『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 88번 제 목:[정보] HLLC.Aids_II 바이러스 올린시각:96/11/11 11:27 읽음: 645 관련자료 없음 ----------------------------------------------------------------------------- * HLLC.Aids_II 바이러스 1) 이름: HLLC.Aids_II 2) 다른이름: Aids_II.8064 3) 제작지: 90년 4월 4) 국내발견: 96년 7월 5) 종류: 비상주형, 산란형 6) 증상: 음악을 연주하고 메시지를 출력한다. 7) 내용: HLLC.Aids_II 바이러스는 외국산 바이러스로 90년 4월에 발견되 었고 국내에서는 96년 7월 발견되었다. HLLC.Aids_II 바이러스의 명명 이유는 'Aids Virus II'와 같은 메시지를 출력하고 고급 언어로 작성된 바이러스이기 때문이다. 산란형 바이러스 (Spawning virus)로 EXE 파일을 직접 감염시키 지 않고 같은 이름의 COM 파일을 만들어 바이러스를 넣어둔다. COM 파일과 EXE 파일이 동시에 같은 디렉토리에 존재하면 COM 파일이 먼저 실행되는 도스의 성질을 이용한 것이다. 산란형 바이러스중 최초로 만들어진 바이러스로 사용자가 EXE 파일을 실행시키려고 하면 COM 파일의 바이러스가 먼저 실행되 고 원래의 EXE 파일이 나중에 실행된다. 비상주형 바이러스로 감염된 프로그램이 실행되면 현재의 디렉 토리에서 감염되지 않은 1개의 EXE파일을 찾고 같은 이름의 COM 파일을 만들어서 그 파일에 바이러스 프로그램을 넣어둔다. 이 파일은 8064 바이트의 크기를 가지며 감염 당시의 작성 시간 을 가지고 있다. 감염된 파일이 실행되면 음악을 연주하면서 다 음과 같은 메시지를 출력한다. Your computer is infected with... Aids Virus II -Signed WOP & PGT of DutchCrack- 그 후 같은 이름의 EXE 파일을 실행시킨다. EXE 파일의 실행이 끝나면 다시 음악을 연주하면서 다음과 같은 메시지를 출력한다 (단, 이 메시지는 암호화 되어있다.). Getting used to me? Next time, use a Condom... 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 89번 제 목:[정보] 메가스텔스 바이러스 올린시각:96/11/11 11:27 읽음: 944 관련자료 없음 ----------------------------------------------------------------------------- * 메가스텔스 바이러스 1) 이름: 메가스텔스(MegaStealth) 바이러스 2) 다른 이름: MegaS, VLAD.MegaStealth 3) 제작지: 4) 국내발견: 95년 11월 5) 종류: 부트/파일 (플로피, 하드 디스크 주 부트섹터, COM 파일), 상주형 (실행, 오픈, 확장 오픈, 속성 관리, 이름 바꾸기때 감염), 기생형 6) 증상: 화면에 문자 출력 7) 내용: 메가스텔스(MegaStealth) 바이러스 또는 메가S(MegaS)로 불리는 이유는 바이러스 내부에 '[MegaStealth]' 라는 문자열을 가지고 있기 때문이며, VLAD.MegaStealth 라고 불리는 이유는 VLAD 라 는 바이러스 제작 그룹에서 제작했기 때문이다. 메가스텔스 바이러스는 부트/파일 바이러스로 플로피 디스크와 하드 디스크의 주부트 섹터와 COM 파일을 감염시킨다. 메가스텔 스 바이러스에 감염된 디스크로 부팅하면 바이러스는 일반 기억 장소의 크기를 2KB 줄이고 최상위에 상주한다. 이후 EXE 파일이 실행된 이후부터 실행, 오픈, 확장 오픈, 속성 변경시 파일 크기가 1000 ~ 63500 바이트의 COM 파일을 감염시 킨다. 