이름

W32/Nyxem.95690@mm

바이러스 종류

Worm

실행환경

Windows

증상요약

네트워크 또는 이메일로 전파, 레지스트리 변경, 파일생성

위험등급

높음

확산방법

네트워크 또는 이메일로 전파

치료방법

<span class="style4">터보백신 제품군으로 진단/치료 가능합니다.</span><br> <br>  

※ 상세 설명

이 웜은 네트워크 공유 또는 이메일을 통해전파된다. [메일 제목] 다음 리스트에서 선택 된다. *Hot Movie* A Great Video Arab sex DSC-00465.jpg eBook.pdf Fw: DSC-00465.jpg Fw: Funny :) Fw: Picturs Fw: Real show Fw: SeX.mpg Fw: Sexy Fwd: Crazy illegal Sex! Fwd: image.jpg Fwd: Photo give me a kiss Miss Lebanon 2006 My photos Part 1 of 6 Video clipe Photos Re: Sex Video School girl fantasies gone bad [메일 내용] 다음 리스트에서 선택 된다. >> forwarded message Fuckin Kama Sutra pics Helloi attached the details. Hot XXX Yahoo Groups It''s Free :) Note: forwarded message attached. You Must View This Videoclip! Please see the file. Re: Sex Video Thank you The Best Videoclip Ever VIDEOS! FREE! (US$ 0,00) What? forwarded message attached. hello, how are you? i just any one see my photos. i send the details. i send the file. ready to be FUCKED ;) the file i send the details [첨부파일] 파일 이름 은 다음 리스트에서 선택 된다. 007.pif 3.92315089702606E02.UUE 392315089702606E-02,.scR 392315089702606E-02,UUE{spaces}.scR 677.pif Adults_9,zip.sCR ATT01.zip.sCR Attachments00.HQX Attachments001.BHX Attachments[001],B64.sCr Attachments[001].B64 Clipe,zip.sCr document.pif DSC-00465.pIf eBook.PIF eBook.Uu image04.pif New Video,zip New_Document_file.pif Original Message.B64 photo.pif Photos,zip.sCR School.pif SeX,zip.scR Sex.mim Video_part.mim WinZip,zip.scR WinZip.BHX WinZip.zip.sCR Word XP.zip.sCR Word.zip.sCR Word_Document.hqx Word_Document.uu [웜이 발송한 메일의 예] [특징] 웜이 실행되면 다음과 같이 윈도우 폴더(win 2000, NT : C:\Winnt, win XP C:\Windows)와 윈도우 시스템 폴더(win 2000, NT : C:\Winnt\system32, win XP : c:\windows\system32) 에 Rundll16.exe(95,690 Byte), WINZIP_TMP.exe(95,690 Byte), scanregw.exe(95,690 Byte), Update.exe(95,690 Byte), Winzip.exe(95,690 Byte) 파일을 생성한다. 또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에 ScanRegistry = "scanregw.exe /scan" 을 생성한다. 그리고 다음과 같은 레지스트리 키에 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 다음과 같은 값이 있으면 삭제 한다. APVXDWIN AVG7_CC AVG7_EMC AVG7_Run AVG_CC Avgserv9.exe BearShare DownloadAccelerator KAVPersonal50 McAfeeVirusScanService NAV Agent OfficeScanNT Monitor PCCClient.exe PCCIOMON.exe PccPfw Pop3trap.exe SSDPSRV ScanInicio TM Outbreak Agent Vet Alert VetTray avast! defwatch kaspersky pccguide.exe rtvscn95 tmproxy vptray 그리고 다음과 같은 폴더에 있는 dll, exe 파일을 삭제한다. C:\Program Files\Alwil Software\Avast4 C:\Program Files\BearShare C:\Program Files\DAP C:\Program Files\Grisoft\AVG7 C:\Program Files\Kaspersky Lab\Kaspersky Anti-Virus Personal C:\Program Files\McAfee.com\Agent C:\Program Files\McAfee.com\VSO C:\Program Files\McAfee.com\shared C:\Program Files\Morpheus C:\Program Files\NavNT C:\Program Files\Norton AntiVirus C:\Program Files\Symantec\Common Files\Symantec Shared C:\Program Files\Symantec\LiveUpdate C:\Program Files\Trend Micro\Internet Security C:\Program Files\Trend Micro\OfficeScan C:\Program Files\Trend Micro\OfficeScan Client C:\Program Files\Trend Micro\PC-cillin 2002 C:\Program Files\Trend Micro\PC-cillin 2003 그리고 다음과 같은 문자열을 가지고 있는 윈도우를 종료한다. antivirus fix kaspersky mcafee norton removal scan symantec trend micro virus 그리고 웜은 다음과 같은 확장자를 갖는 파일을 매달 3일 32 Byte 파일로 겹쳐쓰기때문에 다음과 같은 확장자의 파일은 32 Byte 크기의 파일로 변경된다. dmp doc mdb mde pdf pps ppt psd rar xls zip 변경된 파일의 내용은 다음과 같다. DATA Error [47 0F 94 93 F4 K5] 그리고 다음과 같은 레지스트리의 값을 생성해 웜 자신을 숨긴다. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced ShowSuperHidden = "dword:00000000"

※ 예방 및 수동 조치 방법

• 본 컨텐츠에 대한 저작권은 '에브리존'에게 있으며 이에 무단 사용 및 재배포를 금지합니다.
• 본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요