템 시간을 2090년 1월 1일로 설정한다. 그리고 윈도우 방화벽 허용 리스트에 자신을 등록해둔다.

부팅 후 자동실행 되기 위해서 다음 레지스트리 값을 생성 시킨다. 해당 레지스트리키는 악성코드가 실행 중 일 때는 접근 할 수가 없다.

Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon

그리고 7자리 난수를 발생시켜 system32 폴더에 자기 자신을 복사 해둔다. 5자리 난수를 발생시켜 C:\Documents and Settings\(사용자 계정)\Local Settings\Temp 에 sys 파일을 생성한다.

또한 악성코드는 다음과 같은 쓰레드를 생성하는데 하는 증상은 다음과 같다.

- 외부로 부터 메시지를 받기 위한 쓰레드(Thread) 생성
- sex.(제거됨).com에 접속하기 위한 쓰레드 생성
- 자신이 생성한 Software\\Microsoft\\Windows NT\\CurrentVersion\\Winlogon 키 값의 변화를 감지하여 키 값을 삭제 혹은 변경하였을 경우 다시 원래대로 복구한다.

위에서 언급한 랜덤한 5자리 숫자로 된 파일명을 갖는 sys 파일을 생성하는데 V3에서 Win-Trojan/Agent.4096.EI 으로 진단된다.

주) 템프 폴더는 C:\Documents and Settings\사용자 계정명\Local Settings\Temp 폴더이다.


* Win-Trojan/Agent.4096.EI 의 증상 *

1. 다음의 시스템의 네트워크 디바이스에 Attach된 모니터링 드라이버를 제거한다.
Tcpip, Udp, Tcp, IPMULTICAST, Ip
- 방화벽이나 패킷모니터등의 네트워크 감시모듈을 제거한다.

2. ntoskrnl.exe의 Unknown 윈도우보안 함수를 후킹하여 레지스트리의 보안키에 대한 접근을 모니터링하며 Winlogon 프로세스가 호출한 경우 원본함수 호출하지 않는다.
\Registry\Machine\Security\Policy\Secrets\
- 위 레지스트리는 시스템의 사용자계정과 패스워드등의 중요 보안정보를 백업하는 중요키이며, 일반적인 레지스트리 편집기로는 해당 내용을 볼 수 없다. 레지스트리 편집기에는 HKLM\SECURITY 까지만을 확인할 수 있다.

3. \Driver\Atapi 디바이스의 DriverStartIo 함수를 후킹한다.
- 파일시스템 드라이버 입출력시 악성코드 드라이버 모듈 및 레지스트리를 은닉 하도록 한다.

4. ntoskrnl.exe의 IoCallDriver 함수를 후킹한다.
- 해당함수 후킹을 통하여 자신의 파일에 대한 보호를 한다.

- 시스템 시간을 2090년 1월 1일로 변경한다.

* 기타 증상 *

시스템에 따라서 악성코드가 실행 될 때 블루스크린(BSOD)가 발생 될 수 있다. 이러한 이유는 악성코드가 생성하는 드라이버를 로드 하는 과정중에 시스템에 설치된 다른 드라이버와 충돌이 발생한 것으로 보인다. 이후 이와 같은 증상으로 시스템이 정상적으로 부팅 되지 않을 수 있다. 또한 윈도우 로그온 화면에서 정상적인 로그온을 하지 못하고 시스템이 계속적으로 재부팅 될 수 있다. 이 또한 악성코드가 자신을 특정 레지스트리 값에 등록 하려고 할 때 버그 또는 원인을 추정 할 수 없는 이유로 정상적으로 해당 레지스트리 키값을 인식하지 못하여 발생 하는 것으로 추정 된다.


* 무한 로그인 반복 시스템 조치 방법

윈도우 설치 CD를 통하여 부팅한 후 복구옵션을 선택하여 시스템 재설치.


안철수연구소 시큐리티대응센터(ASEC) 조시행 상무는 "인터넷이나 이메일 상의 파일을 아무 것이나 다운로드하지 말고, 백신을 최신 버전으로 유지해야 한다"며 "윈도 보안 취약점에 대한 패치를 해야 재감염을 방지할 수 있다"고 주의를 당부했습니다.

출처 - 안철수 연구소 http://kr.ahnlab.com
__________________
Thanks for reading,
J.J.
Reply With Quote
 


Currently Active Users Viewing This Thread: 1 (0 members and 1 guests)
 
Thread Tools
Display Modes Rate This Thread
Rate This Thread:

Posting Rules
You may not post new threads
You may not post replies
You may not post attachments
You may edit your posts

BB code is On
Smilies are On
[IMG] code is On
HTML code is On

Forum Jump


All times are GMT -4. The time now is 12:23 PM.


Copyright ©2000 - 2018, Kobridge Co.
이곳의 모든 내용은 허락없이 사용, 복제를 금합니다.