『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 71번 제 목:[정보] 미이라 바이러스 올린시각:96/09/20 15:04 읽음: 532 관련자료 없음 ----------------------------------------------------------------------------- * 미이라 바이러스 1) 이름: 미이라 (Mummy) 2) 다른 이름: 미이라 1.2 3) 제작지: 대만 (1992년 1월) 4) 국내발견: 1995년 9월 5) 종류: EXE 파일, 상주형 6) 증상: 사용중인 디스크 내용을 삭제한다. 7) 내용: 미이라(Mummy) 바이러스라고 이름이 붙은 이유는 바이러스 내부 에 'Mummy'라는 문자열이 존재하기 때문이다. 미이라 바이러스 는 대만산 바이러스로 92년 1월에 최초로 발견되었다. 미이라 바이러스는 예루살렘(Jerusalem) 바이러스의 변형이다. 미이라 바이러스는 모든 EXE 파일을 감염시킬 수 있다. 단, EXE 파일과 동일하며, 확장자가 .SHW 인 파일이 존재하면 그 파일을 감염시키지 않는다. 미이라 바이러스는 오픈되거나 실행될 때 감염되며 파일의 확장 자를 검사하지 않고 'MZ'로 시작되는 파일 감염시키므로 오버레 이 파일도 오픈시 감염될 수 있다. 단, EXE 헤더에서 필요한 정 보를 구하므로 내부 오버레이 EXE 파일은 파괴되어 버린다. 미이라 바이러스에 감염된 파일은 16의 배수가 된 후 1399 바이 트가 증가하므로 파일 길이에 따라 1399~1414 바이트 증가한다. 읽기 전용 파일도 감염되며 작성일과 속성은 그대로 유지된다. 미이라 바이러스는 암호화나 은폐 기법은 사용하지 않는다. 미 이라 바이러스의 특징적인 증상은 파일의 감염여부를 검사해 감 염되었 때 사용중인 디스크의 정보들을 파괴하는 것이다. 미이라 바이러스에 파일 내부에서는 다음과 같은 문자열이 암호 되어 있다. "Mummy Version 1.2" "Kaohsiung Senior School" "Tzeng Jau Ming presents" "Series Number = [xxxxx]" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 72번 제 목:[정보] 테킬라 바이러스 올린시각:96/09/20 15:05 읽음: 636 관련자료 없음 ----------------------------------------------------------------------------- * 테킬라 바이러스 1) 이름: 테킬라(Tequila) 2) 다른이름 : 3) 제작지: 스위스(91년 4월 발견) 4) 국내발견: 92년 4월 5) 종류: 부트(주부트섹터), 파일(EXE: 2468 바이트 증가), 은폐형, 다형성 6) 증상: 메시지 출력 7) 내용: 테킬라 바이러스는 1991년 4월 스위스에서 처음 발견되어서 유 럽 전역으로 퍼졌다. 이에 스위스 경찰은 제작자를 찾기 시작했 고, 1991년 5월 20일 취리히 근교에서 18세와 21세의 범인을 검 거했다(형제로 알려져 있다). 국내에서는 1991년 4월 처음 발견 되었다. 기생형이며 하드 디스크의 파티션과 EXE 파일을 감염시킨다. 테 킬라 바이러스가 파일 형태로 실행되면 램에 상주하지 않고 하 드 디스크를 감염시키며, 이후 감염된 하드 디스크로 부팅하면 램에 상주한다. 이 때는 기본 메모리의 크기를 3KB 줄이며 감염 후 실행되는 EXE 파일을 감염시킨다. 하드 디스크의 주 부트 섹터에 감염되며 도스 파티션의 마지막 6섹터에 바이러스 프로그램의 뒷부분을 저장하고 도스 파티션의 크기를 6섹터 줄인다. 그러나 플로피는 감염되지 않는다. EXE 파일에만 감염되며 파일 이름 내에 SC나 V자가 있는 것은 감염시키기 않는다. 또 내부 오버레이 파일도 감염에서 제외된 다. 감염된 파일은 2468 바이트 증가한다. 증상은 일정한 개수 이상을 감염시키고, 일정한 날짜가 되면 간 단한 프렉탈 그림을 그리고 'Execute:mov ax,FE03/int 21. Key to go on' 이라는 말을 출력한다. 단, 이런 문자열이 출력되지 않았을때 위와 같이 입력해도 원하 는 결과를 얻을수 없다. 지시대로 입력하면 다음과 같은 문자열 이 출력된다(메시지는 암호를 풀었을 때만 볼 수 있다). 'Welcome to T.TEQUILA's latest production. Contact T.TEQUILA/P.o.Box 543/6 12 Steinhausen/Switzerland. Loving thoughts to L.I.N.D.A. BEER and TEQUILA forever !' 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 74번 제 목:[정보] 일요일 바이러스 올린시각:96/09/23 16:21 읽음: 842 관련자료 없음 ----------------------------------------------------------------------------- * 일요일 바이러스 1) 이름: 일요일 (Sunday) 바이러스 2) 다른이름: Jerusalem.Sunday 3) 제작지: 미국 (89년 11월 발견) 4) 국내발견: 90년 10월 5) 종류: 파일(COM, EXE), 상주형, 기생형 6) 증상: 일요일마다 파일 삭제 7) 내용 : 일요일(Sunday) 바이러스는 89년 11월 미국의 워싱턴주에 있는 시애틀(Seattle)에서 처음 발견되었다. 