『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 22번 제 목:백신 프로그램의 종류 올린시각:95/11/17 17:21 읽음:3371 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 백신 프로그램의 종류 ------------------------------------------------------------ 백신 프로그램(vaccine program) 이란, 컴퓨터 바이러스를 예방, 진단 또는 치료할 수 있는 프로그램들을 통칭하는 말이다. 백신 프로그램은 크게 특정 컴퓨터 바이러스에 대한 백신 프로그램과 불특정 컴퓨터 바이러스 백신 프로그램으로 나눌 수 있다 백신 프로그램의 종류 +- 특정 컴퓨터 바이러스 백신 프로그램 +- 예방 프로그램 | +- 진단 프로그램 | +- 치료 프로그램 | +- 진단/치료 프로그램 | +- 불특정 컴퓨터 바이러스 백신 프로그램 +- 예방 프로그램 | +- 진단 프로그램 특정 컴퓨터 바이러스 백신 프로그램은 지금까지 발견된 컴퓨터 바이러스들을 대상으로 하는 것으로, 예방 프로그램, 진단 프로 그램 및 치료 프로그램으로 나눌 수 있다. 예방 프로그램은 기억장소에 상주하면서, 지금까지 발견된 컴퓨 터 바이러스들에 감염된 프로그램이 실행되는 것을 막아준다. 진단 프로그램은 발견된 컴퓨터 바이러스들에 대한 진단 기능만 을 가진다. 치료 프로그램은 발견되어 분석이 끝난 컴퓨터 바이 러스들을 치료해 주는 것이다. 진단/치료 프로그램은, 지금까지 발견된 컴퓨터 바이러스들에 대한 진단과 치료 기능을 함께 가지고 있는 것이다. 대표적인 한국산 특정 컴퓨터 바이러스 백신 프로그램인 'V3'는 예방 프로그램인 V3RES와 진단/치료 프로그램인 V3로 구성된다. 대표적인 외국산 특정 컴퓨터 바이러스 백신 프로그램인 'Virus can은 예방 프로그램인 VSHIELD, 진단 프로그램인 SCAN, 치료용 프로그램인 CLEAN으로 구성된다. (SCAN 2.X 대 버전에서 부터는 SCAN과 CLEAN이 하나의 파일로 합쳐졌다.) 불특정 컴퓨터 바이러스 백신 프로그램은 특정한 컴퓨터 바이러 스의 종류에 관계없이 컴퓨터 바이러스가 가지고 있는 공통적인 특징을 이용하는 것이다. 불특정 컴퓨터 바이러스 예방 프로그 램들은 컴퓨터 바이러스가 사용자 몰래 기억장소에 상주하거나, 디스크의 특정 영역을 읽고 쓰거나, 실행 파일을 읽거나 쓴다는 사실을 이용한 것이다. 즉, 프로그램이 기억장소에 상주하려고 하거나, 부트 섹터를 읽거나 쓰려 하거나, 실행 파일을 변형 시 키려고 할 때 이 사실을 사용자에게 알리고 중지시키는 일을 수 행한다. 그 대표적인 예로는 '플루샷 플러스(FluShot plus)'나 'VSAFE'를 들 수 있다. 불특정 컴퓨터 바이러스 진단 프로그램들은, 컴퓨터 바이러스에 감염된 부트 섹터나 파일의 내용이 원래의 내용과는 달라진다는 사실을 이용한 것이다. 즉, 원래 파일의 내용을 모두 더한 체크 섬(checksum) 값을 보관하고 있다가 다음에 해당 파일의 체크섬 을 계산하여 원래 값과 달라졌는지를 비교해 봄으로써 변형되었 는지를 알아내는 것이다. 'File Integrity Checker(FIC)' 등의 프로그램이 여기에 속한다. 특정 컴퓨터 바이러스 백신 프로그램은 지금까지 발견된 컴퓨터 바이러스들에 대한 완벽한 예방, 진단 및 치료가 가능한 장점이 있지만 새로 만들어진 컴퓨터 바이러스에 대해서는 퇴치 기능을 추가하기 전까지는 무력하다는 약점을 가지고 있다. 불특정 컴퓨터 바이러스 백신 프로그램은 신종 컴퓨터 바이러스 들에 대해서도 예방 및 진단이 가능하다는 장점이 있다. 그러나 예방 프로그램의 경우, 정상적인 프로그램이 기억장소에 상주하 거나 부트 섹터, 파일 등을 변형시키는 경우에도 컴퓨터 바이러 스의 행동으로 잘못 알고 사용자를 혼동시키는 약점이 있다. 진단 프로그램의 경우에는 내부에 정보를 보관하기 위해서 스스 로를 변형시키는 프로그램이나 업그레이드(upgrade)된 프로그램 을 감염된 것으로 오인하며, 은폐형 바이러스(stealth virus)에 감염된 것은 진단하지 못하는 약점이 있다. 또한, 컴퓨터 바이 러스를 제대로 치료하지 못한다는 약점도 가지고 있다. 이상의 경우들을 볼 때 특정 및 불특정 컴퓨터 바이러스 백신 프로그램들은 서로 경쟁적인 관계라기 보다 상호 보완적인 관계 라고 할 수 있으며, 이 두 가지 백신들을 적절하게 사용하면 컴 퓨터 바이러스에 보다 효과적으로 대처할 수 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 23번 제 목:컴퓨터 바이러스의 예방법 올린시각:95/11/17 17:22 읽음:2998 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 컴퓨터 바이러스의 예방법 ------------------------------------------------------------ 컴퓨터 바이러스 침입에 대해 100% 안전할 수 있는 방법은 존재 하지 않지만, 다음의 사항들만 잘 지킨다면 거의 대부분의 피해 사례를 예방할 수 있을 것이다. 1. 컴퓨터 바이러스에 감염되지 않은것이 확인된 도스 디스켓에 쓰기방지 탭(write-protect tab) 을 붙여서 비상시에 사용할 수 있도록 준비해둔다. (본 포럼의 4번란 39번을 참고하시기 바랍니다.) 2. 하드 디스크가 없는 컴퓨터에서는 반드시 위의 1번에서 준비 한 깨끗한 도스 디스켓으로 부팅한 다음 사용토록하고, 하드 디스크가 있는 컴퓨터에서는 반드시 하드 디스크로 부팅시켜 사용하도록 한다. 3. 여러 사람이 사용하는 컴퓨터를 사용하고자 할 경우는, 항상 전원을 끈 다음에 자신의 도스디스켓으로 부팅을 시킨다. 4. AUTOEXEC.BAT 에 최신 버전의 특정 컴퓨터 바이러스 예방 프 로그램(V3RES, VSHIELD 등)과 디스크 시스템 영역 저장 프로 그램('노턴 유틸리티'의 IMAGE, 'PC 툴즈'의 MIRROR 등)등을 실행시켜 최악의 경우가 발생했을때 복구를 쉽게 할 수 있게 한다. 5. 정기적으로 2~3개 정도의 특정 컴퓨터 바이러스 진단 프로그 램(V3, TBAV, F-PROT등)들을 사용, 전체 디스크 영역을 검사 한다. 6. 중요한 프로그램이나 자료들에 대해서는 정기적, 비정기적으 로 항상 백업(backup)을 해놓는다. 새로운 프로그램을 처음 실행시킬 때는 다음의 과정을 거친다. 1. 일반 상업용 소프트웨어는 불법 복사를 하지 않고, 정품만을 사용한다. 2. 쉐어웨어(shareware)나 공개 소프트웨어(freeware)는 자신의 주변에 있는 컴퓨터 전문가들이 오랫동안 문제없이 사용하고 있는 것을 복사해서 사용하거나, PC통신을 통해서 받는 경우 에는 해당 자료실에 등록된지 1주일이상 경과했고 다른 사람 들이 문제없이 사용하고 있는 것을 받아서 사용한다. 3. 특정 컴퓨터 바이러스 진단 프로그램으로 검사한다. 