(주)에브리존 :: 바이러스 · 악성코드 없는 세상

보안IT뉴스

보안권고문

보안Tip

보안처방

보안위협DB 찾기

보안위협DB찾기

목록 |

윗글 |

아랫글

W32/Sircam@mm

바이러스 종류

Worm

실행환경

Win9x, Win2000

발견일

제작지

위험등급

확산방법

바이러스 크기

137216

첨부파일

확장자가 PIF, LNK, BAT, COM 인 파일

메일제목

<영문> 메일 첫 줄 : "Hi! How are you?"

증상요약

치료방법

터보백신 Ai, 터보백신 2001 또는 터보백신 Online으로 치료 가능합니다.

상세설명

언어 버전에 다라 메일의 내용이 다르나 문장의 첫줄과 끝에는 항상 동일
한 메세지가 붙는다.

자체 메일 발송기능을 가지고 있어서, 감염된 사용자는 자신이 이 바이러스
에감염됬는지 조차 모른채 컴퓨터를 사용하게 된다.

감염된 사용자 컴퓨터 내에 존재하는 파일에 웜을 붙여서 보내게 되며, 이
는 개인의 정보가 유출됨을 의미 한다.

인터넷 캐시 부분을 이용하기 때문에 자신이 직접 메일을 발송한 사람이 아
니더라도 한 번 방문했던 적이 있었던 페이지의 웹 마스터에게 감염된 메일
을 보내게 된다.

이 때문에 확산력이 빠르며, 같은 사람에게 수십통의 감염된 메일이 배달
되기도 한다.

웜이 실행되면 첫번째로 HKEY_CLASSES_ROOT\exefile\shell\open\command 항
목이(기본값) C:\Recycled\SirC32.exe "%1" %* 으로 변경된다.

이후 모든 EXE 파일 실행시 웜이 먼저 실행되게 된다.

여기서 C:\Recycled\SirC32.exe 값이 없을수도 있으나, 감염이 되지 않은
것은 아니니 주의해야 한다.

두번째로 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion

\RunServices 항목에 Driver32 = "C:\WINDOWS\SYSTEM\SCam32.exe"이 추가되
며 세번째로 HKEY_LOCAL_MACHINE\Software 메뉴에 SirCam이 추가 된다.

Autoexec.bat 내에 @Win \recycled\SirC32.exe를 추가하여 부팅시 웜이 자
동적으로 실행되게 만든다.

그리고 Windows폴더에 존재하는 정상적인 Rundll32.exe파일을

Run32.exe파일로 이름을 변경한후 숨김속성으로 변형시켜 보관하며,

그 후 웜자체를 Rundll32.exe로 바꾸어 버린다.

만약 이 파일의 이름을 정상적으로 리네임 시키지 않으면 윈도우(제어판 클
릭등..)

사용시 이 파일을 찾는 에러 메세지를 내게 된다.

윈도우의 시스템 폴더(Win9X의 경우 C:\Windows\system, Win2000의 경우
C:\Winnt\system32 )에

SCam32.EXE, SCD.DLL, SCI1.DLL, SCW1.DLL의 파일 등이 생성되며, 발견시
모두 삭제해야 한다.

예방 및 수동조치방법

1. C:\Recycled\SirC32.exe 의 값을 숨김속성 해제후 삭제한다.

2. 윈도우의 시스템 폴더(Win9X의 경우 C:\Windows\system, Win2000의 경

우 C:\Winnt\system32 )에 SCam32.EXE, SCD.DLL, SCI1.DLL, SCW1.DLL의 파

일을, 발견시 모두 삭제해야 한다.

3. C:\Windows\Temp 안에 파일이 존재 하면 지운다.(없을 수도 있다)

4. HKEY_CLASSES_ROOT\exefile\shell\open\command 항목의

   (기본값) C:\Recycled\SirC32.exe "%1" %* 에서 C:\Recycled\SirC32.exe

부분만 삭제 하고 "%1"%* 만 남긴다.

5. HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion

   \RunServices 항목의 Driver32 = "C:\WINDOWS\SYSTEM\SCam32.exe"값 삭

제.

6. HKEY_LOCAL_MACHINE\Software 메뉴에 SirCam 항목을 삭제한다.

7. Autoexec.bat 내에 @Win \recycled\SirC32.exe 부분을 삭제한다.

8. Windows폴더에 Rundll32.exe파일을 삭제하고 숨김속성으로 되있는

   Run32.exe파일을 숨김속성 해제시켜 Rundll32.exe로 이름을 바꾼다.