I-Worm.Win32.Klez.E
별 칭 : W32.Klez.E@mm(Symantec)
분 류 : 인터넷 웜 활 동 O S : Win32
제 작 지 : 외산 발 견 일 : 2002-01-17
대표적증상 : 프로세스 종료 활 동 일 :
상세정보
이 바이러스는 e-메일과 네트워크의 읽고/쓰기용으로 공유된 폴더를 통해서 감염되는 웜으로 분류된다.
해외에서는 2002년 1월 17일 보고되었으며, 국내에는 2002년 1월 18일 현재 감염보고가 없다.
2001년에 발생하였던 I-Worm.Win32.Klez의 변형중 하나로 감염시 정상적인 파일에 감염되는 Win32.Elkern 바이러스를 포함하고 있는것은 동일하다.
- 생성 파일
윈도우 시스템 폴더(OS가 1개 존재하는 시스템 기준으로 WindowsSystem)에
# 'Wink(랜덤한 문자).EXE[78-81 바이트 사이]'로 읽기전용/숨김/시스템 속성이 걸려있다'
예를 들어) WINKFG.EXE
# WQK.EXE(Win32.Elkern.B 에 감염된 정상적인 파일중 하나가 이름이 변경되어 저장된 것이며 역시 읽기전용/숨김/시스템 속성이 걸려있다.)
- 전파 방법
e-메일을 통한 감염과 네트워크상의 공유된 폴더로 감염되는 방법이 있다.
# 첫번째 방법인 e-메일을 통한 감염시에는 제목과 / 내용 / 첨부 파일은 랜덤하게 결정되며, 특히 메일을 읽어 보기만해도 첨부 파일이 자동으로 실행되는 아웃룩과 아웃룩 익스프레스의 버그를 이용하기 때문에, 보안 패치를 하지 않은 시스템에서는 메일을 읽어보는 것만으로도 감염이 일어난다. e-메일의 발송 대상은 아웃룩 주소록에 등록된 모든 사용자 이다.
메일 발송시 제목,본문,첨부 파일을 다음과 같다.
제목 : 아래의 영문 문자열 중 하나로 랜덤하게 결정된다.
How are you
Let's be friends
Darling
Don't drink too much
Your password
Honey
Some questions
Please try again
Welcome to my hometown
the Garden of Eden
introduction on ADSL
Meeting notice
Questionnaire
Congratulations
Sos!
japanese girl VS playboy
Look,my beautiful girl friend
Eager to see you
Spice girls' vocal concert
Japanese lass' sexy pictures
본 문 : 본문 역시 랜덤하게 결정되나 아무런 내용도 포함하고 있지 않은 경우도 있다.
첨부 파일 : 첨부 파일 역시 랜덤하게 결정되나 아래의 확장명은 포함하고 있다.
.PIF
.SCR
.EXE
.BAT
# 다른 전파 방법은 네트워크로 감염되는 방법인데, 폴더를 읽고/쓰기용으로 열어두면 자동으로 웜을 복사해 넣으면서 감염된다.
- 증상
# 웜에 감염되면,일부 안티 바이러스(Anti-Virus)프로그램과 잘 알려진 바이러스를 강제로 종료시키는데,그 중 종료시키는 바이러스 리스트는 다음과 같다.
바이러스 프로세스 리스트 :
"CodeRed"
"WQKMM3878"
"GRIEF3878"
"Fun Loving Criminal"
"Sircam"
"Nimda"
# 감염된 후 재 부팅시 블루스크린이 나타나기도 하며 부팅이 안될 수도 있다.
- 자동 실행
레지스트리 "HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun"위치에
이름 : Wink[랜덤한 문자열]
데이터 : C:WindowsSystemWink[랜덤한 문자열].exe
동일한 위치에
이름 : WQK
데이터 : C:WindowsSystemWqk.exe
* I-Worm.Win32.Klez 원형정보
- //www.hauri.co.kr/virus/vir_info_detail.html?uid=238
*최초작성 : 2002/01/18 09:35am
*본 바이러스 정보는 엔진업데이트와 동시에 수정 및 업데이트 될 예정이다.
치료방법
정상적인 파일에 감염되는 바이러스를 포함하고 있으므로 반드시 백신프로그램을 이용하여 진단 및 치료를 해야하며 다음의 패치를 적용하여 메일의 미리보기만으로 감염되는것을 차단해야한다.
또한 다음의 패치를 적용하여 보안 취약점을 근본적으로 제거해야 한다.
[Microsoft 보안패치 항목]
* Outlook Express
- //www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp
* Outlook 2000
- //office.microsoft.com/korea/downloads/2000/outlctlx.aspx
* Outlook 2002 (Office XP)
- //office.microsoft.com/korea/downloads/2002/OLK1003.aspx