이러한 경우에는 한국산 백신 프로그램과, 본 포럼에서 추천한 바가 있는 외국산 백신 프로그램을 사용하여 검색하는 것이 좋으 며, 이러한 경우에는 반드시 구할 수 있는 가장 최신 버전을 사용해야 한다. 4. 불특정 컴퓨터 바이러스 예방 프로그램(플루샷 플러스,VSAFE) 등을 먼저 실행시킨 상태에서 프로그램을 시험해 본다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 24번 제 목:신종 컴퓨터 바이러스에 대한 대책 올린시각:95/11/17 17:22 읽음:3848 관련자료 없음 ----------------------------------------------------------------------------- 제 목 : 신종 컴퓨터 바이러스에 대한 대책 ----------------------------------------------------------- '컴퓨터 바이러스의 예방법'에서 설명한 사항들을 모두 잘 지켰 음에도 불구하고, 컴퓨터 바이러스의 감염 증상에서 설명한 증 상들이 나타난 경우라면 신종 컴퓨터 바이러스를 의심해 볼 수 있다. 최신 버전 백신 프로그램으로 바이러스가 검색되지 않음데도 불 구하고 부팅되는 시간이나 프로그램 실행 시간이 평소보다 오래 걸리거나, 기억 장소 크기가 줄어들거나, 파일의 길이가 늘어나 거나, 파일의 작성일이 바뀌어 있거나, 이상없이 실행되던 프로 그램들이 갑자기 실행되지 않거나, 파일들이 이유없이 지워지거 나, 하드 디스크가 갑자기 인식되지 않거나, 화면에 이상한 말 들이 출력되거나, 스피커에서 이상한 소리가 나거나 하는 등의 이상 증상이 시스템에서 발생했다면 우선 컴퓨터 바이러스를 의 심해 볼 수 있다. 그런데 특히 V3나 이야기, 한글의 실행 프로그램에는 자체 변형 검색 기능이 있기 때문에, 신종 컴퓨터 바이러스에 감염된 경우 에는 경고의 말을 출력게 되어 있어 사용자들에게 일단 의심할 수 있는 근거를 준다. 예를 들어, V3는 이러한 경우가 발생하면 'This program is probably infected with unknown computer vi rus. Please send this program to copyrighter.(이 프로그램은 새로운 컴퓨터 바이러스에 감염되었습니다. 이 프로그램을 저작 자에게 보내주십시오.)'라는 말을 출력한다. 이러한 경우에는 신종 컴퓨터 바이러스가 이미 기억장소에 상주 했을 가능성이 많으므로, 즉시 컴퓨터의 전원을 끈 다음에 감염 되지 않은 도스 디스켓으로 다시 부팅을 시켜야 한다. 또한, 이 런 말이 출력되는 백신 프로그램은 절대 다시 사용하지 말아야 하며, 신속하게 본 연구소로 해당 파일을 보내 주어야만 신속한 버전업이 이루어질 수 있으며, 이로 인해 많은 일반 사용자들의 피해사례를 감소시킬 수 있다. 그러나 이러한 증상들이 모두 컴퓨터 바이러스에 의해서만 발생 하는 것은 아니며 하드웨어적인 문제일 수도 있고 소프트웨어적 인 문제일 가능성도 얼마든지 있다. 1. 하드웨어적인 문제 1) 하드웨어의 고장 2) 디스크 자체의 고장 2. 소프트웨어적인 문제 1) 사용자의 조작 실수 2) 소프트웨어들간의 충돌 3) 사용하는 프로그램 자체의 버그(bug) 4) 트로이 목마 프로그램 5) 컴퓨터 바이러스 이상 증상의 원인이 하드웨어적인 것인지, 아니면 소프트웨어 적인 것인지를 판단할 수 있는 가장 간단한 방법으로는, 감염되 지 않은 도스 디스켓으로 부팅한 다음에도, 그러한 증상이 계속 발생하는지를 관찰하는 것이다. 아울러, 이때 도스 디스켓에는 CONFIG.SYS와 AUTOEXEC.BAT가 들어 있지 않은 것이 바람직하다. 만약, 이런 경우에도 증상이 계속 나타난다면 하드웨어적으로 문제가 있는 것이며, 이상 증상들이 없어진다면 소프트웨어적인 문제가 있는 것이다. 다시 한번 강조하게 되지만 위에서 적은 바와 같이 이상 증상의 원인이 컴퓨터 바이러스로 의심되는 경우에는 본 연구소로 신속 하게 연락을 취하기 바란다. 이것은 본인에게는 약간의 번거로 움과 본인의 문제 해결만 뿐만이 아니라, 동일한 문제가 발생할 수 있는 일반 사용자들에게는 커다란 이득을 가져다 줄 수 있는, 건전한 '컴퓨터 문화 환경 조성'에 일조하는 것이다. 감염된 파일들을 알고 있는 상태에서 다시 구할 수 있는 파일들 이라면 지워버리는 것이 안전하며, 구할 수 없는 파일의 경우라 면, 해당 바이러스의 치료 프로그램이 나올 때까지 다른 디스크 등에 보관해 두는 것이 좋다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 28번 제 목:[정보] 미니3 바이러스 올린시각:96/01/24 10:47 읽음:1151 관련자료 없음 ----------------------------------------------------------------------------- [정보] Miny3 1) 이름: 미니3 (Miny3) 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95 년 3월 5) 종류 : 램상주 COM 6) 증상 : 변형마다 각기 다름 7) 내용 : 미니3(Miny3) 바이러스라는 이름이 붙은 이유는 바이러스 내부에 '[Miny3 ]'와 같은 문자열이 존재하기 때문이다. 한국산 바이러스로 94년 3월 발견 된 후 많은 변형이 발견되었다. 미니 3 바이러스는 상주형으로 MCB(Memory Control Block)를 조작해서 기억장소의 최상위 영역에 상주한다. 기억장소에 상주후 실행되는 COM 파일을 감염시키는 기생형 바이러스이다. 1234~65000 바이트의 COM 파일만 감염시키며, 읽기 전용 파일은 감염시키지 못한다. EXE 파일의 구별은 파일의 첫부분이 'M'(4Dh)자인지 검사하므로 COM 파일 이라도 'M'자로 시작하는 파일은 감염되지 않는다. 바이러스의 감염여부는4 번째 부분이 'C'(43h)인지검사한다. V3 프로그램(V3.COM,V3RES.COM,V3-KS.C OM,V3-TG) 은 4번째가 C이므로 감염되지 않는다. 일단 감염된 파일은 256 바이트 증가하고 파일의 작성일이 현재 컴퓨터의 날짜와 시간으로 바뀌게 된다. 미니3 바이러스는 21번 인터럽트를 가로채서 4Bh(파일 실행) 기능을 가로 채서 AL값이 30이면 AX 값에 00 을 돌려줘 기억장소 존재유무를 알린다. 30h는 이 바이러스의 버전을 의미한다. 미니3 바이러스는 파일을 감염시키는 것을 제외하고 특별히 다른 일은 하 지 않는다. 하지만, 쓰기 방지탭이 붙은 디스크에서 파일을 실행하면 쓰기 방지 에러가 발생한다. 또, 도스 6.x 이상의 COMMAND.COM 파일이 감염되면 그 하드디스크나 플로피디스크로는 부팅이 되지 않는다. 위에서 설명한 모 든 증상은 미니3.218,미니3.300 에서도 발생하며 미니3.321 부터는 쓰기 방 지탭을 붙인 디스크에서 파일을 실행해도 에러가 발생하지 않으나 666 버전 이전까지 COMMAND.COM에 감염되면 부팅이 되지 않는다. 감염된 파일 내부에는 'Miny3' 를 볼수 있다. 01E0 07 81 C6 ED 00 BF 00 01-57 A5 A5 C3 90 90 90 CD ........W......