바이러스 명 : PE_CHIR.B
다른이름 : CHIR.B, Win32/Chir.Worm, 차이핵
바이러스 유형 : PE
플랫폼 : Windows
바이러스 크기 : 6652 Bytes
검색가능한 엔진 : 5.200 이상
검색 가능한 패턴 : 330 이상
활동일 : 1일
발생지 :
증 상 : 「PE_CHIR.B」 바이러스는 지난 6월 12일에 발견된 WORM_CHIR.A의
변종으로 WORM_CHIR.A의 경우 메일에 첨부된 파일명이 P.EXE 였고,
이번 변종인 「PE_CHIR.B」 의 경우 PP.EXE 입니다.
그 외 내용은 거의 동일합니다.
EXE, SCR, HTM, HTML 32bit 실행 가능 파일에 감염되며 메모리
상주형, 파일 감염형 바이러스이고, 자신의 감염 파일을 메일에
첨부해 송부하는 웜 활동도 합니다.
메일 발송시 형식은 아래와 같고, 감염시 주소록에 등록된 모든
사용자에게 동일한 메일을 발송합니다.
발송인: imissyou@btmail.net.cn
제목: is comming!
본문: 없음
첨부파일: PP.EXE
활동:
1.웜이 실행되면, 웜자신을 Windows의 시스템 디렉토리에
"RUNOUCE.EXE"라는 이름으로 만들어내고 활동을 하기 위해 아래의
레지스터리에 값을 추가합니다.
이로인해 다음 윈도우 부팅시마다 웜이 자동으로 실행됩니다.
장소 :HKEY_LOCAL_MACHINES>Software>Microsoft>Windows>
Current version>Run
값 :Runouce = C:windowssystemRunouce.exe
(시스템 디렉토리는 일반적으로
windows 9x/ME/XP의 경우 :C:WindowsSystem
windows 2000pro/NT의 경우C:WINNTSystem32임)
2.웜이 실행되면 EXE, SCR, HTM, HTML 파일에 감염시킵니다.
3.또한 주소록에 등록된 모든 사용자에게 동일한 메일을 발송합니다.
발송인: imissyou@btmail.net.cn
제목: is comming!
본문: 없음
첨부파일: PP.EXE
4.감염된 상태에서 시스템 날짜가 매달 1일이 되면 아래 파일들에
쓰레기 값을 덮어씌워 파일을 손상시킵니다.
- *.ADC
- *R.DB
- *.DOC
- *.XLS
5. 그리고 네트웍안에서 확산을 위해 님다와 같이 모든 드라이브와
하위 드라이브에 README.EML 파일을 복사합니다.
이것은PE_NIMDA.A로 진단하며, 감염된 HTML 파일은 JS_NIMDA.A로
진단합니다.
특 징 : 얼마전 유행한 「님다」와 「클레즈」등과 같게 보안홀을 이용해
메일을 미리보기 설정만으로도 첨부 파일이 실행되므로 미리보기
설정을 해제하시고, MS 보안패치를 반드시 적용하십시오.
치료방법 : 최신 패턴과 엔진을 다운받은 후 Trend Micro Antivirus 프로그램
( PC-실린, Officescan 등)을 실행 하여 발견된 바이러스를 치료
하고, 레지스트리 복구는 아래 수동 복구 방법을 확인해 처리해
주십시오.
1. 이 바이러스는 메일과 읽고/쓰기가 가능한 공유폴더로도 확산
되므로 모든 공유 폴더를 해제하거나 읽기전용으로 설정을 변경해
주십시오.
2.자동 실행을 삭제하기 위한 레지스트리 복구
①[시작]->[실행]->열기란에 "Regedit"를 입력하고 레지스트리
편집기를 실행 시킵니다.
②HKEY_LOCAL_MACHINE>Software>Microsoft> Windows >Current
Version>Run 항목을 찾습니다.
③오른쪽 값중 "Runouce = C:windowssystemRunouce.exe "라는
레지스트리 키를 찾아 삭제합니다
3.시스템을 재부팅합니다.
4.최신 패턴과 엔진을 다운받은 후 Trend Micro Antivirus 프로그램
( PC-실린, Officescan 등)을 실행 하여 발견된 바이러스를 치료
합니다.
5.Trend Micro Antivirus 사용자가 아닌 경우 HOUSECALL을 사용하여
검색 및 치료한다.
트렌드 PC실린 광고가 아님을 밝힙니다.
이 바이러스는 걸리면 무차별로 감염을 시킵니다.
치료/제거방법은 위에 설명이 된 듯...
출처 : 트렌드코리아
