『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 53번 제 목:[정보] 좋은날 바이러스 올린시각:96/09/10 11:30 읽음: 564 관련자료 없음 ----------------------------------------------------------------------------- * 좋은날 (Nice_Day) 바이러스 1) 이름: 좋은날 (Nice_Day) 2) 다른이름: 3) 제작지: 외국산 4) 국내발견: 94년 4월 발견 5) 종류: 부트 (플로피, 하드디스크: 주부트섹터) 6) 증상: 매달 1일 'HAVE A NICE DAY (c)YMP' 를 출력한다. 7) 내용: 좋은날 바이러스는 외국산 바이러스로 제작지, 발견지, 발견 시 기도 알려지지 않은 바이러스이다. 플로피와 하드 디스크의 주 부트섹터에 감염된다. 감염된 플로 피 디스크로 부팅하면 하드 디스크를 사용하지 않아도 하드 디 스크를 감염시킨다. 기억장소에 상주하면 일반 기억장소의 크기를 2KB 줄이고, A 드 라이브에서 사용되는 플로피 디스크를 감염시킨다. 플로피 디스 크의 경우 디스크 종류에 따라 다르게 원래 부트 섹터를 보관해 둔다. 감염되지 않은 디스크의 경우 우선 360KB 디스크 인지 검사해서 맞으면 주 디렉토리의 끝부분에 원래 부트 섹터를 저장한다. 만 약 360KB 디스크가 아니면 1.2MB 디스크 용량의 주 디렉토리 끝 부분에 원래 부트 섹터를 저장한다. 특징적인 증상은 매달 1일 'HAVE A NICE DAY (c)YMP' 를 출력하 는 것이다. 단, 해당 문자열은 암호화되어 있으므로 바이러스의 내부에서는 볼 수 없다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 54번 제 목:[정보] 만존 바이러스 올린시각:96/09/10 11:30 읽음: 434 관련자료 없음 ----------------------------------------------------------------------------- * 만존 (Manzon) 바이러스 1) 이름: 만존 (Manzon) 2) 다른이름: 만존.1414 3) 제작지: 외국 (96년 1월 발견) 4) 국내발견: 96년 3월 5) 종류: 기생형 (COM, EXE 파일 감염: 1430~1488 바이트 증가), 다형성 (이중 암호화) 6) 증상: 쓰기 방지 탭이 붙은 플로피 디스크의 파일을 사용했 을때 쓰기 방지 에러가 발생한다. 7) 내용: 만존 바이러스로 이름이 붙은 이유는 바이러스 내부에 'Manzon' 과 같은 문자열이 존재하기 때문이다. 파일 바이러스로 COM 파일과 EXE 파일을 감염시키며 감염된 파 일은 1430바이트에서 1488 바이트 정도 증가한다. 감염된 파일 의 작성 시간은 감염 될 때의 시간으로 바뀐다. 단, COM 파일의 경우 62000 바이트 보다 큰 파일은 감염시키지 않는다. 다음의 파일 이름으로 시작하는 파일은 감염시키지 않 는다. 'F-','K-','SC','TB','TO','FV','FI','VI' 감염된 파일의 암호를 풀어 보면 다음과 같은 문자열을 볼 수 있다. "MANZON (c) Sgg1F5PZ^V" XT 기종에서 감염된 파일이 실행되면 컴퓨터가 정지해 버린다. 별도의 특징적인 증상은 없지만 만존 바이러스는 24번 인터럽트 를 가로채지 않으므로 쓰기 방지 탭이 붙은 플로피 디스크에서 감염시키려고 할 때 쓰기 방지 에러가 발생한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 55번 제 목:[정보] 바고에스 바이러스 올린시각:96/09/10 11:31 읽음: 407 관련자료 없음 ----------------------------------------------------------------------------- * 바고에스 (Bagoes) 바이러스 1) 이름: 바고에스 (Bagoes) 2) 다른이름: 3) 제작지: 인도네시아 (발견시기 모름) 4) 국내발견: 96년 1월 5) 종류: 부트 (플로피, 하드 디스크) 은폐형 6) 증상: 기본 기억 장소의 크기를 2KB 줄인다. 프린트 되는 문자중 R 은 L 로 r 은 l 로 바뀐다. 7) 내용: 바고에스 바이러스는 외국산 바이러스로 인도네시아에서 제작된 것으로 추정되고 있다. 바이러스 내부에 'B A G O E S' 와 같은 문자열이 존재해서 바고에스라는 바이러스 이름이 붙었다. 기억장소에 바이러스가 상주하면 기본 기억 장소 크기를 2KB 줄 이고, 플로피 디스크의 부트 섹터나 하드 디스크의 주부트섹터 부분이 읽어질 때 디스크를 감염시킨다. 은폐 기법을 사용하므 로 기억장소에 상주해 있을때는 원래 부트 섹터를 대신보여 준 다. 특징적인 증상은 프린터로 문자를 출력할때 'R' 을 'L' 로 'r' 을 'l' 로 바꾸어서 출력하는 것이다. 감염된 디스크를 보면 다음과 같은 문자열을 볼 수 있다. 'B A G O E S' 'STMIK BUDI LUHUR' 'INDONESIA' 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 56번 제 목:[정보] 항공경찰 바이러스 올린시각:96/09/10 11:31 읽음: 501 관련자료 없음 ----------------------------------------------------------------------------- * 항공경찰 (Aircop) 바이러스 1) 이름: 항공경찰 (Aircop) 2) 다른이름: 3) 제작지: 대만 (90년 7월) 4) 국내발견: 90년 9월 5) 종류: 부트 (플로피 디스크) 6) 증상: 8개의 디스크를 감염시키면 메시지를 출력한다. 