= 01F0 20 B4 42 33 C9 33 D2 CD-21 C3 4D 69 6E 79 33 E9 .B3.3.=!.Miny3. 8) 변형 : * 미니3.218 (Miny3.218) -------------------------------------------- 미니3 계열중 가장 작은 크기를 가지고 있는 것으로 제작자가 PC-VAN에서 바이러스 제작강좌를 하면서 시험적으로 제작한 바이러스이다. 바이러스 길 이를 최대한 적게한 바이러스로 COM 파일을 실행때 감염하는것 빼고 다른일 을 하지는 않는다. 또한 다른 미니3 바이러스와는 달리 길이에 상관없이 감 염된다. 기억장소에 상주해 21h 번 인터럽트를 가로채며 바이러스 버전은 3Ah이다 .감염된 파일에서 특별히 볼수 있는 문자열은 없다. * 미니3.300 (Miny3.300) -------------------------------------------- 미니3 의 바로 다음 버전으로 읽기 전용 파일을 감염시킬수 있다. 하지만 속성을 원래되로 바꾸지 않아서 항상 읽기/쓰기가 가능한 상태로 변하게 된 다.감염된 파일은 역시 현재 컴퓨터 시간으로 변하게 된다. 특징적인 증상은 파일 감염시 1/8 확률로 '삑' 소리를 내는것이다. 0250 57 A5 A5 C3 B4 09 BA 10-B4 42 33 C9 33 D2 CD 21 W........B3.3..! 0260 C3 4D 69 6E 79 33 E9 00-00 00 00 00 00 00 00 00 .Miny3.......... * 미니3.321 (Miny3.321) -------------------------------------------- 미니3.300 의 개량형으로 쓰기방지탭이 붙은 플로피 디스크에서 쓰기방지 에러가 나지 않게 개선되었다. 감염된 파일에서는 'SVS!'와 'Miny3' 와 같은 문자열을 볼수 있다. 0200 BD 00 01 E9 C4 00 90 53-56 53 21 9C 86 E0 3C 4B ...벽..SVS!... ] [ 연구소연락처&문의 TEL:(02) 525-2141 / FAX:(02) 525-2165 ] * 이 내용을 옮기실 때는 반드시 출처를 밝히시기 바랍니다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 29번 제 목:[정보] 방랑자2 바이러스 올린시각:96/01/24 10:50 읽음:1578 관련자료 없음 ----------------------------------------------------------------------------- [정보] 방랑자.II 1) 이름: 방랑자.II (Wanderer.II) 2) 다른 이름 : 3) 제작지: 한국 4) 국내발견: 95년 2월(김진한씨) 5) 종류 : 파일 바이러스(COM,EXE 파일감염) 상주형(실행,오픈,속성얻기/바꾸기,이름바꾸기,확장오픈때) 기생형(COM:1756,EXE:1825 바이트 증가) 6) 증상 : 1.터보백신 실행시 파일 파괴 2. 0 분에 바이러스 실행시 사용중인 디스크파괴와 CMOS 데이 터 파괴 3.CHKLIST,ANTI-VIR,SMARTCHK 로 시작되는 파일 파괴 8) 내용: 방랑자.II(Wanderer.II) 바이러스라는 이름이 붙은 이유는 바이러스 내 부에 'The Wanderer.II'와 같은 문자열이 존재하기 때문이며 또 방랑자 바 이러스를 개량한 바이러스 이기 때문이다. 방랑자.II 바이러스는 방랑자 바이러스를 더욱 개량한 바이러스이다. 따 라서 기본적인 내용은 방랑자 바이러스와 같으며 방랑자 바이러스가 가지는 버그들을 고쳤다. 단, 내부 오버레이를 사용하는 EXE 파일과 NE 타입의 EXE 파일 (Window s파일과 OS/2 파일들) 은 감염에서 제외된다. 그외 파일이름중 V,S 자가 있으면 감염에서 제외되며 파일이름이 다음과 같이 시작되면 감염에서 제외된다. HW : HWP.EXE (한글과 컴퓨터사의 워드프로세서 F- : F-PROT.EXE (백신 프로그램) TB : TBAV 계열의 파일들 (백신 프로그램) CL : CLEAN.EXE 으로 추정 (백신 프로그램) CO : COMMAND.COM (도스 파일) 방랑자.II는 상주형 바이러스로 예루살렘과 유사한 방법으로 상주한다. 실행뿐 아니라 오픈,이름바꾸기(도스의 REN 명령이 아님),확장오픈(4.x 이 상에서 지원되는 기능으로 파일 복사시 이용된다.),속성얻기/변환시 감염된 다.따라서, 빠른 시간에 모든 실행 파일을 감염시킬수 있다. 단, 기억장소를 검사해서 바이러스 예방 프로그램인 플루샷 플러스(Flu Shot plus)나 VSAFE 가존재하면 상주하지 않는다. 또, 1995년 3월이전(1~2월) 에는 바이러스가 활동하지 않는다.그러나,시 스템의 년도가 1995년이 아니면 항상 활동한다. 방랑자.II 바이러스는 은폐기법(Stealth)을 사용하는 바이러스이다.즉,기 억장소에 바이러스가 존재하면 감염된 파일의 길이가 증가하지 않은것 처럼 만든다. 단, 도스의 DIR 명령만 감추며 최근에 사용하는 방법은 감추지 않 으므로 셸 프로그램등에서는 알수 있다. 또, CHKDSK.EXE 를 실행하면 FAT 에러를 낸다. 감염된 파일은 파일 작성초가 62초로 되어 있다. 이 방법은 많은 은폐형 바이러스들이 감염여부를 확인하는 방법으로 같은 방법을 사용 하는 다른 바이러스가 상주해 있으면 파일 길이가 이상하게 나온다. 방랑자.II 바이러스는 백신에 진단되지 않기 위해 애쓴 바이러스이다.즉 F-PROT 의 진단을 피하기 위해서 반복 루틴을 두었으며 TBAV 에 진단되지 않기 위해 많이 애쓴 흔적이 보인다.하지만, 당시 TBAV 에는 진단안되었지 만 최근 버전에는 알려지지 않은 바이러스로 진단된다. 방랑자.II 바이러스에서 별도로 볼수 있는 문자열은 존재하지 않는다.하 지만 내부의 암호화 된 부분을 풀면 다음과 같은 문자열을 발견할수 있다. 문자열의 내용은 감염에서 제외되는 파일이름과 바이러스 이름,제작자, 터보 백신 (Turbo Vaccine) 실행시 출력되는 문자열 들이다. 방랑자를 제작 한 동일인임을 알수 있다. 0100 E9 B4 04 53 50 6A 90 90-0E 07 8B F2 2E 89 16 7D ...SP..........} ~~ 바이러스 버전표시 0110 07 AC 0A C0 74 0F 3C 5C-74 04 3C 3A 75 F3 2E 89 ....t.<.t.<:.... 01F0 40 90 B0 F0 86 E0 CD 21-07 C3 33 C0 07 C3 48 57 ......