이 웜은 마이크로 소프트 사에서 발표한 2004년 4월 보안 패치중 MS04-011 패치가 안된 컴퓨터를 대상으로
해외에서 4월 30일 부터 전파되기 시작 하였으며 TCP 445번 포트의 이상 트레픽을 일으킨다.
또한 CPU가 100% 사용되 시스템이 느려지며 시스템 자동 종료 카운트가 발생 한다.
그리고 일부 시스템에서는 인터넷 익스플로러 사용시 페이지를 찾을수 없다는 메시지와 함께
웹 서핑이 어려워지기도 한다.
[특징]
MS04-011 패치가 안된 시스템을 찾기 위해 감염된 시스템으로부터
임의의 IP 대역으로 접속을 시도 하며, 취약점 시스템을 발견할 경우
해당 시스템은 다음과 같은 오류 메시지 박스를 뜨운다.
"C:\WINNT\system32\lsass.exe''''''''''''''''''''''''''''''''이(가) 예상하지 않게 상태 코드 128(으)로 종료되었습니다. 지금 시스템을 종료하고 다시 시작할 것입니다"
그런 다음 Worm-W32/Blaster 와 같이 시스템 종료 1분 카운트에 들어 간다.
웜이 실행 되면 다음과 같이 윈도우 폴더 (win 2000, NT : c:\Winnt, win XP : c:\windows)에
avserve.exe 파일이 생성된다.
그리고 윈도우의 시스템 폴더(win 2000, NT : c:\Winnt\system32, Win XP : c;\windows\system32)에
숫자와 _up으로 조합된 웜 파일이 만들어 진다.
(ex : 12345_up.exe )
또한, 다음처럼 레지스트를 수정하여 다음 부팅시 실행되도록 조작한다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 항목에
에브리존에서 제공하는 모든 컨텐츠 정보에 대한 저작권은 에브리존의 소유이며 관련법의 보호를 받습니다.
에브리존의 사전 허가 없이 에브리존 컨텐츠를 무단으로 전재, 배포를 금지되어 있습니다.
이를 위반하는 경우 손해배상의 대상 또는 민.형사상의 법적 소송 대상이 될 수 있습니다.
* 에브리존 정보 이용 문의 : greenking@everyzone.com
