(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

PHP/Caracula

바이러스 종류

Script Virus

실행환경

Windows

발견일

제작지

위험등급

확산방법

바이러스 크기

첨부파일

메일제목

증상요약

치료방법

터보백신 제품군으로 치료 가능

상세설명

mirc 가 설치된 폴더에서 system.ini 가 존재하면 이
파일을 지우고 새로
만든다.
이 바이러스에 감염된 채로 mirc 를 실행하여 접속하
면 상대방에 바이러스
를 보낸다.
C 드라이브에 _msphp 폴더를 만들고 아래와 같은 내용
이 있는 msphp.ini
를 생성한다.

[MSPHP]
Microsoft PHP Support This folder and the ms.php
file into it will
help your computer and you web browser
to move one step more
into the world of PHP.
Microsoft wants you to enjoy the high technology
available on the
net in this day, so to make this ability
Microsoft developed a new
product named MSPHP that will help you and your
computer to know
the PHP language.
This folder was created automaticly bu
MSInternetExplorer Live Update
if you want to uninstall this options do not
delete the folder or the
file because then you may cause damage to your
computer just send
email to msphp@microsoft.com and we will tell you
how
to msphp@microsoft.com and we will tell you how
to uninstall it.
Copyright Microsoft (c) 2001

msdos.sys 와 config.sys 를 지우고 다시 생성하여 내
용을 아래와 같이 바
꾼다.

[Paths]
WinDir=G:\_Sym\Microsoft\Windows
WinBootDir=A:\System\ini
HostWinBootDrv=R

[OPTIONS]
BootMulti=6
WinVer=Infected Version
MsDos By Microsoft
xxxxxxxxxxxxxxxxxxxxxxxxx

[Windows]
device=C:\Windows\??ss.sys
device=C:\_msdos\90.sys
device=C:\Windows\notepad.exe
Are you ready to slide ?????

regedit.exe, Mshtml.dll, Wsock.vxd, Winspool.drv,
vxblock.dll 의 파일
들을 삭제한다.
C:\_msphp 에 자신을 Caracula.php 에서 ms.php 로 이
름을 바꾼다.

확장자가 htm, html, php 의 끝에 자신을 포함시켜 실
행시 자신을 실행시키
도록 한다.

시스템 폴더(ex: C:\Windows\System)에서 확장자가
ocx, sys, bat, exe,
vxd 인 파일들에 다음과 같은 문자열을 포함시킨다.

Are you read to slide with Caracula ??? I'm ready
but you don't!!!
PHP.Caracula - slide now

예방 및 수동조치방법