국내에서는 90년 10월 발견되었다. 예루살렘 바이러스의 변형으로 EXE 파일에 재감염 되지는 않는다. 제작자의 의도는 90년 이후에 일요일마다 감염된 파일을 삭제하 는 것이나 프로그램 자체의 실수로 90년 이후에도 파일 감염만 시도한다. COMMAND.COM 파일을 제외한 모든 COM 파일과 EXE 파일을 감염시 킨다. 감염된 COM 파일은 1636 바이트 증가하고 EXE 파일은 16 의 배수로 된후 1636 바이트 증가한다. 감염된 파일 뒷부분에 다음과 같은 문자열이 존재한다. "Today is SunDay! Why do you work so hard?.. All work and no play make you a dull boy!. Come on! Let's go out and have some fun 8) 변형 - Sunday.1733 (일요일.1733) 외국산 다른 이름: Jerusalem.Sunday.1728, Jerusaelm.Sunday_II 94년 2월 발견된 외국산 파일바이러스이다. COMMAND.COM을 제외 한 모든 COM,EXE 파일을 감염시키며 감염된 COM 파일은 1733 바 이트 증가하고 EXE 파일은 1733-1748 바이트 증가한다. - Sunday.B (일요일.B) 외국산 89년 11월 발견된 것으로 버그로 인해서 일요일에도 파일을 삭 제하지 못한다. - Sunday.Korea (일요일.한국) 한국산 90년 5월 발견된 것으로 일요일.B 바이러스의 앞 16 바이트를 0 으로 바꾼것이다. 당시 앞 부분을 검색하던 백신 프로그램에 진 단되지 않았다. COM 파일의 경우는 이 부분이 실행이 시작되는 부분이기 때문에 감염된 파일이 실행되면 시스템이 정지된다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 75번 제 목:[정보] 암살자_부트 바이러스 올린시각:96/09/23 16:21 읽음:1028 관련자료 없음 ----------------------------------------------------------------------------- * 암살자_부트 바이러스 1) 이름: 암살자_부트(Assissins_Boot) 바이러스 2) 다른이름: - 3) 제작지: 한국 (96년 4월 발견) 4) 종류: 부트 (플로피, 하드 디스크의 주부트 섹터) 5) 증상: 일반 기억장소 크기 1KB 감소 6) 내용: 암살자_부트 바이러스 바이러스는 한국산 부트 바이러스로 96년 4월 발견되었다. 암살자_부트 바이러스라는 이름이 붙은 이유는 내부에 'Assissins_Boot'라는 문자열을 가지고 있기 때문이다. 플로피 디스크와 하드 디스크의 주부트 섹터에 감염되며, 플로 피 디스크에 감염될 때는 원래 부트 섹터의 내용을 0 번 트랙, 1번 면, 3번 섹터에 저장한다. 360KB 디스크에서는 주디렉토리의 끝부분이기 때문에 자료가 파 괴될 가능성이 적으나 다른 디스크에서는 앞부분이기 때문에 파 일 정보가 손상된다. 따라서, 파일 이름 부분이 엉뚱하게 출력 되거나 출력되지 않는다. 플로피 디스크로 부팅하면 하드 디스크도 감염되며 일반 기억장 소 크기를 1KB 줄인다. 별다른 증상은 보이지 않으나 감염된 부 트 섹터 후반부에 "XXXAs1s.assKins_.Bo.o.tO!"라는 문자열이 존재한다. 하지만 일부러 문자 중간에 다른 문자들이 존재시켜 이름 구별을 힘들게 했다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 76번 제 목:[정보] 드라이브 표시기 바이러스 올린시각:96/10/02 14:00 읽음: 614 관련자료 없음 ----------------------------------------------------------------------------- * 드라이브 표시기 바이러스 1) 이름: 드라이브 표시기(Drive_Indicator) 바이러스 2) 다른 이름: Feist 3) 제작지: 한국 4) 국내발견: 93년 12월 곽현민씨 발견 5) 종류: 부트 (플로피, 하드 디스크의 주부트섹터), 은폐형 6) 내용: 드라이브 표시기(Drive_Indicator) 라는 이름이 붙은 이유는 감 염된 이후 디스크 드라이브를 사용할 때 해당 드라이브에 불이 들어오기 때문에 붙여졌다. 드라이브 표시기 바이러스는 한국산 부트 바이러스로 플로피 디스크와 하드 디스크의 주 부트 섹터에 감염되며, 감염되면 일 반 기억장소 크기를 1KB 줄인다. 또한, 감염된 디스크로 부팅할 때 하드디스크를 사용하지 않아도 하드 디스크까지 감염시킨다. 1.2 MB 이상의 플로피에서는 주 디렉토리의 앞부분이므로 파일 정보가 파괴되어 DIR시 이상한 문자가 출력되거나 아예 출력되 지 않는다. 은폐형 바이러스로 플로피에 감염될 경우는 은폐 기법을 사용하 나 하드의 경우는 사용하지 않는다. 디스크 쓰기 방지 탭을 붙 인 상태에서 부트를 읽으면 엉뚱한 내용이 보인다. 왜냐하면, 바이러스는 감염되지 않은 디스크라도 감염된 것으로 처리해서 은폐기법을 사용하기 때문이다. 특징적인 증상은 흑백 컴퓨터에서는 부팅 때 computer라는 말이 화면 상단 좌측에 나타나는 것과 디스크를 사용할 때 NumLock와 Scroll Lock의 불이 깜빡 거리는 증상을 갖고 있다. -안철수컴퓨터바이러스연구소. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 77번 제 목:[정보] 돌.B 바이러스 올린시각:96/10/02 14:00 읽음: 845 관련자료 없음 ----------------------------------------------------------------------------- * 돌.B 바이러스 1) 이름: 돌(Stoned.B) 바이러스 2) 다른이름: - 3) 제작지: 뉴질랜드 (88년 2월 발견) 4) 국내발견: 89년 12월 발견 5) 종류: 부트 (플로피, 하드 디스크 주부트섹터) 6) 증상: 1. 기억장소 크기 2Kbyte 감소 2. 플로피로 부팅했을 때 1/8의 확률로 'Your PC is now Stoned!' 라는 문자열 출력 7) 내용: 돌.B 바이러스는 88년 2월 뉴질랜드의 웰링턴(Wellington)에서 처음 발견되었다. 'Your PC is now Stoned!' 와 같은 문자열이 존재하기 때문에 돌 바이러스라는 이름이 붙었다. 원형 돌 바이러스가 360Kbyte 용량의 디스크에만 감염되는 것에 비해 B형은 하드 디스크도 감염시킨다. 일반적인 돌 바이러스는 하드 디스크를 감염시킬수 있는 B형이다. 감염된 플로피 디스크로 부팅하면 우선 하드디스크를 감염시키 며 일반 기억장소의 크기를 2Kbyte 줄인다. 플로피 디스크의 경 우 A 드라이브에서 읽거나 써지는 디스크만 감염시킨다. 가장 특징적인 증상은 플로피 디스크로 부팅할 때 1/8 확률로 'Your PC is now Stoned!' 라는 말을 출력하는 것이다. 8) 변형 - NoInt(은폐형 돌) 바이러스 외국산 (캐나다) 은폐형 돌 바이러스는 91년 6월 캐나다에서 처음 발견되었고 국 내에서는 92년 2월 라진홍씨가 처음 발견하였다. 돌 바이러스를 재 구성한 것으로 은폐 기법을 사용한다. 하드 디스크의 주부트 섹터를 읽으면 원래의 주부트섹터를 대신 보여 주는 은폐기법을 사용하지만 플로피 디스크의 부트 섹터를 읽거나 쓰기, 하드 디스크의 주 부트 섹터에 쓰는 것은 은폐하 지 않는다. 감염외에 별다른 일을 하지 않는다. - Stoned.C (돌.C) 바이러스 90년 10월 국내 발견 돌.B 바이러스에서 'Your PC is now stoned!' 라는 메시지만 빠 져있다. - Stoned.Korea (한국산 돌) 바이러스 93년 11월 국내 발견 돌.B 바이러스의 변형으로 기억장소를 1Kbyte 줄이고, 특징적인 문자열을 출력하지 않는다. 내부에 KO 와 REA 라는 문자열이 떨 어져 존재한다. -안철수컴퓨터바이러스연구소. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 78번 제 목:[정보] 바보 바이러스 올린시각:96/10/25 11:11 읽음: 698 관련자료 없음 ----------------------------------------------------------------------------- * 바보 바이러스 1) 이름: 바보(Dull_boy) 바이러스 2) 다른 이름: 철수(Cheolsoo) 3) 제작지: 한국 4) 국내발견: 93년 2월 5) 종류: 부트(플로피, 하드디스크의 도스 부트섹터), 은폐형 6) 내용: 바보 바이러스라는 이름은 바이러스 내부에 'dull boy'와 같은 문자열이 존재하기 때문에 붙여졌다. 동유럽지역으로 수출(?)되 어서 러시아산 백신인 AIDSTEST 에 철수(Cheolsoo)라는 이름으 로 불리고 있다. 역시 바이러스 내부에 Cheolsoo 라는 문자열 이 존재하기 때문이다. 바보 바이러스는 한국산 바이러스로 플로피 디스크와 하드의 도 스 부트 섹터에 감염이 된다. 감염 후 일반 기억장소의 크기를 2KB 줄인다. 바보 바이러스는 하드의 경우 도스 부트 섹터의 내용을 읽거나 쓸 때 원래 내용을 읽거나 쓰게 한다. 그러나, 플로피의 경우는 읽을 때만 은폐한다. 따라서 쓰기를 하면 바이러스가 파괴된다. 많은 부분이 LBC 바이러스나 돌.B 바이러스와 비슷하다. 플로피의 경우는 LBC 바이러스와 같다. 따라서 1.2MB 이상의 디 스크에서는 주 디렉토리의 내용이 파괴된다. 이 바이러스에 감 염된 디스크로 부팅할때는 하드를 사용하지 않아도 감염되어 버 린다. 그외 특별한 증상은 없다. 바보 바이러스는 원래의 부트 영역을 해당 도스 영역의 가장 끝 에 저장하는데 이곳에 다른 자료가 존재하면 파괴되고, 감염후 자료가 써지면 부팅이 되지 않는다. 감염된 데이터에는 다음과 같은 메시지를 가진다. 여기서 철수라는 사람은 V3의 제작자인 안철수씨를 의미하는 것으로 보이며, 일요일 바이러스의 메시지 를 모방했다. 'All computing and no play makes Cheolsoo a dull boy!' '컴퓨터만 하고 놀지 않는 것은 철수를 바보로 만든다!' 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 80번 제 목:[정보] 헌병 바이러스 시리즈 올린시각:96/10/25 11:12 읽음: 598 관련자료 없음 ----------------------------------------------------------------------------- * 헌병 바이러스 시리즈 1) 이름: 헌병 (Military_Police) 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 1996년 1월 5) 종류: 파일(EXE 파일 감염), 상주형, 기생형 6) 증상: 1. 