=!..3...HW 0200 46 2D 54 42 43 4C 43 4F-32 53 43 48 4B 4C 49 53 F-TBCLCO2SCHKLIS 0210 54 2E 53 4D 41 52 54 43-48 4B 41 4E 54 49 2D 56 T.SMARTCHKANTI-V 0220 49 52 00 0D 0A 20 48 41-21 48 41 21 48 41 21 0D IR... HA!HA!HA!. 0230 0A 20 2A 5B 20 54 68 65-20 57 41 4E 44 45 52 45 . *[ The WANDERE 0240 52 2E 49 49 20 56 49 52-55 53 20 20 20 31 39 39 R.II VIRUS 199 0250 35 2F 30 32 2F 31 30 20-5D 2A 0D 0A 20 28 63 29 5/02/10 ]*.. (c) 0260 20 43 6F 70 79 6C 65 66-74 20 39 31 38 37 2D 39 Copyleft 9187-9 0270 31 39 32 20 62 79 20 53-56 53 20 2F 20 4B 4F 52 192 by SVS / KOR 0280 45 41 0D 0A 00 0D 0A 53-68 69 74 21 21 20 54 75 EA.....Shit!! Tu 0290 72 62 6F 20 56 61 63 63-69 6E 65 21 20 73 69 62 rbo Vaccine! sib 02A0 61 6C 2E 2E 20 4B 61 65-73 61 65 6B 6B 69 21 24 al.. Kaesaekki!$ 방랑자.II 바이러스가 기억장소에 존재할때 CHKLIST.,SMARTCHK,ANTI-VIR 로 시작되는 파일이 오픈되면 해당 파일을 파괴한다. 방랑자.II 바이러스의 특징적인 증상은 다음과 같다. 첫째, 기억장소에 방랑자.II 바이러스가 존재할때 터보백신(TV.EXE,TVRES .COM)을 실행하면 1/4 의 확률로 'Shit!! Turbo Vaccine! sibal.. Kaesaekk i!'같은 욕설을 출력하고, 바이러스 끝부분의 내용을 겹쳐써버려 터보 백신 을 파괴한다. 단, 다른 백신들은 이런 일을 당하지 않는다. 또, 파일이름의 두자만 검사하므로 TV 로 시작되는 모든 파일은 파괴된다. 둘째, 처음 감염된 파일이 실행될때 시스템의 분이 0분이면 1/3의 확률로 디스크를 파괴하고 CMOS 데이터를 파괴해 버린후 화면에 'HA!HA!HA! *[ The WANDERER.II VIRUS 1995/02/10 ]*]' 과 같은 문자열을 깜빡거리면서 느리 게 출력한후 시스템을 정지시킨다. 셋째, 기억장소에 방랑자.II 바이러스가 존재할때 CHKLIST,SMARTCHK,ANTI -VIR 이라는 이름의 파일은 오픈시 파괴해 버린다. 9) 변형 기본적인 내용은 원형 방랑자.II 와 동일하며 다른점만 설명하겠다. * 방랑자.II.1783 --------------------------------------------------- WC 로 시작하는 파일을 감염에서 제외시키는 기능을 추가했다. 또, TBAV 용 드라이버 프로그램이 기억장소에 존재해도 램 상주하지 않는 다. 터보 백신 뿐 아니라 백신 III(파일 이름이 V3로 시작되는 파일) 도 파 괴시킨다. 12345 바이트 이상의 파일에 감염된다. COM 파일은 1783 바이트 증가하며 EXE 파일은 1852 바이트 증가한다. 0100 E9 6B 04 90 53 50 6B 90-90 0E 07 8B F2 2E 89 16 .k..SPk......... 0140 51 83 C7 08 B1 08 57 F3-A6 74 06 5F 59 49 75 EB Q.....W..t._YI.. 01C0 04 07 C3 48 57 46 2D 54-42 43 4C 43 4F 32 53 57 ...HWF-TBCLCO2SW 01D0 43 00 00 00 00 43 48 4B-4C 49 53 54 2E 53 4D 41 C....CHKLIST.SMA 01E0 52 54 43 48 4B 41 4E 54-49 2D 56 49 52 00 0D 0A RTCHKANTI-VIR... 01F0 20 2A 5B 20 54 68 65 20-57 41 4E 44 45 52 45 52 *[ The WANDERER 0200 2E 49 49 20 56 49 52 55-53 20 20 20 31 39 39 35 .II VIRUS 1995 0210 2F 30 32 2F 32 31 20 5D-2A 0D 0A 20 28 63 29 20 /02/21 ]*.. (c) 0220 43 6F 70 79 6C 65 66 74-20 39 31 38 37 2D 39 31 Copyleft 9187-91 0230 39 32 20 62 79 20 53 56-53 20 2F 20 43 4F 52 45 92 by SVS / CORE 0240 41 0D 0A 00 0D 0A 53 68-69 74 21 21 20 56 61 63 A.....Shit!! Vac 0250 63 69 6E 65 20 3F 21 20-6B 6B 61 6B 20 2E 70 65 cine ?! kkak .pe 0260 74 21 21 21 24 90 90 90-9C 86 E0 3D F0 6B 75 05 t!!!$........ku. * 방랑자.II.1809 (95년 6월 발견) ---------------------------------- 파괴하는 백신에 KA (Korea Anti Virus:KAV)를 추가했다. 백신 파괴시 'Shit! I hate it.. too..wet!!'를 출력한다. 14000~61234 바이트의 COM 파일과 14000~393216 바이트 사이의 EXE 파일 을 감염시킨다. COM 파일은 1809 바이트 증가하며 EXE 파일은 1878 바이트 증가한다. 0100 E9 B8 04 90 53 50 6C 90-90 90 0E 07 8B F2 2E 89 ...�ⅲ큁l......... 0110 16 B2 07 AC 0A C0 74 0F-3C 5C 74 04 3C 3A 75 F3 ......t.<.t.<:u. 0160 3E 0E 07 00 74 2E 2E 8B-36 B2 07 8B 04 3D 54 56 ....t...6.....TV 0170 74 0A 3D 56 33 74 05 3D-4B 41 75 18 E8 3D 00 24 t..V3t..KAu..=.$ 01C0 C0 26 A0 6C 04 07 C3 48-57 46 2D 54 42 43 4C 43 .&.l...HWF-TBCLC 01D0 4F 57 43 00 00 00 00 43-48 4B 4C 49 53 54 2E 53 OWC....CHKLIST.S 01E0 4D 41 52 54 43 48 4B 41-4E 54 49 2D 56 49 52 00 MARTCHKANTI-VIR. 01F0 0D 0A 20 2A 5B 20 54 68-65 20 57 41 4E 44 45 52 .. *[ The WANDER 0200 45 52 2E 49 49 20 56 49-52 55 53 20 20 20 31 39 ER.II VIRUS 19 0210 39 35 2F 30 32 2F 32 37-20 5D 2A 0D 0A 20 28 63 95/02/27 ]*.. (c 0220 29 20 43 6F 70 79 6C 65-66 74 20 39 31 38 37 2D ) Copyleft 9187- 0230 39 31 39 32 20 62 79 20-53 56 53 20 2F 20 43 4F 9192 by SVS / CO 0240 52 45 41 0D 0A 00 0D 0A-53 68 69 74 21 20 49 20 REA.....Shit! I 0250 68 61 74 65 20 69 74 2E-2E 20 74 6F 6F 2E 2E 77 hate it.. too..w 0260 65 74 21 21 24 90 86 E0-2E FF 1E F6 01 9C 3C FF et!!