일반 기억장소의 크기를 1KB 줄인다. 7) 내용: 항공경찰(Aircop) 바이러스는 90년 7월에 미국 워싱턴주에서 처 음 발견되었다. 대만에서 가져온 불법복사 디스크에서 시작되었 기 때문에 대만에서 제작된 것으로 추정되고 있다. 항공경찰 바이러스라는 이름이 붙은 이유는 8장의 디스크를 감 염시킬때마다 ".RED STATE, Germ offensing --AirCop"와 같은 문자열을 깜빡이기 때문이다. 플로피 디스크에만 감염시킨다. 부팅시 원래 부트 섹터를 읽지 못하면 'Non-system'과 같은 문 자열을 느리게 출력한다 원래 부트 레코드는 39번 트랙, 1번 면, 9번 섹터에 저장되는데 360KB 이외의 디스크에서는 중간 부분에 해당하므로, 이부분에 존재하는 데이터는 파괴된다 8) 변형: - 한국산 항공경찰.(AirCop_Kor) 제작지 : 한국 (92년 12월 발견) 한국산 항공경찰 바이러스는 항공경찰 바이러스를 변형한 것으 로 'Oh! My love Chunminjae!.' 라는 말을 출력한다. -항공경찰.NG.C (Aircop.NG.C) 제작지 : 미국 (91년 5월 발견) 국내발견 : 94년 12월 9월달에 부팅시 'This is Aircop' 을 깜빡이면서 출력한다. [ 분석 : 차민석 / 안철수 컴퓨터 바이러스 연구소 연구원 ] 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 57번 제 목:[정보] 폭포 바이러스 올린시각:96/09/10 11:31 읽음: 484 관련자료 없음 ----------------------------------------------------------------------------- * 폭포 (Cascade) 바이러스 1) 이름: 폭포 (Cascade) 2) 다른이름: 3) 제작지: 독일 (87년 후반) 4) 국내발견: 90년 1월 5) 종류 : 상주형 (실행시 감염), 기생형 (COM:1701) 암호형 6) 증상 : 화면의 글자를 화면 아래쪽으로 떨어뜨린다. 7) 내용 : 폭포(Cascade) 바이러스는 외국산 바이러스로 87년 후반에 발견 되었으며, 독일에서 제작한 것으로 추측되고 있다. 폭포라는 이 름이 붙은 이유는 시스템의 날짜가 88년 10월~12월이면 화면의 글자를 하나씩 화면 아래쪽으로 떨어뜨리기 때문이다. COMMAND.COM을 포함한 모든 COM파일만 감염시킨다. 읽기전용 파 일도 감염시킬 수 있으며 1701 바이트 증가한다. 암호화 바이러 스이다. 특징적인 증상은 시스템의 날짜가 88년 10월 ~ 12월이면 화면의 글자들이 하나씩 아래쪽으로 떨어져 기존의 글자 위에 쌓이게 된다. 5분 이상이 경과하면 하나의 글자만 아래로 떨어지며 소 리를 낸다. 따라서 일정 시간이 지나면 모든 글자들이 떨어지게 되고, 화면 아래쪽에 떨어진 글자들이 쌓이게 된다. 단, 상자 문자(box character) 들은 떨어지지 않는다. 8) 변형 - Cascade.1704 (폭포.1704) IBM사에서 나온 IBM-PC 에는 감염되지 않는다. 감염된 COM 파 일은 1704 바이트 증가한다. - Cascade.Xtra (폭포.엑스트라) 국내발견 : 94년 11월 암호 방법만 약간 바뀌었다. 암호를 풀어보면 'Xtra'와 같은 문자열이 존재한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 58번 제 목:[정보] 혁명 바이러스 올린시각:96/09/10 11:32 읽음: 458 관련자료 없음 ----------------------------------------------------------------------------- * 혁명 바이러스 1) 이름: 혁명 (Rebolusyon) 바이러스 2) 다른이름: Quark, _2000, Junely 3) 제작지: 필리핀(?) 4) 국내발견: 96년 1월 발견 5) 종류: 상주형, 기생형, 암호화 6) 증상: 화면에 필리핀 국기를 펄럭이면서 글자를 출력한다. 7) 내용: 혁명 (Rebolusyon) 바이러스는 Quark, _2000, Junely 같은 이름 으로 불리고 있으며, 감염된 파일이 실행되면 바이러스는 기억 장소의 최상위 영역에 상주한다. 확장자가 COM,EXE인 파일만 감염시키므로 오버레이 파일은 감염 시키지 않는다. 파일이 오픈되거나 실행되는 파일을 감염시킨 다. 쓰기 방지 탭이 붙은 플로피 디스크의 파일의 경우 쓰기 에 러가 발생한다. 읽기 전용 파일도 감염 시킬수 있으며, 감염된 파일의 속성, 시 간은 변하지 않는다. 감염된 파일은 2000 바이트 증가한다. 암 호화 기법을 사용한다. 특징적인 증상으로 화면에 필리핀 국기 가 펄럭이면서 여러가지 메시지가 출력된다. 출력되는 메시지는 다음과 같다. "Sagot sa kahirapan..." "REBOLUSYON!" "Mabuhay ang..." "CPP-NPA-NDF!" "MAMUNO, mga manggaggawa" "LUMABAN, mga magsasaka" "MAKIISA, mga patriyotiko" "Isulong ang MAPAGPALAYANG KILUSAN!" "Kabataang Makabayan (KM)" "Makabayang Kilusan ng Bagong Ka" "Makabayang Kilusan ng Bagong Kababaihan (MAKIBAKA)" "Artista at Manunulat ng Sambayanan (ARMAS)" "KAtipunan ng mga Gurong Makabayan (KAGUMA)" "Liga ng Agham para sa Batan (LAB)" "E.Bukid [KK]" "Ang Bagong Demokratikong Rebolusyon." 