(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

W32/Bugbear.B@mm

바이러스 종류

Worm

실행환경

Win9x, Win2000, Xp

발견일

2003년06월05일

제작지

위험등급

확산방법

바이러스 크기

72,192 Bytes

첨부파일

pif, exe, scr 의 이중 확장자 형태

메일제목

Hello! 외 다수

증상요약

치료방법

터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료 가능 합니다.

상세설명

쓰기 권한이 주어진 공유 폴더와 감염된 이메일의 첨부 파일을 통해서 전파된다.
이 바이러스는 실행 파일중 다음과 같은 파일에 감염이 일어나며, 감염될 때마다테이블 생성및 코드가 변경된다. 또한 UPX 프로그램으로 실행 압축된형태로 암호화 되있다.

윈도우 폴더(c:\Winnt 또는 c:\Windows)에

scandskw.exe
regedit.exe
mplayer.exe
hh.exe
notepad.exe
winhelp.exe
등의 파일을 감염시키며

프로그램 파일 폴더(c:\Program Files)에

AIM95\aim.exe
adobe\acrobat 5.0\reader\acrord32.exe
Adobe\Acrobat 4.0\Reader\AcroRd32.exe
ACDSee32\ACDSee32.exe
CuteFTP\cutftp32.exe
DAP\DAP.exe
Internet Explorer\iexplore.exe
Real\RealPlayer\realplay.exe
utlook Express\msimn.exe
Far\Far.exe
MSN Messenger\msnmsgr.exe
WS_FTP\WS_FTP95.exe
QuickTime\QuickTimePlayer.exe
StreamCast\Morpheus\Morpheus.exe
Zone Labs\ZoneAlarm\ZoneAlarm.exe
Trillian\Trillian.exe
Lavasoft\Ad-aware 6\Ad-aware.exe
Winamp\winamp.exe
ICQ\Icq.exe
kazaa\kazaa.exe
winzip\winzip32.exe
WinRAR\WinRAR.exe
Windows Media Player\mplayer2.exe

등의 파일을 감염시킨다.

또한 다음과 같이 보안관련 프로그램 프로세스를 중지 시키다.

ZONEALARM.EXE
PAVCL.EXE
IAMAPP.EXE
WFINDV32.EXE
PADMIN.EXE
FRW.EXE
WEBSCANX.EXE
OUTPOST.EXE
FPROT.EXE
VSSTAT.EXE
NVC95.EXE
FP-WIN.EXE
VSHWIN32.EXE
NUPGRADE.EXE
FINDVIRU.EXE
VSECOMR.EXE
NORMIST.EXE
F-STOPW.EXE
VSCAN40.EXE
NMAIN.EXE
F-PROT95.EXE
VETTRAY.EXE
NISUM.EXE
F-PROT.EXE
VET95.EXE
NAVWNT.EXE
F-AGNT95.EXE
TDS2-NT.EXE
NAVW32.EXE
ESPWATCH.EXE
TDS2-98.EXE
NAVNT.EXE
ESAFE.EXE
TCA.EXE
NAVLU32.EXE
ECENGINE.EXE
TBSCAN.EXE
NAVAPW32.EXE
DVP95_0.EXE
SWEEP95.EXE
N32SCANW.EXE
DVP95.EXE
SPHINX.EXE
MPFTRAY.EXE
CLEANER3.EXE
SMC.EXE
MOOLIVE.EXE
CLEANER.EXE
SERV95.EXE
LUALL.EXE
CLAW95CF.EXE
SCRSCAN.EXE
LOOKOUT.EXE
CLAW95.EXE
SCANPM.EXE
LOCKDOWN2000.EXE
CFINET32.EXE
SCAN95.EXE
JEDI.EXE
CFINET.EXE
SCAN32.EXE
IOMON98.EXE
CFIAUDIT.EXE
SAFEWEB.EXE
IFACE.EXE
CFIADMIN.EXE
RESCUE.EXE
ICSUPPNT.EXE
BLACKICE.EXE
RAV7WIN.EXE
ICSUPP95.EXE
BLACKD.EXE
RAV7.EXE
ICMON.EXE
AVWUPD32.EXE
PERSFW.EXE
ICLOADNT.EXE
AVWIN95.EXE
PCFWALLICON.EXE
ICLOAD95.EXE
AVSCHED32.EXE
PCCWIN98.EXE
IBMAVSP.EXE
AVPUPD.EXE
PAVW.EXE
IBMASN.EXE
AVPTC32.EXE
PAVSCHED.EXE
IAMSERV.EXE
AVPM.EXE
AVPDOS32.EXE
AVGCTRL.EXE
ACKWIN32.EXE
AVPCC.EXE
AVE32.EXE
_AVPM.EXE
AVP32.EXE
AVCONSOL.EXE
_AVPCC.EXE
AVP.EXE
AUTODOWN.EXE
_AVP32.EXE
AVNT.EXE
APVXDWIN.EXE
AVKSERV.EXE
ANTI-TROJAN.EXE

또한 이메일 전파시 다음과 같은 파일에서 메일 주소를 얻어 온다음
레지스트리에 설정된 SMTP 주소를 이용하여, 바이러스가 첨부된
메일을 보내게 된다.

*.ODS
INBOX
*.MMF
*.NCH
*.MBX
*.EML
*.TBB
*.DBX

일단 감염된 파일이 실행 되면, 1080 포트를 오픈시켜
원격제어 프로그램 신호가 떨어지면 이를 실행하는 통로를 만들어 놓게 된다.

예방 및 수동조치방법