이름

W32/Zafi@mm

바이러스 종류

Worm

실행환경

Windows

증상요약

null

위험등급

null

확산방법

null

치료방법

터보백신Ai, 터보백신 Online, 터보백신 2001 제품군으로 치료가능.  

※ 상세 설명

이 웜은 자체 smtp를 이용한 이메일을 통해 전파되며, 감연된 메일내용의 언어가 다양 하다. 웜은 감염된 파일에 겹쳐쓰기 하여 정상 파일을 손상시키기도 하며, 특정 프로세스를 자동으로 종료 시키기도 한다. 다음은 신고된 메일의 한 예이다. [메일 제목] Don`t worry, be happy! [메일 내용] Hi Honey! I`m in hurry, but i still love ya... (as you can see on the picture) Bye - Bye: [첨부파일] www.ecard.com.funny.picture.index.nude.php356.pif [특징] 첨부된 파일이 실행되면 윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에 (랜덤 파일명).exe, (랜덤 파일명).dll 웜 파일이 만들어 진다. 또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에 (win2000, NT의 경우) _Hazafibb = c:\winnt\system32\(랜덤 파일명).exe (WinXP의 경우) _Hazafibb = c:\windows\(랜덤 파일명).exe HKEY_LOCAL_MACHINE\Software\Microsoft\_Hazafibb 웜이 실행 되면 regedit(레지스트리 편집기), msconfig(시스템 구성 유틸리티),task 등의 프로그램 실행을 방해 하며 fvprotect.exe winlogon.exe jammer2nd.exe services.exe 파일및 프로세스가 있다면 종료 후 삭제 한다. 그리고 감염된 컴퓨터에 share, upload 라는 폴더를 발견하면, 다음과 같은 이름으로 웜파일을 생성한다. winamp 7.0 full_install.exe Total Commander 7.0 full_install.exe 웜이 감염된 파일을 보내기 위해 다음과 같은 확장자를 가진 파일에서 메일주소를 수집한다. adb asp dbx eml htm mbx php pmr sht tbb txt wab 마지막으로 수집된 이메일 주소에서 다음과 같은 문자열을 발견하면 웜파일을 보내지 않는다. admi cafee google help hotm info kasper micro msn panda sopho suppor syma trend use vir webm win yaho

※ 예방 및 수동 조치 방법

• 본 컨텐츠에 대한 저작권은 '에브리존'에게 있으며 이에 무단 사용 및 재배포를 금지합니다.
• 본 컨텐츠에 대한 이용 문의는 '에브리존'으로 문의하여 주십시요