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 60번 제 목:[정보] 스키즘 바이러스 올린시각:96/09/10 11:32 읽음: 429 관련자료 없음 ----------------------------------------------------------------------------- * 스키즘 바이러스 1) 이름: 스키즘.808(Skism.808) 2) 다른이름: Leprosy.Skism.808.A, Rythem, 808, Leprosy.808 3) 제작지: 미국 4) 종류 : 비상주형 겹쳐쓰기 5) 내용 : 스키즘.808 바이러스로 명명된 이유는 바이러스 내부에 "Skism Rythem Stack Virus-808. Smart Kids Into Sick Methods"라는 문자열이 존재하기 때문이며, 문둥이 바이러스의 변형이기도 하 다. 겹쳐쓰기 바이러스로 EXE 파일을 감염시키며, 감염된 파일을 실 행하면 도스 버전이 2.0 이상일때 감염 활동을 한다. 루트 디렉 토리로 이동한후 바로 하위 디렉토리를 찾아서 EXE 파일을 감염 시킨다. 첫 808 바이트를 겹쳐 써버리는데 파일 크기가 808 이하인 파일 은 항상 808 바이트가 되고 808 바이트 보다 큰 파일은 크기의 변화가 없다. 또한 읽기 전용 파일도 감염 시킬수 있으며 파일 작성 시간도 변하지 않는다. 특징적인 증상으로는 25일 이후의 금요일에 현재 디렉토리의 모 든 파일을 파괴해 버리는 것이다. 암호화 바이러스로 암호를 풀 어보면 다음과 같은 문자열을 볼 수 있다. "Skism Rythem Stack Virus-808. Smart Kids Into Sick Methods Dont alter this code into your own strain, faggit. HR/SSS NYCity, this is the fifth of many, many more.... You sissys....." 8) 변형 -* Skism.1992 (스키즘.1992) 92년 1월에 발견. 1992 바이트의 길이를 가지고 있다. 분석: 차민석 / 안철수컴퓨터바이러스연구소 연구원 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 61번 제 목:[정보] 맥가이버 바이러스 올린시각:96/09/10 11:33 읽음: 882 관련자료 없음 ----------------------------------------------------------------------------- * 맥가이버 바이러스 1) 이름: 맥가이버 (MacGyver) 2) 다른 이름: Satan, 2803, Keelung, Shoo 3) 제작지: 대만 외국 자료에는 93년 9월에 발견되었다고 함. 4) 국내발견: 93년 7월 5) 종류 : 파일 (EXE) 기생형(EXE이 2803 바이트 증가) 상주형(실행,오픈,속성관리,확장오픈) 은폐형(DIR 은폐) 6) 증상 : 음악 연주 7) 내용 : 맥가이버(MacGyver) 바이러스라고 불리는 이유는 바이러스 내부 에 'MACGYVER' 와 같은 문자열이 존재하기 때문이며, 감염 후 증가하는 파일 길이가 2803 바이트인 까닭에 2803 바이러스라고 불리기도 한다. 맥가이버 바이러스는 외국산 파일 바이러스로서 상주형 바이러 스이다. 또한 FCB 파일 찾기(DIR 명령), 오픈, 속성 관리, 이름 바꾸기, 확장 오픈시 EXE 파일을 감염시킨다. 읽기 전용 파일도 감염시킬수 있으며 원래의 작성일을 유지한다. 작성년에 100년을 추가하지만 DIR 시에는 십년 단위만 나오므로 사용자는 눈채채기 어렵다. 맥가이버 바이러스는 감염여부를 단 순히 파일 작성년도만을 검사하기 때문에 어떤 이유로 파일 작 성년이 변형되면 재감염될수 있다. EXE 파일만 감염되며 SCAN, CLEAN, ZTEST, CKVI, EXEGOD, VPIC 로 시작하는 파일은 감염에서 제외된다. 감염된 파일은 크기가 2803 바이트가 늘어나며 파일 작성년에 100년이 추가된다. 또한, 확장자가 SHW 가 존재하는 파일은 감염에서 제외되며 디 버깅 방지가 되어 있어서 분석을 어렵게한다. 매달 3월 이후의 5, 15, 25 일에 작동하는 것으로 알려져있다. 하지만 이외도 많은 조건이 필요하다. TV 프로였던 '맥가이버' 주제가가 나온다고 하지만, 실제로는 다른 음악이다. 바이러스 내부의 암호화된 부분을 풀어보면 다음과 같은 문자열 이 존재한다. 'SCAN.CLEAN.ZTEST.CHVI.EXEGOD.VPIC.