밤 10시 이후에 EXE 파일이 감염되면 CMOS 자료를 파괴시킨다. 2. 기억장소에 바이러스가 존재할때 쓰기방지된 디스 크의 파일을 실행하면 쓰기방지 에러가 발생한다. 7) 내용: 헌병 바이러스라는 이름이 붙은 이유는 바이러스에 감염된 파일 후반부에 'MilitaryPolice. ChoSunUniv.9216'와 같은 문자열이 존재하기 때문이다. 헌병 바이러스는 한국산이며 96년 1월 발견되었다. 헌병 바이러 스는 읽기 전용 파일과 NE 타입의 EXE 파일에는 감염되지 않으 므로 윈도우 파일이나 OS/2 파일은 감염되지 않으며, 감염된 파 일 크기는 995 바이트 증가한다. 헌병 바이러스와 헌병 변형 바이러스들은 기억장소 상주 여부와 EXE 파일 감염 여부 검사법이 동일하므로 기억장소에 헌병 바이 러스나 변형 바이러스가 상주해 있으면, 다음에 실행된 헌병 바 이러스나 변형들은 상주하지 않는다 또한, 헌병 바이러스에 감염된 EXE 파일에는 변형 바이러스들이 다시 감염되지 않으며, 은폐 기법이나 별도의 암호화 기법은 사 용하지 않는다. 특징적인 증상은 밤 10 ~ 11시 59분 사이에 EXE 파일이 감염되 면 CMOS 자료를 지워버리는 것이며, 바이러스 내부 다음과 같은 문자열이 포함되어 있다. ", , 을 나타내는 세개의 램프가 동시에 점등 하는 현상이 발생한다. 이 때문에 영문자를 입력하다 보면 갑자 기 대문자가 소문자로 소문자가 대문자로 변하게 된다. 둘째, 밤 10시 ~ 11시59분 사이에 파일이 감염되면 사용중인 시 스템의 CMOS 자료를 지워버린다. 헌병.1023 바이러스는 램상주형 바이러스로 램상주시 시스템이 정지되는 수도 있다. 감염된 파일 내부에는 다음과 같은 문자열 이 포함되어 있으나 화면에 출력되지는 않는다. "MilitaryPolice.ChoSunUniv.92$." * 헌병.1086 (Military_Police.1086) 바이러스 헌병.1086 바이러스는 96년 9월에 발견된 한국산 파일 바이러스 로 EXE 파일을 감염시키며, 감염된 파일 크기가 1086 바이트 증 가한다. 은폐형 바이러스이다. 특징적인 증상은 오후 4시 이후에 파일을 감염시킬 때 CMOS의 자 료를 지워버리는 것이다. 감염된 파일 내부에는 다음과 같은 문 자열을 가지고 있다. "" * 헌병.1131 (Military_Polcei.1131) 헌병.1131 바이러스는 은폐 기법을 사용한 바이러스로 DIR 명령 만으로는 감염 후 파일 증가 길이를 알 수 없다. CHKDSK/F 명령 을 실행하면 파일이 망가진다. 특징적인 증상은 밤 10시 ~ 11시 59분 사이에 EXE 파일이 감염 되면 CMOS 자료를 지워버리는 것이다. 감염된 파일 내부에는 다 음과 같은 문자열을 가지고 있다. "....." 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 81번 제 목:[정보] 다보이즈 바이러스 올린시각:96/10/25 11:12 읽음: 525 관련자료 없음 ----------------------------------------------------------------------------- * 다보이즈 바이러스 1) 이름: 다보이즈(Da'boys) 바이러스 2) 다른이름: Daboys 3) 제작지: 외국산(발견일 모름) 4) 국내발견: 96년 9월 5) 종류: 부트(플로피, 하드 디스크의 도스 부트 섹터) 6) 내용: Da'boys 바이러스는 Daboys 등으로 불리는 외국산 부트 바이러 스이다. 이러한 이름이 붙은 이유는 바이러스 내부에 'DA'BOYS' 와 같은 문자열이 존재하기 때문이다. 다른 부트 바이러스과 다른 독특한 점은 다음과 같다. 첫째, 일반 기억 장소의 크기를 감소시키지 않기 때문에 사용자 가 바이러스를 발견하기 어려우며, 시스템에 따라서는 감염되면 시스템이 정지한다. 둘째, DOS 5.x 에서 6.x 의 시스템에만 감염된다. DOS 5.0의 도스 부트 섹터를 변형한 바이러스로 겹쳐 쓰기 방식 으로 감염된다. DOS 5.x 이전 버전이나 Windows 95 용 부트 섹 터에는 감염되지 않는다. 바이러스 후반부에 "DA'BOYS" 와 같은 문자열이 존재한다. 하지 만, 화면에는 출력되지 않는다. 은폐 기법 이나 암호화 기법은 사용하지 않는다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 82번 제 목:[정보] 생산품 바이러스 올린시각:96/10/25 11:13 읽음: 613 관련자료 없음 ----------------------------------------------------------------------------- * 생산품 바이러스 1) 이름: 생산품(Product) 바이러스 2) 다른이름: 메타(Meta) 3) 제작지: 외국산(93년 5월 발견) 4) 국내발견: 96년 3월 5) 종류: 상주형, 은폐형, 기생형(COM, EXE: 2048 바이트) 6) 내용: 생산품 바이러스는 외국산 바이러스로 93년 5월에 발견되었으나 제작지, 발견지는 알려져 있지않다. 감염된 파일이 실행되면 기억장소 최상위 영역에 상주하며 COM, EXE 파일중에서 파일 크기가 2Kbyte 이상인 파일만 감염시킨다. 