메가스텔스 바이러스에 감염된 파일을 실행하면 일반 기억장소 의 크기를 줄이지 않고 기억장소의 최상위에 상주하며, 은폐형 바이러스로 파일 길이 등을 속이는 것이 아니라 정상적인 부트 섹터를 보여줌으로 속인다. 특징적인 증상은 좌측 상단에 문자를 출력하는 것이며(단, 컬러 모니터에서만 출력된다.) 감염된 부트 섹터와 파일에서는 다음 과 같은 문자열을 가지고 있다. "[MegaStealth] by qark/VLAD.3" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 90번 제 목:[정보] 방랑자.II 바이러스 올린시각:96/12/09 14:49 읽음: 685 관련자료 없음 ----------------------------------------------------------------------------- * 방랑자.II 바이러스 시리즈 1) 이름: 방랑자.II(Wanderer.II) 바이러스 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95년 2월 5) 종류: 파일 바이러스(COM, EXE 감염) 상주형, 기생형(감염 후 COM 파일 1756, EXE 파일 1825 바이트 증가) 6) 증상: 1. 터보백신 실행시 파일 파괴 2. 0 분에 바이러스 실행시 사용중인 디스크, CMOS 데이터 파괴 3. 이름이 CHKLIST, ANTI-VIR, SMARTCHK인 파일 파괴 7) 내용: 방랑자.II(Wanderer.II) 바이러스라는 이름이 붙은 이유는 바이 러스 내부에 'The Wanderer.II'와 같은 문자열이 존재하기 때문 이며, 방랑자 바이러스를 개량한 바이러스이기 때문이다. 기본 적인 내용은 방랑자 바이러스와 같으며 방랑자 바이러스가 가지 는 버그들을 고쳤다. 방랑자.II 바이러스는 기생형 바이러스로 1~63000 바이트 사이 의 COM 파일과 393216 바이트 사이의 EXE 파일에 감염되며 내부 오버레이를 사용하는 EXE 파일과 NE 타입의 EXE 파일 (Windows 파일과 OS/2 파일들)은 감염에서 제외된다. 그 외 파일 이름중 V, S 자가 있으면 감염에서 제외되며 파일이 름이 다음과 같이 시작되면 감염에서 제외된다. HW: HWP F-: F-PROT TB: TBAV CL: CLEAN CO: COMMAND.COM 단, 기억장소를 검사해서 바이러스 예방용 프로그램인 플루샷 플러스(FluShot plus)나 VSAFE가 존재하면 상주하지 않으며 19- 95년 3월 이전(1~2월)에는 바이러스가 활동하지 않는다. 그러 나, 시스템의 년도가 1995년이 아니면 항상 활동한다. 방랑자.II 바이러스는 은폐기법(Stealth)을 사용하는 바이러스 이다. 즉, 기억장소에 바이러스가 존재하면 감염된 파일의 길이 가 증가하지 않은것처럼 만든다. 또한, CHKDSK.EXE를 실행하면 FAT 에러를 낸다. 감염된 파일은 파일 작성초가 62초로 되어 있다. 이 방법은 많은 은폐형 바이 러스들이 감염여부를 확인하는 방법으로 같은 방법을 사용하는 다른 바이러스가 상주해 있으면 파일 길이가 이상하게 나온다. 방랑자.II 바이러스는 백신에 진단되지 않기 위해 애쓴 바이러 스이다. 즉, 외국 백신 프로그램인 F-PROT와 TBAV에 진단되지 않기 많이 노력하여 당시는 진단되지 않았으나 최신 버전부터는 다시 진단된다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다 "HA!HA!HA! [ The WANDERER.II VIRUS 1995/02/10 ] (c)Copyleft 9187-9192 by SVS / KOREA. Shit!! Turbo Vaccine! sibal.. Kaesaekki!" 방랑자.II 바이러스가 기억장소에 존재할때 CHKLIST, SMARTCHK, ANTI-VIR로 시작되는 파일이 오픈되면 해당 파일을 파괴한다. 