$........... * 빙랑자.II.1811 -------------------------------------------------- 파괴하는 백신에 TK (타키온 백신)를 추가했다. 감염제외 파일에 TK 자를 추가했다. 백신 파괴시 'Kaesibalnom..too..wet!!'를 출력한다. COM 파일은 1811 바이트 증가하며 EXE 파일은 1880 바이트 증가한다. 0100 90 E9 9E 04 90 53 50 6D-90 90 90 81 7C FB 2E 45 .....SPm.......E 0110 75 07 81 7C FD 58 45 74-63 BF B9 00 B9 03 00 2E u....XEtc....... 0120 8B 36 B4 07 51 83 C7 08-B1 08 57 F3 A6 74 06 5F .6..Q.....W..t.. 0130 59 49 75 EB C3 5F 59 2E-C6 06 BC 07 01 EB 61 90 YIu.._Y.......a. 0140 FC 2E 80 3E 03 07 01 75-33 2E 8B 36 B4 07 8B 04 ...>...u3..6.... 01A0 E8 81 01 C3 06 33 C0 8E-C0 26 A0 6C 04 07 C3 48 ...�군�3�괍��괍�.l...H 01B0 57 46 2D 54 42 43 4C 43-4F 57 43 54 4B 00 00 00 WF-TBCLCOWCTK... 01C0 00 43 48 4B 4C 49 53 54-2E 53 4D 41 52 54 43 48 .CHKLIST.SMARTCH 01D0 4B 41 4E 54 49 2D 56 49-52 00 0D 0A 20 2A 5B 20 KANTI-VIR... *[ 01E0 54 68 65 20 57 41 4E 44-45 52 45 52 2E 49 49 20 The WANDERER.II 01F0 56 49 52 55 53 20 20 20-31 39 39 35 2F 30 33 2F VIRUS 1995/03/ 0200 30 31 20 5D 2A 0D 0A 20-28 63 29 20 43 6F 70 79 01 ]*.. (c) Copy 0210 6C 65 66 74 20 39 31 38-37 2D 39 31 39 32 20 62 left 9187-9192 b 0220 79 20 53 56 53 20 2F 20-43 4F 52 45 41 0D 0A 00 y SVS / COREA... 0230 0D 0A 4B 61 65 73 69 62-61 6C 6E 6F 6D 2E 2E 74 ..Kaesibalnom..t 0240 6F 6F 2E 2E 77 65 74 21-21 24 90 86 E0 2E FF 1E oo..wet!!$...... * 방랑자.II.1845 -------------------------------------------------- 95년 3월 19일 전에는 백신을 파괴하지 않는다. 백신 파괴시 'Ya! Sibalnoma.. Don't execute a Vaccine!'을 출력한다. 7777~63456 바이트의 COM 파일과 7777~393216 바이트 사이의 EXE 파일을 감염시킨다. COM 파일은 1845 바이트 증가하며 EXE 파일은 1914 바이트 증 가한다. 0100 90 E9 C0 04 90 53 50 6E-81 7C FB 2E 45 75 07 81 .....SPn....Eu.. 01A0 C3 06 33 C0 8E C0 26 A0-6C 04 07 C3 48 57 46 2D ..3.....l...HWF- 01B0 54 42 43 4C 43 4F 57 43-54 4B 00 00 00 00 43 48 TBCLCOWCTK....CH 01C0 4B 4C 49 53 54 2E 53 4D-41 52 54 43 48 4B 41 4E KLIST.SMARTCHKAN 01D0 54 49 2D 56 49 52 00 0D-0A 20 2A 5B 20 54 68 65 TI-VIR... *[ The 01E0 20 57 41 4E 44 45 52 45-52 2E 49 49 20 28 54 79 WANDERER.II (Ty 01F0 70 65 45 29 20 56 49 52-55 53 20 20 20 31 39 39 peE) VIRUS 199 0200 35 2F 30 33 2F 30 32 20-5D 2A 0D 0A 20 20 20 20 5/03/02 ]*.. 0210 28 63 29 20 43 6F 70 79-6C 65 66 74 20 39 31 38 (c) Copyleft 918 0220 37 2D 39 31 39 32 20 62-79 20 53 56 53 20 2F 20 7-9192 by SVS / 0230 43 4F 52 45 41 0D 0A 00-0D 0A 59 61 21 20 53 69 COREA.....Ya! Si 0240 62 61 6C 6E 6F 6D 61 2E-2E 20 44 6F 6E 27 74 20 balnoma.. Don't 0250 65 78 63 75 74 65 20 61-20 56 61 63 63 69 6E 65 excute a Vaccine 0260 2E 24 90 21 74 63 61 72-74 74 41 20 73 65 74 69 .$�ⅱ쥁carttA seti 0270 73 6F 70 70 4F 20 20 86-E0 2E FF 1E 09 02 9C 3C soppO ......< * 방랑자.II.1884 -------------------------------------------------- 95년 4월 달이 아니면 백신을 삭제하지 않는다. 백신을 파괴하지 않고 'Please, Don't excute a Vaccine.'을 출력하고 해당 파일을 삭제한후 바이러스 정보를 출력한후 시스템을 정지시킨다. 변형을 제작해온 바이러스 제작자가 공식으로 제작한 마지막 바이러스로 보인다. 하지만, 제작자가 소스를 공개했기 때문에 변형이 생길것으로 예상 된다. 0100 90 E9 27 05 90 53 50 70-56 49 52 81 7C FB 2E 45 .....SPpVIR....E 0150 3D 54 56 74 0F 3D 56 33-74 0A 3D 4B 41 74 05 3D .TVt..V3t..KAt.. 0160 54 4B 75 26 E8 4B 00 24-03 3C 03 75 44 1E 52 B4 TKu&.K.$.<.uD.R. 01B0 02 C3 06 33 C0 8E C0 26-A0 6C 04 07 C3 48 57 46 ...3...