이름

Backdoor-W32/RBot.121856.C

바이러스 종류

Backdoor

실행환경

Windows

증상요약

레지스트리 변경, 파일 생성, 프로세스 종료

위험등급

보통

확산방법

네트워크, 보안취약성

치료방법

<span class="style4">터보백신 제품군으로 진단/치료 가능합니다.</span><br> <br>  

※ 상세 설명

이 웜은 윈도우 보안헛점과 네트웍 공유 폴더, 웹서핑을 통하여 전파되며, 다른 백도어에 의해서 설치 파일을 특정 서버로부터 받을수 있다.<br> <br> [특징] <br> <br> 웜이 실행되면 다음과 같이 윈도우 시스템 폴더(win 2000, NT : c:\Wint\system32, win XP : c:\windows\system32) 에 plscdksxg.exe(121,856 Byte) 파일을 생성한다.<br> <br> 또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다. <br> HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에<br> <br> Microsoft Visual Studio = "plscdksxg.exe"<br> <br> HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 항목에<br> <br> Microsoft Visual Studio = "plscdksxg.exe"<br> <br> HKEY_CURRENT_USER\SOFTWARE\Microsoft\OLE 항목에<br> <br> Microsoft Visual Studio = "plscdksxg.exe"<br> <br> 을 생성한다.<br> 그리고 다음처럼 DCOM 프로토콜에 관계된 레지스트리 정보를 수정한다.<br> <br> HKEY_LOCAL_MACHINE\Software\Microsoft\OLE 항목에<br> <br> EnableDCOM = "N"<br> (기본값은 Y)<br> <br> 그리고 C$의 시스템 폴더등을 공유하고 같은 드라이브와 공유 폴더 루트가 존재 한다면 웜의 복사본을 저장해 놓는다.<br> <br> 백도어로서 동작 하게되면, 다음과 같은 시스템 오동작이 일어날 수 있다. <br> 1. 파일 실행및 삭제<br> 2. 서비스 중지<br> 3. 프로세스 종료<br> 4. ftp및 IRC 서버로 동작가능<br> 5. 패킷 전송<br> 6. 파일 다운로드<br> 7. 시스템 정보 수집<br> 8. 키보드 내용 수집<br> 9. 스팸메일 발송<br> 10. 화면 캡쳐<br> <br> 몇몇 게임 CD 키를 수집 하는 기능이 있고, 안티바이러스와, 방화벽과 같은 프로세스가 실행중이면 종료를 시도 한다.<br> <br> 그리고 이 백도어는 RPCSS 원격코드 실행 위험, LSASS의 취약점으로 인한 코드 실행 문제 등을 이용하므로, 다음 보안패치를 권고한다.<br> <br> <ul> <li><a href=http://www.microsoft.com/korea/technet/security/bulletin/MS03-007.asp target="blank"><font color="blue">MS03-007 Windows 구성요소 취약점</font></a></li> <li><a href=http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp target="blank"><font color="blue">MS03-039 RPCSS 서비스의 버퍼 오버런</font></a></li> <li> <a href=http://www.microsoft.com/korea/technet/security/bulletin/MS04-007.asp target="blank"><font color="blue">MS04-011 LSASS 취약점</font></a></li></font> </ul> <br> 또한 다음 처럼 디스크 정리를 통하여 쓸데 없는 파일을 모두 삭제 한다. <br> 디스크 정리는 [시작]->프로그램->보조프로그램->시스템 도구 ->디스크 정리 를 클릭 <br> [제어판]->[인터넷 옵션] 에서 [쿠키삭제],[임시 인터넷 파일]을 모두 삭제 보다 자세한 설명은 아래의 디스크 정리 링크를 참조하십시요.<br> </ul> <li> <a href=http://www.everyzone.com/service/bbs/everyzone_faq/w_content.asp?part=Tbl_everyfaq_new&id=21&GotoPage=1&block=&number= target="blank"><font color="blue">디스크정리 방법</font></a> </li></ul> <br> 그런후 [제어판]->[인터넷 옵션] 에서 "프로그램" 탭을 클릭 하시고 [웹 설정 원래데로] 버튼을 클릭.<br>

※ 예방 및 수동 조치 방법

• 본 컨텐츠에 대한 저작권은 '에브리존'에게 있으며 이에 무단 사용 및 재배포를 금지합니다.
• 본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요