또한, 감염된 파일 크기가 2048byte 증가하며 읽기 전용 파일도 감염시킬수 있다. 감염된 파일의 속성과 작성 시간은 변하지 않으며, 은폐형 바이 러스로 기억장소에 바이러스가 존재하면 감염된 파일 길이가 증 가하지 않은것처럼 보이게 한다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "Producte" "Mr.Watshira Sae-eu KMIT-NB Date 12/28/1990 BIOS" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 83번 제 목:[정보] 바로테스 바이러스 올린시각:96/11/01 11:04 읽음: 455 관련자료 없음 ----------------------------------------------------------------------------- * 바로테스 바이러스 1) 이름: 바로테스(Barrotes) 2) 다른 이름: 3) 제작지: 스페인 4) 국내발견: 95년 1월 5) 내용: 바로테스(Barrotes) 바이러스라고 불리는 이유는 매년 1월 5일 'Virus BARROTES por OSoft' 라고 출력하기 때문에 붙여졌다. COM, EXE 파일을 감염시키는 파일 바이러스로 감염된 파일은 크 기가 1310바이트 증가하는 기생형 바이러스로 기억장소 상주 후 실행되는 파일을 감염시킨다. 바로테스 바이러스의 특징적인 증상은 매년 1월 5일 수직의 막 대기가 화면을 채우고 화면에서 번쩍거리며 'Virus Barrotes por OSoft'라는 메시지가 화면에 나타난다. 자신의 일부 코드를 하드 디스크의 주부트 섹터(마스터 부트섹 터, 파티션)에 쓰므로 다음 부팅 때부터 하드 디스크로 부팅이 안되며 플로피로도 접근이 안된다. 감염된 파일 내부에는 특징 적으로 c:/command.com 같은 문자열이 포함되어 있다. 6) 변형: Barrotes.849, 1194, 1303, Barrotes.B, C, D, E, F, G 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 84번 제 목:[정보] Wulf 바이러스 올린시각:96/11/01 11:04 읽음: 476 관련자료 없음 ----------------------------------------------------------------------------- * Wulf 바이러스 1) 이름: Wulf 2) 다른이름: WereWolf.1500 3) 제작지: 프랑스(96년 5월 발견) 4) 국내발견: 96년 3월 5) 종류: 상주형, 기생형(COM, EXE 파일 1500 바이트 증가) 6) 증상: 데이터 저장시 장애 유발 7) 내용: Wulf 바이러스는 자기 자신을 WereWolf 라고 부르는 사람이 만 든 바이러스중 하나로 제작자 이름을 따서 WereWolf.1500 바이 러스로 불리기도 한다. 외국에서는 96년 5월 발견되었으며, 국내에서는 96년 3월 처음 발견되었다. 캐나다와 미국에 널리 확산되었다고 한다. 제작지 는 프랑스로 추측하고 있다. 감염된 파일이 실행되면 기억장소의 최상위 영역에 상주해서 실 행되거나 오픈되는 실행 파일을 감염시키며 감염된 파일은 1500 바이트 증가한다. 감염된 프로그램의 작성 초는 항상 6초로 유 지된다. 단, 파일 이름이 CLEAN, AVP, TB, V, SCAN, NAV, FINDV, GUARG, IBM, FV, CHKDSK, F-로 시작하는 파일은 감염에서 제외된다. 은폐형 바이러스로 기억장소에 바이러스가 존재하면 감염된 파 일의 길이가 증가하지 않은것처럼 보이게 하며 분석이 어렵도록 도스 디버그의 작동을 어렵게하는 부분이 존재한다. 내부의 암호를 풀어보면 다음과 같은 문자열을 볼 수 있다 "TBMEMXXX" "TBCHKXXX" "TBDSKXXX" "TBFILXXX" "[WULF] (c) 1995-1996 WereWolf" "CLEAN" "AVP" "TB" "V" "SCAN" "NAV" "IBM" "FINDV" "GUARG" "FV" "CHKDSK" "F-" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 85번 제 목:[정보] 빨리 바이러스 올린시각:96/11/01 11:05 읽음: 662 관련자료 없음 ----------------------------------------------------------------------------- * 빨리 바이러스 1) 이름: Quicky 2) 다른 이름: Quicky.1376, Quicksilver 3) 제작지: - 4) 종류: 상주형(실행때), 기생형(EXE 파일), 암호화 5) 내용: 빨리 바이러스는 기억장소에 상주하는 상주형 바이러스로 EXE 파일을 감염시킨다. 바이러스가 에러 처리를 하지 않아서 쓰기 방지된 드라이브에서 파일을 실행하면 쓰기방지 에러가 발생한 다. EXE 헤더와 실제 파일길이를 검사해서 일치하지 않으면 감염시 키지 않으므로 오버레이 기법을 사용하는 EXE 파일을 파괴하지 않는다. 이 바이러스는 해당 인터럽트를 가로채고 자체적으로 사용하지 않는 기능도 포함하고 있어 외부의 어떤 프로그램에서 호출될 때만 작동한다. 바이러스 내부에 체크섬 내용을 담은 파일들을 삭제하는 부분이 있으나 실제로는 작동하지 못한다. 