&.l...HWF 01C0 2D 54 42 43 4C 43 4F 57-43 54 4B 00 00 00 00 43 -TBCLCOWCTK....C 01D0 48 4B 4C 49 53 54 2E 53-4D 41 52 54 43 48 4B 41 HKLIST.SMARTCHKA 01E0 4E 54 49 2D 56 49 52 00-0D 0A 20 2A 5B 20 54 68 NTI-VIR... *[ Th 01F0 65 20 57 41 4E 44 45 52-45 52 2E 49 49 20 28 54 e WANDERER.II (T 0200 79 70 65 20 47 2F 4C 61-73 74 20 56 65 72 73 69 ype G/Last Versi 0210 6F 6E 29 20 56 49 52 55-53 20 20 20 31 39 39 35 on) VIRUS 1995 0220 2F 30 33 2F 30 39 20 5D-2A 0D 0A 20 20 20 20 28 /03/09 ]*.. ( 0230 63 29 20 43 6F 70 79 6C-65 66 74 20 39 31 38 37 c) Copyleft 9187 0240 2D 39 31 39 32 20 62 79-20 53 56 53 20 2F 20 43 -9192 by SVS / C 0250 4F 52 45 41 0D 0A 00 0D-0A 50 6C 65 61 73 65 2C OREA.....Please, 0260 20 44 6F 6E 27 74 20 65-78 63 75 74 65 20 61 20 Don't excute a 0270 56 61 63 63 69 6E 65 2E-24 90 20 4E 45 57 53 20 Vaccine.$�ⅱ좳EWS 0280 46 4C 41 53 48 21 21 20-53 56 53 20 57 49 4C 4C FLASH!! SVS WILL 0290 20 4E 4F 54 20 4D 41 4B-45 20 41 20 56 49 52 55 NOT MAKE A VIRU 02A0 53 2E 2E 2E 20 42 55 54-20 53 56 53 20 49 53 20 S... BUT SVS IS 02B0 46 4F 52 45 56 45 52 20-2E 2E 2E 20 47 4F 4F 44 FOREVER ... GOOD 02C0 2D 42 59 45 21 21 70 55-20 74 68 67 69 61 72 74 -BYE!!pU thgiart 02D0 53 86 E0 2E FF 1E 70 02-9C 3C FF 74 3F 90 50 56 S.....p..<.t?.PV [글&분석: 차민석 /안철수컴퓨터바이러스연구소 연구원,울산대전자계산96학번] [하이텔,나우누리,천리안: AHNLAB / 나우: grime / PC-VAN:60KHZ ] [ 나우누리 & 천리안 연구소 포럼 안내: go ahn ] [ 연구소연락처&문의 TEL:(02) 525-2141 / FAX:(02) 525-2165 ] * 이 내용을 옮기실 때는 반드시 출처를 밝히시기 바랍니다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 30번 제 목:[정보] 미켈란젤로 바이러스 올린시각:96/03/06 13:02 읽음:3012 관련자료 없음 ----------------------------------------------------------------------------- * 미켈란젤로 바이러스에 대한 Q&A 미켈란젤로 바이러스는 1991년 4월에 발견된 컴퓨터 바이러스로 미켈란젤로의 생일이라고 알려진 3월 6일에만 감염 증상이 나타 나기 �㎣▷�에 이같은 이름이 붙게된 외국산 부트 바이러스이다. 미켈란젤로 바이러스는 일반적인 컴퓨터 바이러스들이 감염된후 바로 해당 컴퓨터 바이러스가 갖고 있는 특징을 나타내는데 비 해서 감염이 되었다 하더라도 활동일을 제외한 364일은 플로피 디스켓의 부트 섹터나 하드 디스크의 주 부트 섹터에 감염되는 것과 기억 장소 크기가 2KB 감소하는 증상외에는 별다른 증상이 나타나지 않는다. 그러나 미켈란젤로 바이러스의 감염되어 있다면 활동일인 매년 3월 6일에(이 날자는 시스템 날짜를 따름) 치명적인 파괴증상인 C: 드라이브의 데이터들을 복구 불가능 하도록 파괴하는 증상이 나타나 사용자들에게는 경계의 대상이 된다. 하지만 3월 6일이 되었다고 정상적인 컴퓨터들이 저절로 미켈란 젤로 바이러스에 감염되는 것은 절대로 아니며, 감염 사실을 3 월 6일 이전이나 이후에 알았다면 V3+를 포함한 백신 프로그램 들로 간단하게 진단, 치료할 수 있다. 그러나 3월 6일 자신의 컴퓨터가 하드 디스크로 부팅되지 않는 이상 증상이 발생하였다면 이미 미켈란젤로 바이러스에 의해 파 괴되었거나 우연히 이상 증상 발생일이 겹친 경우이다. 의심가는 컴퓨터는 감염되지 않은 것이 확인된, 쓰기 방지 탭을 이용하여 쓰기 방지를 한 도스 원본이나 부팅용 디스켓으로 부 팅한 다음 백신 프로그램으로 하드 디스크 및 플로피 디스켓들 을 검사, 치료하면 된다. 참고로 지금까지 우리 나라에서 발견된 미켈란젤로 바이러스는 91년 4월에 발견된 미켈란젤로 바이러스 및 94년 12월에 발견된 미켈란젤로.한국 바이러스 등 2가지가 있으며 이외에도 아직 국 내에서 발견되지 않은 미켈란젤로.D 바이러스, 미켈란젤로.E 바 이러스, 미켈란젤로.F 바이러스에 대한 검색, 예방 기능을 V3+ 가 제공하고 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 31번 제 목:[정보] 보자 바이러스 올린시각:96/03/30 14:55 읽음:1468 관련자료 없음 ----------------------------------------------------------------------------- * 보자 바이러스란? 보자 바이러스는 세계 최초로 발견된 윈도우 95용 컴퓨터 바이 러스로 심각한 파괴 증상을 가지고 있지는 않지만 내부적인 버 그로 인해 일부 파일을 불완전하게 감염시킨 경우 해당 파일의 데이터를 파괴시키는 것으로 알려져 있습니다. 또한 보자 바이러스는 메모리에 상주하지 않는 비상주형 파일 바이러스로 실행 파일이 실행되는 디렉토리의 파일들을 3개까 지 감염시킵니다. 보자 바이러스가 윈도우 95용 컴퓨터 바이러스로 분류되는 까 닭은 32비트 코드로 작성된 파일을 감염시키기 때문입니다. 즉 윈도우 95의 32 비트 파일(Window 95 Portable Executable) 중 확장자가 .EXE인 파일만을 감염시키며, 감염 대상 파일이 윈도 우 95 PE(Portable Executable;윈도우 95용 실행 파일 중의 하 나)이 아닐 경우, 대상 파일의 일부분을 겹쳐쓰기하거나 파일 을 파괴합니다. 또한 매월 31일이 되면 아래와 같은 메시지를 출력시킵니다. VLAD Australia does it again with the world's first win 95 virus. From the old school to the new. Meabolis Qark Darkman Automag Antigen RhinceWind Quantum Absolute Overload Coke 그러나 연구소의 분석 결과 한글 윈도우 95의 파일에는 감염시 키 않는 것으로 확인되었으며, 영문 윈도우 95에서도 자체 버 그로 100% 감염시키지는 않는 것으로 보입니다. 