[MACGYVER 1.0 Written by JOEY in Keelung. TAIWAN 1992]' 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 62번 제 목:[정보] 회오리 바이러스 올린시각:96/09/10 11:33 읽음: 596 관련자료 없음 ----------------------------------------------------------------------------- * 회오리 바이러스 시리즈 1) 이름: 회오리 바이러스 (Eddy Virus) 2) 다른이름: 없음 3) 제작지: 한국 4) 국내발견: 95년 5월 5) 종류: 상주형 (실행, 오픈, 속성관리, 확장오픈시 감염) 기생형 (COM : 1309, EXE : 1378 바이트 증가) 6) 증상: 백신을 실행시 삭제, 메시지를 출력한다. 7) 내용 : 회오리 바이러스는 대표적인 한국산 파일 바이러스로 현재 소스 가 많은 곳에 공개되어 있는 관계로 많은 변종이 계속 발견되고 있다. 회오리 바이러스라는 이름이 붙은 이유는 바이러스 내부에 'Eddy'와 같은 문자열이 존재하기 때문이다. 회오리 바이러스는 방랑자.II 바이러스를 개량한 바이러스이나 회오리 바이러스와 방랑자.II는 기억장소 상주방법에서 차이가 있다. 방랑자.II 계열 바이러스는 예루살렘과 유사한 방법으로 상주하 지만 회오리 계열 바이러스는 도스 기능을 사용하지 않고 상주 한다. 회오리 바이러스는 기생형 바이러스로 9189 바이트 사이의 COM 파일과 9189 ~ 393216 바이트 사이의 EXE 파일에 감염된다. 단, 내부 오버레이를 사용하는 EXE 파일이나 NE 타입의 EXE 파 일 (Windows파일과 OS/2 파일들)은 감염에서 제외된다. 그 외에도 파일이름 중에서 V, S 자가 있으면 감염에서 제외되 며 파일 이름이 다음과 같이 시작되면 감염에서 제외된다. HW: HWP.EXE (워드프로세서) F-: F-PROT.EXE (백신 프로그램) TB: TBAV.EXE (백신 프로그램) CL: CLEAN.EXE (백신 프로그램) WC: ? 실행뿐 아니라 오픈, 확장오픈(4.x 이상에서 지원되는 기능으로 파일 복사시 이용된다.), 속성 얻기/변환시 감염된다. 따라서 빠른 시간에 모든 실행파일을 감염시킬 수 있다. 단, 기억장소를 검사해서 바이러스 예방 프로그램인 플루샷 플 러스 (Flu Shot plus)나 VSAFE가 존재하면 상주하지 않는다. 소 용돌이 바이러스는 95년 3월 14일 이전에는 감염 활동을 하지 않는다. 회오리 바이러스는 은폐기법(Stealth)을 사용하는 바이러스이 다. 즉, 기억장소에 바이러스가 존재하면 감염된 파일의 길이가 증가하지 않은것처럼 만든다. 단, 도스의 DIR 명령만 감추며 최 근에 사용하는 방법은 감추지 않으므로 셸 프로그램등에서는 알 수 있다. 또, CHKDSK.EXE를 실행하면 FAT 에러를 낸다. CHKDSK/F 와 같은 명령을 하면 파일이 망가지는 결과를 초래한다. 감염된 파일은 파일 작성초가 62초로 되어 있다. 이 방법은 많은 은폐형 바이 러스들이 감염여부를 확인하는 방법으로 같은 방법을 사용하는 다른 바이러스가 상주해 있으면 파일 길이가 이상하게 나온다. 회오리 바이러스는 백신에 진단되지 않기 위해 신경을 쓴 바이 러스로 F-PROT의 진단을 피하기 위해서 반복 루틴을 두었으며, TBAV에 진단되지 않기 위해 많이 애쓴 흔적이 보인다. 하지만, 당시 TBAV에는 진단되지 않았지만 최근 버전에부터는 다시 알려 지지 않은 바이러스로 진단된다. 회오리 바이러스의 일반적인 특징은 백신 프로그램 (V3, TV, KAV)이 실행되면 해당 파일을 삭제한다. 가끔(1/4 의 확률) 다 음과 같은 메시지를 출력한 후 파일을 삭제한다. 출력되는 메시 지는 다음과 같다. "[Welcome to EDDY! (c) Copyleft 9189-92.3 SVS/COREA]" 단, 위의 문자열은 암호화되어 있으므로 볼 수 없다. 8) 변형 * 회오리.1316 삭제하는 백신에 타키온 백신도 포함되었다. COM, EXE 파일 모 두 1316 바이트 증가함. 1995년 4월 이후 작동. "[Welcome to EDDY (Type_C) VIRUS (c) Copyleft 9188-92.3 SVS/COREA]"라는 메시지를 출력한다. * 회오리.1326 COM, EXE 파일 모두 1326 바이트 증가함. 1995년 4월 16일 이후 에만 활동한다. 기억장소에 FSP나 VSAFE가 존재하면 CMOS 데이 터를 삭제. "[Welcome to EDDY/D (c) Copyleft 9188-92.3 SVS/COREA]"라는 메시지를 출력한다. * 회오리.1333 (95년 3월 발견) 다른이름 : 방랑자.II.1333, Wanderer.II.1333 COM 파일은 1333, EXE 파일은 1402 바이트 증가한다. 95년 3월 14일 이후 활동한다. "[Welcome to EDDY! (c) Copyleft 9189-92.3 SVS/COREA]"라는 메시지를 출력한다. * 회오리.1333.B 백신 프로그램에서 진단되지 않도록 회오리.1333 바이러스를 약 간 변형시킴. * 회오리.1383 회오리.1551 바이러스의 변형으로 내부에 문자열이 존재하지 않 음. 5월 15일 이후 작동. 기억장소 상주시 매 1분이면 디스크를 포맷하는 명령을 가지고 있으나 하드 디스크는 포맷하지 못함. * 회오리.1444 다른이름: 회오리.LDJ, Eddy.LDJ, LDJ.II 회오리.1551 바이러스의 소스를 약간 고친것으로 별도 설명 부 분을 제외하면 회오리.1551 바이러스와 동일. "LDJ II (c) Copyright Lee D.J 1996-99" 와 같은 문자열이 존 재한다. * 회오리.1457 회오리.1551 바이러스의 소스를 약간 고친것으로 별도 설명 부 분을 제외하고는 회오리.1551 바이러스와 동일. "V3pro III CRC ver 1.0B (C) Copyright 1996 - L.D.J" 와 같은 문자열이 존재한다. * 회오리.1478 다른이름: 카카.1479, 회오리.