간단한 암호화 기법을 사용 하며 암호를 풀어보면 다음과 같은 문자열이 존재한다. "CHKLIST.TAV QUICKY" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 86번 제 목:[정보] 매독 바이러스 시리즈 올린시각:96/11/01 11:05 읽음:1282 관련자료 없음 ----------------------------------------------------------------------------- * 매독 바이러스 시리즈 1) 이름: 매독(Pox) 2) 다른 이름: NPox, Evil Genius 3) 제작지: 캐나다 4) 국내발견: 96년 3월 5) 종류: 상주형, 기생형 6) 내용: 매독 바이러스가 외국에서 처음 발견된 것은 92년으로 '매독'이 라는 이름이 붙은 이유는 감염된 파일 내부에 'Pox'라는 문자열 이 존재하기 때문이다. 매독 바이러스는 메모리 상주형 바이러스로 기생형 바이러스이 다. 외국의 바이러스 제작 그룹인 누크 (NuKE) 의 Rock Steady 가 제작한 바이러스로 Pox 1.0은 COM 파일만 감염시키며, 암호 화 기법을 사용하지만 Pox 1.1은 COM, EXE 파일을 감염시키며 암호화 기법을 사용하지 않는다. 7) 변형 - 매독.955(Pox.955) 바이러스 COM, EXE 파일을 감염시킨다. 감염된 파일의 크기가 955 바이트 증가한다.파일 이름이 PROT(F-PROT.EXE), SCAN(SCAN.EXE), LEAN (CLEAN. EXE)로 끝나는 파일은 감염시키지 않는다. 기억장소에 상주하면서 C 드라이브의 주 디렉토리에 위치하는 COMMAND.COM을 우선으로 감염시킨다. 특징적인 증상은 매달 24 일 웜부팅을 하면 하드 디스크를 포맷한다. 은폐기법 (Stealth Technique)을 사용하는 바이러스로 기억장소 에 바이러스가 존재하면 감염된 파일의 길이가 증가하지 않은것 처럼 만든다. 단, 도스의 DIR 명령만 감추며 최근에 사용하는 방법은 감추지 않으므로 셸 프로그램 등에서는 알 수 있다. 또, CHKDSK.EXE를 실행하면 FAT 에러가 발생하므로 CHKDSK/F 와 같은 명령을 하면 파일이 망가지는 결과를 초래한다. 감염된 파 일 내부에는 다음과 같은 문자열을 가지고 있다. "C:\COMMAND.COM NuKE Pox V1.1 - R.S" - 한국산 매독.588(Pox_Kor.588) 바이러스 한국산 매독.588 바이러스는 96년 7월에 발견되었으며 COM 파일 만 감염시킨다. 감염된 COM 파일은 588 바이트 증가하며, 은폐 형 기법을 사용하는 암호화 바이러스이다. 감염된 파일 내부에는 다음과 같은 메시지를 가지고 있다. "Ranger..(c)Copyright 1996 PMH.." - 한국산 매독.633(Pox_Kor.633) 바이러스 한국산 매독.633 바이러스는 96년 6월에 발견되었으며, COM 파 일만 감염시킨다. 감염된 COM 파일은 633 바이트 증가하며, 은 폐형 기법을 사용하는 암호화 바이러스이다. 감염외에 특징적인 증상은 없다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "[ComeBack III+..(c)Copyright 1996 PMH.. Going Home In The SunSet.. N/E/X/T..]" - 한국산 매독.641(Pox_Kor.641) 바이러스 한국산 매독.641 바이러스는 96년 6월에 발견되었으며, COM 파 일만 감염시킨다. Pox 1.0 바이러스의 변형으로 감염된 COM 파 일은 641 바이트 증가하며 은폐형 기법을 사용하는 암호화 바이 러스이다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "ComeBack..PMH(c)1996..Park MinHark Produced. NoHarm_Version..All Right Reserved." - 한국산 매독.653(Pox_kor.653) 바이러스 한국산 매독.653 바이러스는 96년 7월에 발견된 바이러스로 COM 파일만 감염시킨다. 감염된 COM 파일은 653바이트 증가하며, 은 폐형 기법을 사용하는 암호화 바이러스이다. 매달 24일 웜부팅시 하드 디스크를 포맷하고 재부팅시킨다. 감 염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "Back-Varaiace.. (c)1996 Production Park Minhark.....GoodBy...]" - 한국산 매독.706(Pox_kor.706) 바이러스 다른이름: 매독.PMH.706, 1800-3 한국산 매독.706 바이러스는 96년 6월에 발견되었으며 COM 파일 만 감염시킨다. 감염된 COM 파일은 706 바이트 증가하며, 은폐 형 기법을 사용하는 암호화 바이러스이다. Pox 1.0 바이러스의 변형으로, 감염된 파일 내부에는 다음과 같 은 문자열을 가지고 있다. "Back Generated BY 1996 (c)P.M.H.... Going Home..I really had loved.But... I am missing crying in the rain.. HuHu..Cannot help..By You" - 한국산 매독.709(Pox_kor.709) 바이러스 한국산 매독.709 바이러스는 96년 7월에 발견되었으며 COM 파일 만 감염시킨다. 감염된 COM 파일은 709 바이트 증가하며, 은폐 형 기법을 사용하는 암호화 바이러스이다. 