바이러스 DB - 터보백신

바이러스 정보
터보백신에서 분석한 바이러스 위협 정보, 보안 통계를 확인할 수 있습니다.

이름: Backdoor-W32/RBot.113076

바이러스 종류: Backdoor

실행환경: Windows

증상요약: 이 Backdoor는 윈도우 취약점과 윈도우 사용자 계정의 취약한 암호를 통해 전파된다. 해당 Backdoor 가 실행되면 윈도우 시스템 폴더에 plscdksx.exe 파일을 생성하고 자신을 레지스트리에 등록하여 윈도우 시작시 자동으로 실행되게 만든다. 그리고 특정 IRC 서버의 채널에 접속하여 오퍼(방장)가 내리는 명령에 따라 여러가지 악의적인 일을 수행하게 된다.

위험등급: 위험

확산방법: 네트워크, 보안취약점

치료방법: 터보백신 제품군으로 진단/치료 가능합니다.

※ 상세 설명: <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>*감염 경로 네트워크 공유 폴더와, 윈도우 보안패치 헛점등을 이용해서 전파및 설치된다. <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left><?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" /><o:p></o:p>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>MS03-039 RPC DCOM2 취약점  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> <A href="http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp">http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp</A> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> MS04-011 Microsoft Windows용 보안 업데이트 중 LSASS 취약점 <A href="http://www.microsoft.com/korea/technet/security/bulletin/ms04-011.asp">http://www.microsoft.com/korea/technet/security/bulletin/ms04-011.asp</A> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left><o:p></o:p>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>사용자 계정의 취약한 암호에 의해 감염<o:p></o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left><o:p> </o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>윈도우 NT계열(윈도우 NT,2000,XP)의 관리 목적 공유폴더에 대한 사용자 로그인 계정의 암호가 취약한 경우 시스템에 접속 후 실행. 사용자 로그인 계정에 대입하는 암호 리스트는 아래와 같다. <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left><o:p></o:p>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>intranet winpass blank office control nokia siemens compaq cisco orainstall sqlpassoainstall db1234 databasepassword databasepass dbpassword dbpass access domainpassword domainpass domain hello bitch exchange backup technical loginpass login katie george chris brian susan peter win2000 winnt winxp win2k win98 windows oeminstall oemuser homeuser accounting accounts internet outlook qwerty server system changeme linux 1234567890 123456789 12345678 1234567 123456 12345 pass1234 passwd password password1 oracle database default guest wwwadmin teacher student owner computer staff admins administrat administrateur administrador administrator <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> *증상 <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> 윈도우 시스템 폴더에 plscdksx.exe 라는 파일을 생성한다. <o:p></o:p> <TABLE class=MsoTableGrid style="BORDER-RIGHT: medium none; BORDER-TOP: medium none; MARGIN: auto auto auto 55.25pt; BORDER-LEFT: medium none; BORDER-BOTTOM: medium none; BORDER-COLLAPSE: collapse; mso-border-alt: solid windowtext .5pt; mso-yfti-tbllook: 480; mso-padding-alt: 0cm 5.4pt 0cm 5.4pt; mso-border-insideh: .5pt solid windowtext; mso-border-insidev: .5pt solid windowtext" cellSpacing=0 cellPadding=0 border=1> <TBODY> <TR style="HEIGHT: 26.45pt; mso-yfti-irow: 0; mso-yfti-firstrow: yes"> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: windowtext 1pt solid; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: windowtext 1pt solid; WIDTH: 260.9pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 26.45pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt" vAlign=top width=348 colSpan=2> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan; mso-line-height-alt: 13.0pt" align=center>윈도우 시스템 폴더<o:p></o:p></TD></TR> <TR style="HEIGHT: 29.35pt; mso-yfti-irow: 1"> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: windowtext 1pt solid; WIDTH: 55.85pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 29.35pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt" vAlign=top width=74> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>95/98/ME<o:p></o:p></TD> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: #ece9d8; WIDTH: 205.05pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 29.35pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt; mso-border-left-alt: solid windowtext .5pt" vAlign=top width=273> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>C:\Windows\System<o:p></o:p></TD></TR> <TR style="HEIGHT: 35.25pt; mso-yfti-irow: 2"> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: windowtext 1pt solid; WIDTH: 55.85pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 35.25pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt" vAlign=top width=74>   NT/2000<o:p></o:p></TD> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: #ece9d8; WIDTH: 205.05pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 35.25pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt; mso-border-left-alt: solid windowtext .5pt" vAlign=top width=273> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>C\WinNT\System32<o:p></o:p></TD></TR> <TR style="HEIGHT: 31.4pt; mso-yfti-irow: 3; mso-yfti-lastrow: yes"> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: windowtext 1pt solid; WIDTH: 55.85pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 31.4pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt" vAlign=top width=74> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>XP<o:p></o:p></TD> <TD style="BORDER-RIGHT: windowtext 1pt solid; PADDING-RIGHT: 5.4pt; BORDER-TOP: #ece9d8; PADDING-LEFT: 5.4pt; PADDING-BOTTOM: 0cm; BORDER-LEFT: #ece9d8; WIDTH: 205.05pt; PADDING-TOP: 0cm; BORDER-BOTTOM: windowtext 1pt solid; HEIGHT: 31.4pt; BACKGROUND-COLOR: transparent; mso-border-alt: solid windowtext .5pt; mso-border-top-alt: solid windowtext .5pt; mso-border-left-alt: solid windowtext .5pt" vAlign=top width=273> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>  <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: center; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=center>Windows\System32<o:p></o:p></TD></TR></TBODY></TABLE> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left><o:p> </o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; TEXT-INDENT: 94.5pt; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan; mso-char-indent-count: 10.5" align=left>. <o:p></o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> 그리고 레지스트리에 다음 value를 등록해 윈도우 구동시 자동 실행되도록 만든다. <o:p></o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run “program access “ = plscdksx.exe <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices “program access “ = plscdksx.exe <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left> 감염된 시스템은 TCP 임의의 포트를 LISTENING 상태로 열어둔다. (상대로부터 접속을 기다리는 상태) <o:p></o:p> <P class=MsoNormal style="MARGIN: 0cm 0cm 0pt; WORD-BREAK: keep-all; LINE-HEIGHT: 13pt; TEXT-AUTOSPACE: ideograph-numeric; TEXT-ALIGN: left; mso-margin-top-alt: auto; mso-margin-bottom-alt: auto; mso-pagination: widow-orphan" align=left>그 후 사용자 몰래 접속 해 스팸 메일 발송, 애드웨어 설치, 데이터 삭제, 그리고 개인의 컴퓨터 사용 내역을 훔쳐보거나 각종 파일(개인 문서, 기밀 문서 등)을 외부로 빼가는 보안상 문제도 발생할 수 있음 <o:p></o:p> -뮤텍스 생성 다음 뮤텍스(Mutex)를 생성해 중복 실행을 방지한다.  - idksx - 감염된 시스템은 실행중인 특정 프로세스를 강제 종류 시킨다.<o:p></o:p> ssate.exe winsys.exe winupd.exe SysMonXP.exe bbeagle.exe Penis32.exe mscvb32.exe sysinfo.exe 등등..

※ 예방 및 수동 조치 방법

본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요

이전글: Backdoor-W32/SdBot.122368

다음글: Backdoor-W32/AkBot.19664

터보백신 개인용 TurboVaccine Introduce

터보백신 개인용
TurboVaccine Introduce