카카.1478 회오리.1551 바이러스의 소스를 약간 고친것으로 별도 설명 부 분을 제외하면 회오리.1551 바이러스와 동일. "M3271 CRCK Ver 1.0 (c) Copyleft 96-96 by PC.. This PC--Net 2"와 같은 문자열이 존재한다. * 회오리.1482 (95년 4월 발견) COM, EXE 파일 모두 1482 바이트 증가한다. "[Welcome to EDDY (Type E) VIRUS! 9192(1995).3.22 (c) Copyleft 9188-92 by SVS/COREA and... Yally lives... somewhere in mind." 를 출력한다. 상주 당시 시간이 5분일때 화면을 엉망으로 만든다. 1995년 4월 15일 후에 작동한다. * 회오리.1500 다른이름: 회오리.카카, 카카 회오리.1551 바이러스의 소스를 약간 고친것으로 별도 설명 부 분을 제외하면 회오리.1551 바이러스와 동일. "Welcome to CACA..CACA...CACA...CACA (c) Copyleft CACA...CACA...CACA. CACA....VER 1.0 !!!" 와 같은 문자열이 존재한다. * 회오리.1542 회오리.1551 바이러스의 소스를 약간 고친것으로 별도 설명 부 분을 제외하면 회오리.1551 바이러스와 동일. 내부에 존재하는 메시지도 동일하지만 차이점이라면 문자열들이 암호화되어 있지 않고 그대로 드러난다. * 회오리.1551 회오리.1482 바이러스 다음 버전으로 많은 부분이 달라짐. 기존 의 회오리 바이러스들이 감염후 62초가 되었지만, 회오리 바이 러스는 60초로 바꾸며, 기억장소에 회오리 바이러스가 상주할때 파일 작성초가 60초인 정상적인 파일도 길이가 줄어든다. DIR만 해도 하나의 EXE 파일을 감염시킨다. 기억장소 상주시 시 간을 검사하여 6분일 때 화면을 엉망으로 만든다. 1995년 4월 15일 이후 작동한다. "Welcome to EDDY VIRUS (Type F/Last Ver/50th) 9192.3.25 (c) Copyleft 9188-92 by SVS/COREA FATHER AND I PART 1 .. N.EX.T .. thank you! bye!!!"라는 메시지를 출력한다. 이 바이러스를 제작한 제작자는 회오리.1551 바이러스 소스를 공개했고 그 후 여러 변형 바이러스들이 출현하게 되는 악순환 이 시작되었다. [분석 : 차민석 / 안철수컴퓨터바이러스연구소 연구원] 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 64번 제 목:[정보] 보자 바이러스 올린시각:96/09/10 11:33 읽음: 643 관련자료 없음 ----------------------------------------------------------------------------- * 보자(BOZA) 바이러스 보자 바이러스는 세계 최초로 발견된 윈도우 95용 컴퓨터 바이 러스입니다. 심각한 파괴 증상을 가지고 있지는 않지만 내부적 인 버그로 인해 일부 파일을 불완전하게 감염시킨 경우 해당 파 일의 데이터를 파괴시키는 것으로 알려져 있습니다. 또한, 보자 바이러스는 메모리에 상주하지 않는 비상주형 파일 바이러스로 실행 파일이 실행되는 디렉토리의 파일들을 3개까지 감염시킵니다. 보자 바이러스가 윈도우 95용 컴퓨터 바이러스로 분류되는 까닭 은 32비트 코드로 작성된 파일을 감염시키기 때문입니다. 즉, 윈도우 95의 32 비트 파일(Window 95 Portable Executable) 중 확장자가 .EXE인 파일만을 감염시키며, 감염 대상 파일이 윈 도우 95 PE(Portable Executable: 윈도우 95용 실행 파일 중의 하나)이 아닐 경우 대상 파일의 일부분을 겹쳐쓰기 하거나 파일 을 파괴합니다. 또한, 매월 31일이 되면 아래와 같은 메시지를 출력합니다. VLAD Australia does it again with the world's first win 95 virus. From the old school to the new. Meabolis Qark Darkman Automag Antigen RhinceWind Quantum Absolute Overload Coke 그러나, 자체 분석 결과 한글 윈도우 95의 파일에는 감염시키 않는 것으로 확인되었으며, 영문 윈도우 95에서도 자체 버그로 100% 감염시키지는 않는 것으로 보입니다. 보자 바이러스는 일반적인 도스용 파일 바이러스와 비슷한 감염 증상을 나타내는 등 심각한 파괴 부분은 보이지 않으며, 윈도우 95용이라고 할만한 별도의 특이한 증상은 없습니다. 치료 방법 또한 일반 파일 바이러스와 유사해 감염 파일만 일대 일 치료하면 됩니다(현재 V3제품군으로 치료가 가능합니다). 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 65번 제 목:[정보] 예루살렘 바이러스 올린시각:96/09/12 12:02 읽음:1484 관련자료 없음 ----------------------------------------------------------------------------- * 예루살렘 바이러스 1) 이름: 예루살렘(Jerusalem) 2) 다른 이름: 13일의 금요일, PLO, 1813 3) 제작지: 이스라엘(87년 10월) 4) 국내발견: 89년 10월 5) 종류 : 상주형, 기생형(COM: 1813, EXE: 1808-1823 중복감염) 6) 증상: 1. EXE 파일 크기 증가. 2. 