이름

Worm-W32/Zotob.15386

바이러스 종류

Worm

실행환경

Windows

증상요약

레지스트리 변경, 특정 포트 오픈, 파일생성, 윈도우 시스템종료, 특정 IRC서버 접속

위험등급

높음

확산방법

네트워크, 보안취약성

치료방법

<span class="style4">터보백신 제품군으로 진단/치료 가능합니다.</span><br> <br> <br> 마이크로 소프트 MS05-039 보안패치가 안된 사용자는 다음 링크에서 해당 운영체제에 맞는 보안패치를 받아 설치 해야 한다. <br> <a href="http://www.microsoft.com/korea/technet/security/bulletin/MS05-039.mspx"><font color="blue">MS05-039 보안패치 페이지 설명(한글)</a><br><br> <br> 마이크로 소프트 MS04-011 보안패치와 MS04-026가 안된 사용자는 다음 링크에서 해당 운영체제에 맞는 보안패치를 받아 설치 해야 한다. <br> <a href="http://www.microsoft.com/korea/technet/security/bulletin/MS04-011.asp"><font color="blue">MS04-011 보안패치 페이지 설명(한글)</a><br><br> <a href="http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp"><font color="blue">MS03-039 보안패치 페이지 설명(한글)</a><br><br> <br> <a href="http://www.everyzone.com/service/bbs/e_secnotice/content.asp?part=everyzone_secnotice&id=22&GotoPage=&block=&number="><font color="blue">마이크로 소프트 8월 중요 보안 패치 보기</a><br><br> 터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를 실행하시기 바랍니다.  

※ 상세 설명

이 웜은 Worm-W32/Zotob.22528 의 변종으로 윈도우 보안 헛점을 이용하여 전파되며, 레지스트리 값변경및, Services.exe 오류를 발생시켜 시스템 재부팅, 특정 포트를 오픈 하여 irc 서버로의 연결을 시도 한다. [특징] 웜이 실행되면 다음과 같이 윈도우 시스템 폴더(win 2000, NT : c:\Wint\system32, win XP : c:\windows\system32) 에 Botzor.exe(22,528byte) 파일을 생성한다. 또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에 csm Win Updates = "csm.exe" HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 항목에 csm Win Updates = "csm.exe" 를 기록한다. windows xp 에서는 firwall 설정에 관계된 다음 레지스트리를 수정한다. HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\SharedAccess Start = "4" 그리고 TCP 445 포트를 이용하여 원격 쉘 스크립트 2PAC.txt 를 포함한 haha.exe 를 다운로드 받아 특정 IRC 서버에 접속을 시도한다. (이 때문에 과도한 트래픽 발생으로 인하여 네트워크에 부하가 걸려 주위 네트워크상의 PC 들도 네트워크 작업이 동작하지 않을 수 있다.) 접속된 시스템은 다음과 같은 동작이 수행될수 있다. 1. 특정 싸이트 연결 2. 시스템 정보 전달 3. 프로세스 강제 종료 4. 메일주소 수집 5. 파일 실행및 삭제 마지막으로 MS04-011 보안패치와 MS04-026의 헛점을 이용한 W32/Mytob.33485@mm와 동일 하게 Hosts 파일을 수정하여 특정 주소로 접속을 방해 한다. 내용은 다음과 같다. 127.0.0.1 avp.com 127.0.0.1 www.symantec.com 127.0.0.1 securityresponse.symantec.com 127.0.0.1 symantec.com 127.0.0.1 www.sophos.com 127.0.0.1 sophos.com 127.0.0.1 www.mcafee.com 127.0.0.1 mcafee.com 127.0.0.1 liveupdate.symantecliveupdate.com 127.0.0.1 www.viruslist.com 127.0.0.1 viruslist.com 127.0.0.1 viruslist.com 127.0.0.1 f-secure.com 127.0.0.1 www.f-secure.com 127.0.0.1 kaspersky.com 127.0.0.1 kaspersky-labs.com 127.0.0.1 www.avp.com 127.0.0.1 www.kaspersky.com 127.0.0.1 www.networkassociates.com 127.0.0.1 networkassociates.com 127.0.0.1 www.ca.com 127.0.0.1 ca.com 127.0.0.1 mast.mcafee.com 127.0.0.1 my-etrust.com 127.0.0.1 www.my-etrust.com 127.0.0.1 download.mcafee.com 127.0.0.1 dispatch.mcafee.com 127.0.0.1 secure.nai.com 127.0.0.1 nai.com 127.0.0.1 www.nai.com 127.0.0.1 update.symantec.com 127.0.0.1 updates.symantec.com 127.0.0.1 us.mcafee.com 127.0.0.1 liveupdate.symantec.com 127.0.0.1 customer.symantec.com 127.0.0.1 rads.mcafee.com 127.0.0.1 trendmicro.com 127.0.0.1 pandasoftware.com 127.0.0.1 www.pandasoftware.com 127.0.0.1 www.trendmicro.com 127.0.0.1 www.grisoft.com 127.0.0.1 www.microsoft.com 127.0.0.1 microsoft.com 127.0.0.1 www.virustotal.com 127.0.0.1 virustotal.com 127.0.0.1 www.amazon.com 127.0.0.1 www.amazon.co.uk 127.0.0.1 www.amazon.ca 127.0.0.1 www.amazon.fr 127.0.0.1 www.paypal.com 127.0.0.1 paypal.com 127.0.0.1 moneybookers.com 127.0.0.1 www.moneybookers.com 127.0.0.1 www.ebay.com 127.0.0.1 ebay.com Botzor2005 Made By .... Greetz to good friend Coder. Based On HellBot3 MSG to avs: the first av who detect this worm will be the first killed in the next 24hours!!!

※ 예방 및 수동 조치 방법

• 본 컨텐츠에 대한 저작권은 '에브리존'에게 있으며 이에 무단 사용 및 재배포를 금지합니다.
• 본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요