매달 24일 웜부팅시 하드 디스크를 포맷하고 재부팅시킨다. 감 염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "BeBack(c)CopyRight 1996 Park MinHark.. I would Come back. Wait for ME..GoodBye!.. Please..Wait.Wait..Distribute anysite.." - 한국산 매독.736(Pox_kor.736) 바이러스 다른이름: 1800 한국산 매독.736 바이러스는 96년 5월에 발견되었으며 COM 파일 만 감염시킨다. 감염된 COM 파일은 736 바이트 증가하며, 은폐 형 기법을 사용하는 암호화 바이러스이다. Pox 1.0 바이러스의 변형으로 매달 25일 웜부팅하면 하드디스크 를 포맷한 다음 시스템을 재부팅시킨다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "ComeBack(c)CopyRight 1996 Park Min-Hark. I would Come back! Wait for ME..Demolish Millitary. I Hate IT..Kill IT forever..Anyway GOOD..BY.Good By.." - 한국산 매독.871(Pox_kor.871) 바이러스 한국산 매독.871 바이러스는 96년 6월에 발견되었으며 COM 파일 만 감염시킨다. 감염된 COM 파일은 871 바이트 증가하며, 은폐 형 기법을 사용하는 암호화 바이러스이다. 감염외에 특이한 증상은 없으며, 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "SomeBack_IV..(c)Copyright 1996 PMH It is a beautiful night.. Stars are twinkting in the black sky. The white moon cools the zest of street. I drink with a view to forgeting sorrows.. Missing ber face is into the sky.. However..I Must Go..Go...Go... Listening To Goin Home of Kenny.G I'm crying and tearing,,,]" - 한국산 매독.895(Pox_kor.895) 바이러스 한국산 매독.895 바이러스는 96년 7월에 발견되었으며 COM, EXE 파일을 감염시킨다. 감염된 파일은 895 바이트 증가하며, 은폐 형 기법은 사용하지 않는다. 감염 증상이외에는 별다른 증상이 없다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "1996 Manufactured By Park Myung-Hyun in S/V/S" - 한국산 매독.903(Pox_kor.903) 바이러스 한국산 매독.903 바이러스는 96년 7월에 발견되었으며 COM, EXE 파일을 감염시킨다. 감염된 파일은 903 바이트 증가하며, 은폐 형 기법은 사용하지 않는다. 감염 증상이외에는 별다른 증상이 없다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고있다. "SvS is Alive. S/V/S is Alive. Thanx to Park Myung-Hyun.." - 한국산 매독.978(Pox_kor.978) 바이러스 한국산 매독.978 바이러스는 96년 7월에 발견되었으며 COM, EXE 파일을 감염시킨다. 감염된 파일은 978 바이트 증가하며, 은폐 형 바이러스이다. 매달 24일 웜부팅시 하드 디스크를 포맷하며, V3, TV, SCAN, F-PROT는 감염에서 제외된다. 감염된 파일 내부에는 다음과 같 은 문자열을 가지고 있다. "Iwillcomeback ComeBack..(c)CopyRight 1996 Park Min-Hark." - 한국산 매독.1016(Pox_kor.1016) 바이러스 한국산 매독.1016 바이러스는 96년 7월에 발견되었으며 COM, EXE 파일을 감염시킨다. 감염된 파일은 1016 바이트 증가하며, 은폐형 바이러스이다. 매달 24일 웜부팅시 하드 디스크를 포맷하며, V3, TV, SCAN, F-PROT는 감염에서 제외시키려 했으나 버그로 감염된다. 매달 24일 웜부팅시 하드 디스크 앞부분을 포맷한 후 재부팅시킨다. 바이러스 내부에 "Comeback" 과 같은 문자열이 존재한다. - 한국산 매독.1026(Pox_kor.1026) 바이러스 한국산 매독.1026 바이러스는 96년 7월에 발견된 것으로 COM, EXE 파일을 감염시킨다. 감염된 파일은 1026 바이트 증가하며, 은폐형 바이러스이다. 매달 24일 웜부팅시 하드 디스크를 포맷하며, V3, TV, SCAN, F-PROT는 감염에서 제외된다. 감염된 파일 내부에는 다음과 같 은 문자열을 가지고 있다. "GoingHome (c)CopyRight 1996 Park MinHark. No Hope..No Joy..HuHuHu. All are to going away.. All is fruitfulless. Remember it. I would ComeBack.." - 한국산 매독.1059(Pox_kor.1059) 바이러스 다른 이름: 매독.PMH.1059 한국산 매독.1059 바이러스는 96년 5월에 발견된 것으로 COM, EXE 파일을 감염시킨다. 