보자 바이러스는 일반적인 도스용 파일 바이러스와 비슷한 감 염 증상을 나타내는 등 심각한 파괴 부분은 보이지 않으며, 윈 도우 95용이라고 할만한 특별한 증상은 없습니다. 치료 방법 또한 일반 파일 바이러스와 유사해 감염 파일만 일대일 치료하 면 됩니다. 그러나 또다른 윈도우 95용 바이러스 언제 나타날 지 모르므로 사용자들의 보다 세심한 주의가 필요합니다. - 포럼지기 드림. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 34번 제 목:[정보] AT.140 바이러스 올린시각:96/07/16 11:27 읽음: 658 관련자료 없음 ----------------------------------------------------------------------------- * AT.140 바이러스 1) 이름: AT.140 2) 다른이름: L1 3) 제작지: 92년 10월 발견 (유럽) 4) 국내발견: 96년 5월 5) 종류 : 상주형 (실행때 감염) 기생형 (COM:140 바이트 증가) 6) 내용 : AT 계열 바이러스는 유럽지역에서 제작된 바이러스로 국내에서 발견된것은 변형중 하나인 AT.140 바이러스이다. COM 파일만 감염 시키며 감염된 파일은 140 바이트 증가하지만 그러나 읽기 전용 파일은 감염시킬 수 없으며 감염된 파일은 작 성일이 감염된 때로 바뀐다. 인터럽트 주소표에 상주한다. 따라서 일부 기종에서는 시스템이 정지될 수 있다. 또한 XT기종에서 감염된 파일을 실행하면 시스 템이 정지된다. 쓰기 방지 탭이 붙은 플로피 디스크의 파일을 실행하면 쓰기 에 러가 발생한다. [ 분석 : 차민석 / 안철수컴퓨터바이러스연구소 연구원 ] 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 35번 제 목:[정보] 스크롤 바이러스 올린시각:96/07/16 11:27 읽음: 611 관련자료 없음 ----------------------------------------------------------------------------- * 스크롤 바이러스 1) 이름: 스크롤(Scroll) 바이러스 2) 다른이름: ARCV.Scroll, Scroll.800 3) 제작지: 영국 (92년 10월 발견) 4) 국내발견: 96년 4월 발견 5) 종류: 기생형 (COM: 800 바이트 증가) 상주형, 은폐형 6) 증상 : 93년 이후 3일의 수요일에 화면이 흔들림. 7) 내용 : 스크롤 바이러스는 외국산 파일 바이러스로 92년 10월 영국에서 최초로 발견되었고 국내에서는 96년 4월에 발견되었다. 스크롤 이라는 이름이 붙은 이유는 바이러스 내부에 [SCROLL] 이라는 문자열을 가지기 때문이다. 스크롤 바이러스에 감염된 감염된 COM 파일은 800 바이트 증가 하며 읽기 전용 파일도 감염시킨다. 하지만, 숨겨진 파일이나 시스템 파일 속성을 가진 파일은 감염시키지 않는다. 또한 쓰기 방지 탭이 붙은 디스크에서 COM 파일을 실행하면 쓰기 방지 에 러가 발생한다. 감염된 후에도 파일의 작성 시간을 변하지 않는다. 암호화 바이 러스로 자신을 간단히 암호화시킨다. 은폐형 바이러스이므로 기억장소에 바이러스가 존재할 때 원래 파일의 길이로 속여 감염 사실을 모르게 만든다. 특징적인 증상 은 93년 이후 3일의 수요일과 EGA 이상의 시스템에서 일어난다. 일정 시간이 흐른뒤에는 화면을 약간 떨게 만든다. 일반 사용자들은 시스템 문제로 오해하기 쉽다. 암호화를 풀어보면 다음과 같은 문자열을 볼 수 있다. '[SCROLL].ICE-9 ARcV..' [분석 : 차민석 / 안철수컴퓨터바이러스연구소연구원] 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 41번 제 목:[정보] 방랑자.M.1332 트로이 목마 올린시각:96/07/24 17:35 읽음: 879 관련자료 없음 ----------------------------------------------------------------------------- [정보] 방랑자.M.1332 트로이목마 이 트로이 목마 프로그램은 95년 8월에 발견된 바 있습니다. 95년 8월쯤 아무개 동호회에서 이미 소스가 공개되었으며, 해당 소스로 만들어진 V3RES.COM 트로이 목마 프로그램과 매우 유사 한 종류입니다. V3RES.COM 트로이와 다른 점이 있다면 DIR만으로도 감염되므로 전파 속도가 빠르다는 점입니다. 방랑자.M.1332 바이러스가 이 트로이 목마 트로그램을 퍼트리는 것으로 알려져 있습니다. 트로이 목마 프로그램은 치료한다는 것이 맞지 않습니다. 최신 버전의 V3+를 사용하여 해당 파일을 삭제하시는 것이 가장 올바 른 방법입니다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 42번 제 목:[정보] 헬로윈 바이러스 올린시각:96/07/24 17:42 읽음: 778 관련자료 없음 ----------------------------------------------------------------------------- * 헬로윈 바이러스 1) 이름 : Helloween 2) 다른이름 : Helloween.1376.A 3) 제작지 : 92년 2월 발견 (제작지 모름) 4) 국내발견 : 96년 5월 5) 종류 : 기생형 (COM, EXE : 1376 바이트 증가) 상주형 (실행때 감염) 6) 증상 : 11월 1일 메시지를 출력한다. 7) 내용 : 헬로윈 바이러스는 외국산 파일 바이러스로 감염된 파일이 실행 되면 감염 후 실행되는 COM파일 (COMMAND.COM 포함)과 EXE 파일 을 감염시킨다. 단, 확장자를 검사해서 감염시키므로 오버레이 파일은 감염시키지 않는다. 또한 읽기 전용 파일도 감염시킬 수 있으며, 감염된 파일은 1376 바이트 증가한다 다음 4자로 시작하는 파일은 감염시키지 않는다. SCAN, SHIE, TRAP, VIRU, VCOP, ASTA, ALIK, AZOR, REX., MAND, UEXE, UCOM, VIRT, CLEA, TSAF, NAV., INI., BOOT, 3P.E 특징적인 증상은 11월 1일 화면을 붉게 만든후 ' Nesedte porad u pocitace a zkuste jednou delat neco rozumneho! ******************* !! Poslouchejte HELLOWEEN - nejlepsi metalovou skupinu !! '라는 메시지를 출력하고 리부팅시킨다. 8) 변형 : -* Helloween.B ************************************************ 2월 27일 아래와 같은 메시지를 출력한다. 