(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

W32/Mimail.12832@mm

바이러스 종류

Worm

실행환경

Windows

발견일

2003년10월31일

제작지

불분명

위험등급

확산방법

바이러스 크기

12,832 Byte

첨부파일

PHOTOS.zip

메일제목

Re[2]: our private photos <임의의 문자열>

증상요약

치료방법

터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.

터보백신 Ai를 사용하시고 아웃룩을 사용하신 다면 반드시 이메일 감시기를
실행하시기 바랍니다.

상세설명

이 웜은 이메일을 통하여 전파되며, 아래와 같은 본문 내용을 가지고 있다.

Hello Dear!,

Finally i''ve found possibility to right u, my lovely girl :)
All our photos which i''ve made at the beach (even when u''re without ur bh:))
photos are great! This evening i''ll come and we''ll make the best SEX :)
Right now enjoy the photos.
Kiss, James.

첨부 파일 photos.zip은 압축파일 이고, 압축을 풀면 photos.jpg.exe 파일이 생성되며, 이 파일이 실행 되어 실제 감염이 이루어진다.

해당 파일이 실행 되면 윈도우 폴더(win9x, XP: c:\windows, win2000: c:\winnt)에 Netwatch.exe, Zip.tmp, Exe.tmp, Eml.tmp을 생성한다.

Netwatch.exe : 웜의 본체파일
Zip.tmp : Photo.zip 파일이며 파일내부에 Photo.jpg.exe파일을 내장하고 있다.
Exe.tmp : 첨부된 zip 파일을 해제할때 photo.jpg.exe파일을 생성한다.
Eml.tmp : 웜이 추출한 이메일 주소록.

그런 다음 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
항목에

(win9x, Xp의 경우)
NetWatch32 = c:\windows\netwatch.exe

(win2000, NT의 경우)
NetWatch32 = c:\winnt\netwatch.exe

google.com 에 접속이 되면 시스템의 파일에서 메일주소를 수집한 다음 수집된 메일을 가지고, 내장되어 있는 SMTP 를 이용하여 웜을 발송한다.
또한 다음확장자를 제외한 파일에서 메일주소를 주집하기도 한다.

- exe
- dll
- com
- wav
- cab
- pdf
- rar
- zip
- tif
- psd
- ocx
- vxd
- mp3
- mpg
- avi
- gif
- jpg
- bmp

예방 및 수동조치방법