이름

Backdoor-W32/IRCBot.69019

바이러스 종류

Backdoor

실행환경

Windows

증상요약

Worm-W32/IRCBot 의 변형 중 하나이다. 이 Backdoor는 윈도우 취약점과 윈도우 사용자 계정의 취약한 암호를 통해 전파된다. 해당 Backdoor 가 실행되면 윈도우 시스템 폴더 \syshelp 폴더에 lsass.exe파일을 생성하고 자신을 레지스트리에 등록하여 윈도우 시작시 자동으로 실행되게 만든다. 그리고 특정 IRC 서버의 채널에 접속하여 오퍼(방장)가 내리는 명령에 따라 여러가지 악의적인 일을 수행하게 된다.

위험등급

위험

확산방법

네트워크, 보안취약점

치료방법

<span class="style4">터보백신 제품군으로 진단/치료 가능합니다.</span><br> <br>  

※ 상세 설명

<P><FONT color=#c001cb><STRONG>*감염 경로</STRONG> </FONT><BR><BR>윈도우 보안 취약점을 통해 감염 </P> <P><BR><BR><FONT color=#c001cb><STRONG>*증상</STRONG> </FONT><BR><BR>C:\<STRONG>윈도우 폴더</STRONG>\<STRONG>system32</STRONG>\<STRONG>syshelp</STRONG> 폴더 아래에 <STRONG>lsass.exe</STRONG> 라는 파일을 생성한다. </P> <P><BR>-여기서 윈도우 폴더란 9x,XP 에서는 windows폴더를 뜻하고 2000,NT 에서는 winNT를 뜻한다. </P> <P><BR>그리고 레지스트리에 다음 value를 등록해 윈도우 구동시 자동 실행되도록 만든다. </P> <P><BR>HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run <BR><FONT color=#e0b800><FONT color=#ad8e00>"webpro antivirus 2.0" = 윈도우 시스템 폴더\syshelp\lsass.exe</FONT> </FONT><BR><BR>HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices<BR><FONT color=#f6cc0b><FONT color=#ad8e00>"webpro antivirus 2.0" = 윈도우 시스템 폴더\syshelp\lsass.exe </FONT><BR></FONT><BR>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run <BR><FONT color=#ad8e00>"webpro antivirus 2.0" = 윈도우 시스템 폴더\syshelp\lsass.exe </FONT><BR><BR>HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices<BR><FONT color=#ad8e00>"webpro antivirus 2.0" = 윈도우 시스템 폴더\syshelp\lsass.exe <BR></FONT><BR>감염된 시스템은 TCP 임의의 포트를 LISTENING 상태로 열어둔다. (상대로부터 접속을 기다리는 상태) </P> <P><BR>그 후 사용자 몰래 접속 해 스팸 메일 발송, 애드웨어 설치, 데이터 삭제, 그리고 개인의 컴퓨터 사용 내역을 훔쳐보거나 각종 파일(개인 문서, 기밀 문서 등)을 외부로 빼가는 보안상 문제도 발생할 수 있음 </P> <P><BR>HOSTS 파일을 수정해 감염된 시스템에서 특정 주소로 접속하지 못하게 한다. 접속을 차단하는 주소는 주로 보안 사이트 홈페이지나 백신 엔진 업데이트 서버로 감염된 사용자가 치료를 위한 엔진 업데이트를 방해한다. </P> <P><BR><FONT color=#ad8e00>HOSTS 파일&nbsp; - 윈도우 95/98/ME - C:\Windows\System 폴더에 존재&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;윈도우 NT/2000 - C:\WinNT\System32\Drivers\ETC 폴더 <BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; 윈도우 XP - C:\Windows\System32\Drivers\ETC 폴더 </FONT><BR></P>

※ 예방 및 수동 조치 방법

• 본 컨텐츠에 대한 저작권은 '에브리존'에게 있으며 이에 무단 사용 및 재배포를 금지합니다.
• 본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요