30분이 경과하면 화면의 일부가 위로 올라가며 컴퓨터의 수행 속도 감소 3. 13일의 금요일일때 실행되는 파일을 삭제한다. 7) 내용: 예루살렘 (Jerusalem) 바이러스는 89년 10월 이스라엘에서 발견 되었다. 최근에는 이탈리아에서 제작되었다는 설도 있다. 파일 바이러스의 고전이라고 할수 있으며 전세계적으로 널리 퍼졌었 고 가장 많은 변형을 가진 바이러스중 하나이다. COMMAND.COM을 제외한 모든 COM/EXE 파일을 감염시키지만 EXE 파일은 계속 중복 감염된다. COM 파일은 한번만 감염 되며 1813 바이트 증가한다. EXE 파일 은 중복 감염되며 16의 배수가 된후 1808 바이트 증가한다. 실행된지 30분이 경과하면 화면의 일부가 위로 올라가며 컴퓨터 의 실행속도가 떨어진다. 13일의 금요일이 되면 감염될 파일을 지워버린다. (도스에서 실행하면 Bad command or filename 을 출력한다.) 읽기 전용 파일도 감염시킬수 있으며 원래 날짜, 시간, 속성이 그대로 유지된다. 끝의 확장자가 'M' 인지 검사하는 방법으로 COM, EXE 파일을 구별한다. 따라서 끝의 확장자가 M 인 오버레 이 파일의 경우 COM 형식으로 감염될수 있다(실행안됨). 8) 변형 - Jerusalem.1414 (예루살렘.1414) 한국산 발견 : 94년 12월 감염외에는 다른 특징이 없다. 원형 바이러스에서 불필요한 많은 부분을 삭제해서 바이러스 길이가 짧다. EXE 파일에 중복 감염되는 버그는 그대로 가지고 있다. - Jerusalem.B (예루살렘.B) 외국산 (이스라엘) 다른 이름: Jerusalem.1808.Null.A 국내 발견: 90년 10월 1988 년 1월 이스라엘에서 처음 발견된것으로 예루살렘 바이 러스의 특징적인 문자열인 'sUMsDos' 를 모두 0 으로 바꾼 것이 다. 파일의 마지막 부분에 이 문자열이 없으면 아직 감염되지 않은 것으로 판단하여 감염을 시키기 때문에, 두가지 특징을 가 지게 된다. 첫째, 파일의 마지막 부분이 0으로 채워져 있는 파일에는 감염 시키지 않는다. 둘째, 어떤 EXE 파일에는 재감염되지 않는다. 예루살렘.B 바이 러스에 감염된 EXE 파일의 마지막 부분은 버퍼 영역으로 이 부 분이 0 으로 채워져 있으면 재감염되지 않는다. - Jerusalem.C (예루살렘.C 외국산 국내 발견: 90년 10월 시간이 경과해도 컴퓨터의 수행 속도를 떨어뜨리지 않는다. - Jerusalem.EOS (예루살렘.EOS) 한국산 다른 이름: Jerusalem.1813.EOS 발견 : 93년 12월 원형과 달리 중복 감염되지 않는다. EXE 파일 역시 16의 배수 가 된후 1813 바이트 증가한다. V3.COM 은 감염에서 제외된다. COMMAND.COM 이 감염되면 부팅이 안된다(6.x 까지). 매달 14일 사용중인 디스크를 포맷하고 리부팅 시킨다. 하지만, 하드 디스크를 파괴하지는 못한다. 다음과 같은 문자열을 포함하고 있다. "V3.COM" "The E.O.S Virus -by SVS(Seoul Virus Society) Cheer up! SVS-009 July in 1993. Made in Korea Good luck! Don't run a Vaccine III!$" "Continuance" - Jerusalem.Korea (예루살렘.한국) 한국산 발견: 92년 2월 Jerusalem.Frere 바이러스의 변형이다. 매주 금요일 또는 매 월 13일에 감염된 프로그램을 실행시키면 10초 간격으로 음악을 연주한다. - Jerusalem.Paday (예루살렘.봉급날) 외국산 (네덜란드) 다른 이름: Jerusalem.1808.Paday.A 제작지: 네덜란드 (89년 11월 발견) 국내 발견: 90년 10월 외국에서는 토요일과 일요일은 쉬고 회사에서 금요일 봉급을 주기 때문에 봉급날이라는 이름이 붙여 졌다. 원형과 달리 13일 의 금요일을 제외한 모든 금요일에 실행되는 프로그램을 삭제한 다. 분석: 차민석 / 안철수컴퓨터바이러스연구소 연구원 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 66번 제 목:[정보] 뻔뻔이 바이러스 올린시각:96/09/12 12:03 읽음: 932 관련자료 없음 ----------------------------------------------------------------------------- * 뻔뻔이 바이러스 1) 이름: 뻔뻔이(Unashamed) 2) 다른 이름: 3) 제작지: - 4) 국내발견: 국내 미발견 5) 종류: 부트(플로피, 하드 디스크: 주 부트 섹터) 6) 증상: 기억장소 크기 1KB 감소 7) 내용: 뻔뻔이 바이러스로 명명된 이유는 바이러스 내부에 'UNashamed Naked!' 라는 문자열이 암호화 되어 있기 때문이다. 뻔뻔이 바 이러스는 플로피 디스크과 하드 디스크의 주부트섹터를 감염시 킨다. 플로피 디스크에 감염될 때는 디스크의 종류에 따라 다르게 원 래 부트 섹터 내용을 보관해 둔다. 뻔뻔이 바이러스에 감염된 플로피 디스크의 경우 원래 BPB만 보 존되고 에러 메시지는 없으므로 쉽게 구별이 가능하다. 하드 디스크의 경우도 파티션 영역의 자료만 보존 되고 다른 에 러 메시지는 없으므로 쉽게 구별이 가능하다. 