보안IT뉴스 보안권고문 보안Tip 보안처방 보안통신 보안용어 보안백신메일 보안캘린더
보안위협DB 찾기
보안칼럼
에브리존 Zip에브리존 See에브리존 FTP

  보안IT뉴스
  보안권고문
  보안Tip
  보안처방
  보안통신
  보안용어
  보안백신메일
  보안캘린더
  보안위협DB찾기
  보안칼럼

   보안위협DB찾기
   
  
 목록 |  윗글 |  아랫글  
Backdoor-W32/SdBot.63488
 바이러스 종류
Backdoor
 실행환경
Windows
 발견일
2005년07월15일
 제작지
불분명
 위험등급
보통
 확산방법
네트워크, 보안취약성
 바이러스 크기
63,488 Bytes
 첨부파일
 메일제목
  
 증상요약
  타켓이 되는 시스템의 정보열람, 보안설정 변경, 프로세스 종료
 치료방법

터보백신 제품군으로 진단/치료 가능합니다.



  
 
상세설명
네트워크 공유 폴더와, 윈도우 보안패치 헛점등을 이용해서 전파및 설치된다.

Backdoor 가 실행 되면, 일반적으로 윈도우 폴더
(win9x: C:\Windows, win XP: C:\Windows, win2000, NT : C:\WinNT)
에 MCSECURE.EXE(63,488 Bytes) 파일이 설치된다.

그리고 Hpdriver.sys(7,168 bytes)을 윈도우 시스템 폴더(win9x: C:\Windows\system, win XP: C:\Windows\system32, win2000, NT : C:\WinNT\system32)
에 생성한다.

이 파일은 터보백신 제품군에서 Trojan-W32/AgentRootKit.7168로 진단 한다.

이때 해당 파일이 동작하게 되면 자신을 다음과 같이 레지스트리에
등록되어 다음 부팅시 실행되도록 조작 한다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\mcsecure
항목에

(windows 9x, xp)
ImagePath = c:\windows\MCSECURE.EXE

(windows 2000, NT)
ImagePath = c:\winnt\MCSECURE.EXE

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Mcsecure
항목에

DisplayName = Mcsecure

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Hpdriver
항목에

(windows 9x)
ImagePath = c:\windows\system\Hpdriver.sys

(windows xp)
ImagePath = c:\windows\system32\Hpdriver.sys

(windows 2000, NT)
ImagePath = c:\winnt\system\Hpdriver.sys

을 생성한다.

그리고 다음처럼 윈도우 보안셋팅을 조작 한다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
항목에

AntiVirusDisableNotify = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
항목에

FirewallDisableNotify = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
항목에

AntiVirusOverride = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
항목에

FirewallOverride = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
항목에

UpdatesDisableNotify = "dword:00000001"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
항목에

DoNotAllowXPSP2 = "dword:00000001"

기본값은 dword:00000000 이다.

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\DomainProfile
항목에

EnableFirewall = "dword:00000000"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\WindowsFirewall\StandardProfile
항목에

EnableFirewall = "dword:00000000"

의 유저 셋팅을 변경한다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wscsvc
항목에

Start = "dword:00000004"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteRegistry
항목에

Start = "dword:00000004"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Messenger
항목에

Start = "dword:00000004"

기본값은 dword:00000002 이다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\TlntSvr
항목에

Start = "dword:00000004"

기본값은 dword:00000003 이다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control
항목에

WaitToKillServiceTimeout = "7000"

기본값은 20000 이다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole
항목에

EnableDCOM = "N"

기본값은 Y 이다.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa
항목에

restrictanonymous = "dword:00000001"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\
항목에

AutoShareWks = "dword:00000000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanserver\parameters\
항목에

AutoShareServer = "dword:00000000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters\
항목에

AutoShareWks = "dword:00000000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\lanmanworkstation\parameters\
항목에

AutoShareServer = "dword:00000000"

유저셋팅 값을 변경한다.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update
항목에

AUOption = "dword:00000001"

기본값은 dword:00000000 이다.


백도어로서 동작 하게되면, 다음과 같은 시스템 오동작이 일어날 수 있다.

1. 파일 실행및 삭제
2. 포트감시
3. 키보드로 타이핑한 내용을 저장
4. 파일 다운로드
5. 프로세스 종료
6. ftp및 proxy 서버로 동작가능
7. 시스템 하드웨어 정보 수집

그리고 이 백도어는 몇몇 Worm 류의 실행을 방해 하며 프로세스플 종료 시키는

기능을 가지고 있으나 확인되지 않았다.

WebDav 버퍼 오버 플로우 위험, RPC/DCOM, RPCSS Servie,

LSASS 오류 위험등을 이용하므로, 다음 보안패치를 권고한다.

*MS03-007 윈도우 구성요소 오류
http://www.microsoft.com/korea/technet/security/bulletin/MS03-007.asp

*MS03-026 RPC 버퍼 오버런 오류
http://www.microsoft.com/korea/technet/security/bulletin/MS03-026.asp

*MS03-039 RPCSS 서비스 버퍼 오버런 오류
http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp

*MS04-011 RPCSS 원격코드 실행
http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp
 
예방 및 수동조치방법
무단전재ㆍ배포금지
에브리존에서 제공하는 모든 컨텐츠 정보에 대한 저작권은 에브리존의 소유이며 관련법의 보호를 받습니다.
에브리존의 사전 허가 없이 에브리존 컨텐츠를 무단으로 전재, 배포를 금지되어 있습니다.
이를 위반하는 경우 손해배상의 대상 또는 민.형사상의 법적 소송 대상이 될 수 있습니다.
* 에브리존 정보 이용 문의 : greenking@everyzone.com
 목록