감염된 파일은 1059 바이트 증가하며, 은폐형 바이러스이다. Pox 1.1 바이러스의 변형으로 V3, TV, SCAN, F-PROT는 감염에서 제외된다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "WelCome To My World...Break down..Break down" - 한국산 매독.1159(Pox_kor.1159) 바이러스 다른 이름: Pox.PMH.1159.B, Pox.1159.B 한국산 매독.1159 바이러스는 96년 6월에 발견된 것으로 COM, EXE 파일을 감염시킨다. 감염된 파일은 1159 바이트 증가하며, 은폐형 바이러스로 V3, TV, SCAN, F-PROT는 감염되지 않는다. 매달 24일 웜부팅하면 하드디스크를 포맷한 다음 시스템을 재부 팅시킨다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다. "Before long I leave this society...and go to New... I am so sad...I would not like to......But Must.. To make me progressive I would go.. >>>>>>>>>> (c)Copyright 1996 PMH<<<<<<<<<<< N/E/X/T." - 한국산 매독.1501(Pox_kor.1501) 바이러스 한국산 매독.1501 바이러스는 96년 7월에 발견된 것으로 COM, EXE 파일을 감염시킨다. 감염된 파일은 1501 바이트 증가하며, 은폐형 바이러스이나 별다른 증상은 없다. 감염된 파일 내부에 는 다음과 같은 문자열을 가지고 있다. "Don't Go.Don't Go. Don't Go! You Cannot Leave Me. YOU CAN'T! YOU MUST NOT.! Absoluely...Stay. Stay. Saty. Because I Love You. You Must Not. Accept Me. Please Accept Me Please! Come To Me Baby Come To Me Honey....! Remember Me. REMEMBER. Forever.Forever. I will always Love You. Always. Until the end of my Life. Every time I Think You. I feel infinite Joy Of Life. Give Me Your Love. I would wait for. Bye. ===[Generated By 1996 PMH in KOREA]===== 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 87번 제 목:[정보] 뇌 바이러스 올린시각:96/11/11 11:26 읽음: 721 관련자료 없음 ----------------------------------------------------------------------------- * 뇌 바이러스 1) 이름: 뇌(Brain) 바이러스 2) 다른이름: 3) 제작지: 파키스탄 (87년 10월 미국 델라웨어 대학 발견) 4) 국내발견: 88년 5월 5) 종류: 부트(플로피 디스크), 은폐형 6) 증상: 1. 일반 기억장소 크기 7Kbyte 감소 2. '(c) Brain'으로 볼륨 이름 변경 7) 내용: 뇌(Brain) 바이러스 라는 이름이 붙은 이유는 'Brain' 과 같은 문자열을 가지고 있기 때문이다. 1987년 10월에 미국의 델라웨 어 대학(Delaware University)에서 처음 발견되어 보고 되었다. 브레인 바이러스는 파키스탄 사람인 당시 26세의 앰자드 알비 (Amjad Farooq Alvi)와 19세의 배시트 알비(Basit Farooq Alvi) 가 제작한 것으로 자신이 만든 프로그램이 불법 복사되는 것을 처벌하기 위해서 바이러스를 만들어 86년 초부터 퍼트렸다는 이 야기도 전해진다. 국내에서는 88년 5월부터 퍼지기 시작했으며 국내에서 최초로 발견된 컴퓨터 바이러스로 이후 국내 백신 프로그램(Anti-Virus Program)의 효시이자 V3+의 전신인 백신(Vaccine.com) 프로그램 이 제작되었다. 뇌 바이러스는 360KB 용량을 가진 플로피 디스크만 감염된다. 디스크에서 사용하지 않는 영역에 원래의 부트 레코드와 바이러 스의 뒷부분을 보관하고, 이부분을 불량 클러스터(bad cluster) 로 표시해서 다른 프로그램이 이부분을 사용하지 못하도록 보호 한다. 감염된 디스크의 볼륨 라벨을 '(c) Brain'으로 바꾼다. 감염된 시스템은 일반 기억장소의 크기가 7Kbyte 감소하며 은폐 기법을 사용하는 바이러스로 기억장소에 바이러스가 존재할 때 부트 섹터를 읽으려고 하면 원래의 부트 섹터를 대신 보여준다. 감염된 부트 영역에는 다음과 같은 문자열이 존재한다. "Welcome to the Dungeon (c) 1986 Brain& Amjads (pvt) Ltd VIRUS_SHOE RECORD v9.0 Dedicated to the dynamic memories of millions of virus who are no longer with us today Thanks GOODNESS!! BEWARE OF THE er..VIRUS this program is catching program follows after these messeges."