은폐형 바이러스로 바이러스가 기억장소에 상주해 있을때 부트 섹터를 읽으려고 하면 원래 부트 섹터를 대신 읽게하고 부트 섹 터를 쓰려고 할때는 마치 써진것처럼 속인다(실제로는 아무런 일도 하지 않는다). 일반적인 부트 바이러스와 달리 부트 섹터를 읽을때만 감염여부 를 검사하므로 디스크 입출력 속도 저하를 거의 일으키지 않아 발견하기 힘들다. 감염된 시스템은 기억장소의 크기가 1KB 줄어 든다. 바이러스 내부를 보면 'UNashamed Naked!'라는 메시지를 출력하 는 부분이 있지만 실제로는 실행되지 않는다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 67번 제 목:[정보] 안락사(Hare) 바이러스 올린시각:96/09/20 14:01 읽음: 971 관련자료 없음 ----------------------------------------------------------------------------- * 안락사 바이러스 1) 이름: 안락사(Euthanasia) 바이러스 2) 다른이름 : 헤어(hare) 3) 제작지 : 외국 4) 국내발견 : 96년 6월 5) 종류 : 부트/파일 바이러스 6) 증상 : 매년 8~12월 22일 메시지 출력. 7) 내용 : 외국 백신에서 헤어(Hare) 바이러스로 진단되는 안락사 바이러 ~~~~~~~~~~~~~~~~~~~ 스는 최근 인터넷을 통해 유포되면서 세계적으로 상당한 피해가 ~~~~~~~~~~~~~~~~~~~~~~ 보고되고 있는 부트/파일 바이러스입니다. V3 제품군은 안락사 바이러스를 완벽하게 진단, 치료합니다. ~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~ 안락사 바이러스는 지금까지 발견된 다형성 바이러스들과 유사 하며, 바이러스 자체 크기가 7674바이트에 이르는 대형 바이러 스이다. 마스터 부트 영역과 COM, EXE 파일을 감염시키며 바이러스가 상 주해 있는 동안은 하드디스크를 파괴하지 않으나 재부팅하면 파 티션 정보가 파괴되어 하드를 못쓰게 되는 경우도 발생한다. 변 종으로 안락사.II, 안락사.III가 있다. 안락사.I 은 MBS 감염후 부팅시 10kbyte의 메모리를 감소시킨 다. 메모리 상위 위치에 상주하며 도스의 파일 관련 명령이 수 행될때 감염된다. 그러나 안락사.II, III는 부팅시 기억 장소 크기는 감소시키지 않는다. 매년 8월~12월의 22일에 메시지를 출력하며, 파일 중에서 확장 자가 'tb', 'f-', 'iv', 'ch'로 시작되는 파일은 감염시키지 않 는다. 참고로 외국 백신 프로그램에서는 hare 바이러스로 진단 한다. 변종 바이러스들이 가지고 있는 내부 메시지는 다음과 같다. Euthanasia : "HDEuthanasia" by Demon Emperor : Hare Krsna, hare, hare ... o. t. ah Euthanasia_II : "HDEuthanasia-v2" by Demon Emperor : Hare Krsna, hare, hare .. 'V Euthanasia_III: "HDEuthanasia-v3" by Demon Emperor : Hare Krsna, hare, hare 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 69번 제 목:[정보] 녹색 애벌레 바이러스 올린시각:96/09/20 15:04 읽음: 529 관련자료 없음 ----------------------------------------------------------------------------- * 녹색 애벌레 바이러스 1) 이름: 녹색 애벌레 (Green_Caterpillar) 2) 다른 이름: 1575, 1577, 1591 3) 제작지: 대만 (91년 1월) 4) 국내발견: 91년 4월 5) 종류: 파일 (COM, EXE) 상주형(DIR시 감염) 기생형 (16의 배수된후 1575 바이트 증가) 6) 증상: 컬러 화면에서 연두색 애벌레 모양이 모니터 화면에 나타난다. 7) 내용: 녹색 애벌레(Green_Caterpillar) 바이러스는 일명 1575, 1577, 1591 바이러스로 불리는 파일 바이러스이다. 이런 이름은 바이 러스가 1575~1591 바이트 사이의 길이를 가지기 때문이며, 특별 한 경우 화면에서 애벌레가 기어 다니는 듯한 모양이 나타나기 때문에 붙은 것이다. 국내 사용자들 사이에 지네 바이러스라고 불리기도 했다. 녹색 애벌레 바이러스는 기생형 바이러스로 COM 파일과 EXE 파일을 감염시키나 읽기 전용 파일은 감염시킬 수 없다. 단, 녹색 애벌 레 바이러스는 파일의 확장자를 직접 검사해 확장자가 COM이나 EXE 인 경우에만 감염 시키기 때문에 오버레이 파일은 감염되지 않는다. COM 파일이나 EXE 파일을 감염시킬 때 길이를 16의 배수로 만든 후 1575바이트 증가시키기 때문에 1575~1591바이트 증가하며, 파일의 작성일이 감염된 때로 바뀌어 버린다. 읽기전용 파일이 있을 경우에는 그 다음에 위치하는 파일은 감 염되지 않는다. 녹색 애벌레 바이러스에 감염된 파일이 실행되 면 C 드라이브의 주디렉토리에서 COMMAND.COM을 찾아서 감염여 부를 확인한다. 녹색 애벌레의 특징적인 증상은 다음과 같다. 컬러 모니터를 사용하는 컴퓨터에서 C:/COMMAND.COM이 감염되고 바이러스가 기억장소에 상주한 상태에서 처음 감염된 달로부터 3달 이상이 지난 파일이 실행되는 경우에 빨간 머리와 노란 목 을 가진 연두색의 애벌레 모양이 화면을 가로질러 한 줄씩 기어 내려가는 모양이 출력된다. 