|
커피향이 나는 *NIX
커피닉스
시스템/네트웍/보안을 다루는 곳
|
|
|
|
| 이전 주제 보기 :: 다음 주제 보기 |
| 글쓴이 |
메시지 |
truefeel
카페 관리자
가입: 2003년 7월 24일
올린 글: 1277
위치: 대한민국
|
 올려짐: 2004.8.17 화, 3:02 pm 주제: 라토스 웜(Win32/Ratos.worm.27136) 조심하세요. |
 |
|
어제부터 메일 제목 'photos' 웜이 급속히 들어오더니
지금은 5분에 600여통의 웜이 들어오고 있습니다.
실제 수신받은 메일은 다음과 같습니다.
필터링은 아주 간단히 procmail로 제목에 photos 만 걸러내면 됩니다.
| 인용: |
Subject: photos
Date: Tue, 17 Aug 2004 14:53:24 +0900
Content-Type: multipart/mixed;
boundary="----=_NextPart_000_0006_FF428E25.C3F7581F"
X-Priority: 3
X-MSMail-Priority: Normal
------=_NextPart_000_0006_FF428E25.C3F7581F
Content-Type: text/html;
charset="iso-8859-1"
Content-Transfer-Encoding: 7bit
<html><body>LOL!; ))))</body></html> <-- 'LOL!;' 과 '))))' 가 붙어있는건데, 이모티콘으로 표시되어서 띄워져 옮겼습니다.
------=_NextPart_000_0006_FF428E25.C3F7581F
Content-Type: application/octet-stream; name="photos_arc.exe"
Content-Transfer-Encoding: base64
Content-Disposition: inline; filename="photos_arc.exe"
TVqQAAMAAAAEAAAA//8AALgAAAAAAAAAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAA
AAAA0AAAAA4fug4AtAnNIbgBTM0hVGhpcyBwcm9ncmFtIGNhbm5vdCBiZSBydW4gaW4gRE9TIG1v
ZGUuDQ0KJAAAAAAAAABG0NoiArG0cQKxtHECsbRx6q6/cQOxtHGBrbpxCbG0cQKxtXFvsbRxW5Kn
... 생략 ...
|
메일 형식 안철수연구소의 바이러스 정보에 따르면 다음과 같습니다.
http://info.ahnlab.com/smart2u/virus_detail_1494.html
| 인용: |
----------------
- 보낸 이(발신자, 송신자) : 감염된 시스템에서 임의로 선택
- 받는 이(수신자) : 감염된 시스템에서 임의로 선택
- 제목 : photos
- 본문 : LOL! )))
- 첨부파일 : photos_arc.exe
----------------
Win32/Ratos.worm.27136는 메일로 전파되는 웜이며 photos_arc.exe (27136 바이트)가 첨부되어 있는 특정한 메일 형식을 가지고 있다. 웜이 실행이 되면 시스템에 winpsd.exe, rasor38a.dll 파일을 생성하며 레지스트리를 수정해 시스템이 시작할 때마다 자동 실행 되도록 한다. 그리고 TCP/35542와 TCP/35545를 열어 외부에서 불법적인 접근을 할 수 있도록 한다.
|
|
|
| 위로 |
|
 |
|
|
새로운 주제를 올릴 수 있습니다
답글을 올릴 수 있습니다
주제를 수정할 수 없습니다
올린 글을 삭제할 수 없습니다
투표를 할 수 없습니다
|
Powered by phpBB © 2001, 2005 phpBB Group
|
FAQ
검색
멤버리스트
사용자 그룹
사용자 등록하기
개인 정보
비공개 메시지를 확인하려면 로그인하십시오
로그인
가입없이 누구나 글을 쓸 수 있습니다. 공지사항에 대한 댓글까지도..
BBS >>
설치, 운영 Q&A |
네트웍, 보안 Q&A |
일반 Q&A ||
정보마당 |
AWS ||
자유게시판 |
구인구직 ||
공지사항 |
의견제시