'zdravim uzivatele pocitacu hlavne vsechny LENKY a nejvic tu nasi! Preji ti vsechno nejlepsi ktvwmu svatku ahoj P.' [분석 : 차민석 / 안철수컴퓨터바이러스연구소 연구원] 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 47번 제 목:[정보] 다이하드 2 바이러스 올린시각:96/09/10 11:28 읽음:1203 관련자료 없음 ----------------------------------------------------------------------------- * 다이하드 2 (Die_Hard_2) 바이러스 1) 이름: 다이하드 2 (Die_Hard_2) 2) 다른이름: Die_Hard.4000.A 3) 제작지: 남아프리카 공화국 (94년 7월 발견) 4) 국내발견: 94년 12월 5) 종류 : 상주형, 은폐형 기생형(COM, EXE 파일 4000 바이트 증가) 6) 증상 : 화면에 SW 와 같은 문자를 출력한다. 7) 내용 : 다이하드 2 바이러스는 외국산 파일 바이러스로 다이하드 2 라 고 명명된 이유는 감염 파일 내부의 암호를 풀어보면 'DIE HARD 2' 라는 문자열이 존재하기 때문이다. 다이하드 2 바이러스는 파일 바이러스로 COM 파일과 EXE 파일을 감염시킨다. 감염된 파일은 4000 바이트 증가하며, 실행뿐 아니 라 오픈 등에도 감염되므로 빠른 속도로 파일들을 감염시킨다. 또한, 은폐형 바이러스로 단순히 파일 증가 길이를 속이는 것이 아니라 파일의 입출력을 가로채 바이러스가 감염되지 않은 것처 럼 사용자나 백신을 속인다. 내부가 여러번 암호화 되어있으나, 암호를 풀면 'DIE HARD 2'와 같은 문자열을 볼 수 있다. 특징적인 증상은 화면에 'SW'와 같 은 문자를 출력한다. SW는 세이하(Sayha) 바이러스에서도 동일하게 나타는 증상이며, 세이하 바이러스 역시 4000 바이트의 감염 파일 증가 길이를 가 지고 은폐 기법을 사용하는 등 여러 부분이 비슷한 점이 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 48번 제 목:[정보] 안티 CMOS 바이러스 올린시각:96/09/10 11:28 읽음:1448 관련자료 없음 ----------------------------------------------------------------------------- * 안티 CMOS (AntiCMOS) 바이러스 1) 이름: 안티 CMOS (AntiCMOS) 2) 다른이름: Lenart, Lixi 3) 제작지: 외국산 (94년 1월 홍콩 발견) 4) 국내발견: 94년 4월 5) 종류: 부트 (플로피, 하드 디스크: 주부트 섹터) 6) 증상: 가끔 CMOS 자료를 지운다. 7) 내용 : 안티 CMOS 바이러스는 외국산 부트 바이러스로 94년 1월 홍콩에 서 최초로 발견되었다. 안티 CMOS 라는 이름이 붙은 이유는 가끔 CMOS 자료를 지우기 때문에 붙여 졌다. 감염된 플로피 디스크로 부팅하면 하드 디스 크를 사용하지 않았어도 하드 디스크를 감염시킨다. 기억장소에 바이러스가 상주하면 기본 기억장소의 크기를 2 KB 줄이고 사용되는 플로피 디스크를 감염시킨다. 플로피 디스크와 하드 디스크의 주부트섹터에 감염된다. 하지만 바이러스가 정상적인 부트 섹터의 역할을 하므로 원래의 부트 섹터를 따로 보관하지는 않는다. 특징적인 증상은 CMOS 자료중 디스크 관련 부분을 지워 버려 마 치 디스크 드라이브가 존재하지 않는것처럼 만드는 것이다. 컴 퓨터에서는 디스크 드라이브(플로피, 하드)가 존재하지 않는 것 으로 인식하므로 재설정 해주어야 한다. 일부 사용자 사이에서는 바이러스 이름 때문에 CMOS 에 기생하 는 것으로 알려져 있지만 사실과 다른다. 대부분의 백신에서는 AntiCMOS 혹은 AntiCMOS.A 라고 진단한다. CPAV에서는 Lenart로 TBAV에서는 Lixi로 진단한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 49번 제 목:[정보] 원숭이 바이러스 올린시각:96/09/10 11:28 읽음:1499 관련자료 없음 ----------------------------------------------------------------------------- * 원숭이 (Monkey) 바이러스 1) 이름: 원숭이 (Monkey) 2) 다른이름: Stoned.Empire.Monkey.A 3) 제작지: 캐나다 (91년 발견) 4) 국내발견: 94년 1월 5) 종류: 부트 (플로피, 하드 디스크: 주부트섹터), 은폐형 6) 증상: 일반 기억장소의 크기를 1KB 줄인다. 7) 내용: 원숭이 바이러스는 외국산 부트 바이러스로 91년 캐나다에서 최 초로 발견되었다. 국내에서 발견된 원숭이 바이러스는 변형인 원숭이.B 바이러스이며, 발견된후 전국적으로 감염 사례가 보고 되었다. 바이러스가 기억장소에 상주하면 일반 기억장소의 크기를 1KB 줄인다. 플로피 디스크의 경우 플로피 디스크의 종류에 따라서 원래 부트 섹터를 주 디렉토리의 끝부분에 저장한다. 하지만, 2.88MB의 경우는 FAT 부분에 써지므로 자료가 파괴된 다. 하드 디스크의 경우 주 부트 섹터에 감염시키는데 원래 주 부트섹터를 암호화시켜 저장한다. 대표적인 은폐형 바이러스로 기억장소에 바이러스가 존재하면 부트 섹터를 읽거나 쓸때 원래 부트 섹터를 읽거나 쓰게 만든 다. 플로피로 부팅하면 하드 디스크에 접근할 수 없다. 플로피 디스크로 부팅해서 하드 디스크로 접근하려고 하면 'Invalid drive specification'과 같은 에러가 발생한다. 이것 은 바이러스에서 출력하는 것이 아니고 도스에서 하드 디스크를 찾을 수 없기 때문에 출력하는 도스 에러 메시지이다. -안철수컴퓨터바이러스연구소. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 50번 제 목:[정보] 포카리 바이러스 올린시각:96/09/10 11:28 읽음: 499 관련자료 없음 ----------------------------------------------------------------------------- * 포카리 바이러스 1) 이름: 포카리 (Pocari) 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 93년 8월 5) 종류: 부트 (플로피,하드디스크:주부트섹터) 6) 증상: 일반 기억장소의 크기를 2KB 줄인다. 7) 내용: 포카리(Pocari) 바이러스는 내부에 'POCARI'와 같은 문자열을 가지고 있기 때문에 붙여졌다. 포카리 바이러스는 한국산 부트 바이러스로 1993년 8월달에 발견되었다. 플로피의 경우 디스크 종류에 따라 각각 주 루트 디렉토리의 끝 부분에 원래 부트 섹터를 저장한다. 플로피 디스크의 경우 A 드 라이브에서만 감염된다. 대부분의 경우 사용하지 않는 영역이자만, 이부분이 사용되는 하드 디스크라면 자료가 파괴된다. 감염된 플로피로 부팅할때 하드디스크까지 감염되어 버린다. 감염된 컴퓨터의 일반 기억장 소 크기는 2KB가 줄게된다. 별다른 증상은 보이지 않으며 은폐기법이나 암호화 기법은 사용 하지 않는다. 후반부에 다음과 같은 문자열을 볼 수 있다. " Dunny in POCARI SWAT "