녹색 애벌레 내부에는 바이러스를 분석하기 위해 사용하는 디버 거의 작동을 어렵게 하는 부분이 존재한다. * 변형: 녹색애벌레.1989 바이러스 1) 이름: 녹색애벌레.1989 (Green_Caterpillar.1989) 2) 다른 이름: LHB,Thriller 3) 제작지: 대만 (94년 2월) 4) 종류: 파일 (COM,EXE) 상주형(DIR시 감염), 기생형 6) 내용: 녹색애벌레.1989(Green_Caterpillar.1989) 혹은 LHB, Thriller 이라는 이름이 붙은 이유는 녹색애벌레의 변형으로 바이러스 내 부에 LHB, Thriller 라는 문자열이 존재한다. 대만산 바이러스 로 추측된다. 녹색애벌레.1984바이러스는 기생형 바이러스이며 COM, EXE 파일 을 감염시킨다. 단, 읽기 전용 파일은 감염시킬수 없다. 또한, COM이나 EXE 이외의 파일은 감염시키지 않으며 단순히 확 장자로만 파일의 종류를 판단하기 때문에 확장자 내용이 잘못된 파일은 감염된후 실행이 되지 않을수 있다. COM 이나 EXE 파일을 감염시킬때는 16의 배수로 만든후 1989바 이트의 바이러스 프로그램이 붙으므로 감염된 파일은 1989 ~ 2005 바이트 증가하며 파일의 작성일이 감염된 때로 바뀐다. EXE 파일을 감염시킬때 선두영역의 정보를 이용하지 않고 파일 의 길이를 구해서 계산하기 때문에 EXE 파일을 파괴하는 일은 적다. 상주형으로서 녹색애벌레.1989바이러스는 상주시 단순히 현재 21번 인터럽트의 특정위치에서 특정값(1989h)으로 감염여부를 판단하므로 기억장소에 반복 상주할수 있다. 또한 도스를 이용 하지 않고 직접 MCB를 다뤄서 기억장소의 최상위에 위치한다. 보통의 바이러스처럼 실행되거나 오픈될때 감염되지 않고 FCB (file control block)의 파일찾기 기능을 가로챈다. 따라서, DIR시 하나의 COM 파일이나 EXE 파일을 감염시킨다. 이 바이러스에 감염된 파일이 실행되면 C 드라이브의 주디렉토 리에 위치하는 COMMAND.COM 을 감염여부를 검사해 감염시킨다. 단, 주디렉토리에 COMMAND.COM이 존재하지 않으면 감염되지 않 는다. 또 도스 6.x 이상의 시스템에서 COMMAND.COM이 감염되면 부팅이 되지 않는다. 녹색애벌레.1989 바이러스 감염된 파일는 다음과 같은 문자열을 볼 수 있다. ' [ZYX.B.l.o.o.d.y.!.J.u.n.e.4.t.h.M.a.d.e.i.n.C.h.e.n.g.d. u.n/t/h/e/e/y/e/s/,/y/o/u/'/r/e/p/a/r/a/l/y/z/It's close to midnight and something,evil'slurking in the dark. Under the moonlight you see a sight,that almost stops your heart.You try to scream but terror,takes the sound before you make it. You start to freeze as horror looks. You right between the eyes,you're paralyzed.Cause this is thriller, thriller night,and no one's gonna save you from the beast about to strike. You know it's thriller night.You're fighting for your life!...(LHB)?!. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 70번 제 목:[정보] 소년범 바이러스 올린시각:96/09/20 15:04 읽음: 562 관련자료 없음 ----------------------------------------------------------------------------- * 소년범 바이러스 1) 이름: 소년범 (Juvenile_Delinquent) 2) 다른이름: 3) 제작지: 한국 (92년 3월 발견) 4) 종류: 상주형 (실행시 감염) 기생형 (COM, EXE: 1648~1663 바이트 증가) 5) 증상 : 매월 1일 매시지 출력후 데이터 파괴 6) 내용 : 소년범 바이러스는 한국산 파일 바이러스로 92년 3월 한국 PC 통신에 근무하는 김준성씨가 처음 발견하였다. 바이러스 내부에 'I am a juvenile delinquent.' 라는 말이 포 함되어 있기 때문에 소년범이라는 이름이 지어졌다. COM, EXE, 오버레이 파일을 감염시킬 수 있다. 단, COMMAND.COM은 감염에 서 제외된다. COM, EXE 파일 모두 16의 배수가 된 후 1648 바이트 증가하므로 원래 길이에 따라 1648~1663 바이트 증가한다. 작성일은 변하지 않는다. 도스 3.0 이상에서 제공되는 기능을 사용하므로 도스 2.x 에서 는 작동되지 않는다. 특징적인 증상은 매월 1일에 감염된 프로그램을 실행하며 'I am a juvenile delinquent.k...wak...toowet...E...hi..hi..(나는 소년범이다.크와...툇..이히히..)' 라는 메시지를 화면에 출력 하고, 디스크의 데이터를 파괴한다. 단, 32MB 이상의 하드 디스 크에서는 피해를 입지 않는다. 바이러스 내부에 'I am a juvenile delinquent.' 와 같은 문자 열을 발견할 수 있다. 분석 : 차민석 / 안철수컴퓨터바이러스연구소 연구원