방랑자.II 바이러스의 특징적인 증상은 다음과 같다. 1) 기억 장소에 방랑자.II 바이러스가 존재하면 터보 백신 실행 시 1/4의 확률로 'Shit!! Turbo Vaccine! sibal.. Kaesaekki!' 같은 욕설을 출력하고, 바이러스 끝부분의 내용을 겹쳐써버려 터보 백신을 파괴한다. 파일 이름의 두자만 검사하므로 TV로 시 작되는 모든 파일은 파괴된다. 2) 처음 감염된 파일이 실행될때 시스템의 분이 0분이면 1/3의 확률로 디스크를 파괴하고 CMOS 데이터를 파괴해 버린후 화면에 'HA!HA!HA! *[ The WANDERER.II VIRUS 1995/02/10 ]*]' 과 같은 문자열을 깜빡거리면서 느리게 출력한후 시스템을 정지시킨다. 3) 기억장소에 방랑자.II 바이러스가 존재할 경우는 SMARTCHK, CHKLIST, ANTI-VIR이라는 이름의 파일은 오픈시 파괴해 버린다. 8) 변형 * 방랑자.II.1783 바이러스 95년 3월 발견 / 한국산 WC로 시작하는 파일을 감염에서 제외시키는 기능을 추가했다. 또한, TBAV 용 드라이버 프로그램이 기억장소에 존재해도 램 상 주하지 않는다. 터보 백신 뿐 아니라 백신 III (파일 이름이 V3 로 시작되는 파일)도 파괴시킨다. 12345 바이트 이상의 파일에 감염된다. 감염 후 COM 파일은 1783 바이트 증가하며 EXE 파일 은 1852 바이트 증가한다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다 "[ The WANDERER.II VIRUS 1995/02/21 ] (c) Copyleft 9187-9192 by SVS / COREA Shit!! Vaccine ?! kkak .pet!!!" * 방랑자.II.1809 바이러스 한국산 / 95년 6월 발견 파괴하는 백신에 KA (Korea Anti Virus:KAV)를 추가했다. 백신 파괴시 'Shit! I hate it.. too..wet!!'를 출력한다. 14000~61234 바이트의 COM 파일과 14000~393216 바이트 사이의 EXE 파일을 감염시킨다. COM 파일은 1809 바이트 증가하며 EXE 파일은 1878 바이트 증가한다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다 " [ The WANDERER.II VIRUS 1995/02/27 ] (c) Copyleft 9187-9192 by SVS / COREA. Shit! I hate it.. too..wet!!" * 방랑자.II.1811 바이러스 파괴하는 백신에 TK(타키온 백신)를 추가했다. 감염제외 파일에 TK를 추가했다. COM 파일은 1811바이트 증가하며 EXE 파일은 1880 바이트 증가한다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다 " [The WANDERER.II VIRUS 1995/03/01 ] (c) Copyleft 9187-9192 by SVS / COREA Kaesibalnom..too..wet!!" * 방랑자.II.1845 한국산 / 95년 4월 발견 95년 3월 19일 이전에는 백신을 파괴하지 않는다. 7777 ~ 63456 바이트의 COM 파일과 7777~393216 바이트 사이의 EXE 파일을 감 염시킨다. COM 파일은 1845 바이트 증가하며 EXE 파일은 1914 바이트 증가한다. 감염된 파일 내부에는 다음과 같은 문자열을 가지고 있다 " [The WANDERER.II (TypeE) VIRUS 1995/03/02 ] (c) Copyleft 9187-9192 by SVS / COREA Ya! Sibalnoma.. Don't excute a Vaccine " * 방랑자.II.1884 바이러스 한국산 / 95년 5월 발견 95년 4월달이 아니면 백신을 삭제하지 않는다. 백신을 파괴하지 않고 메시지를 출력한 다음 해당 파일을 삭제한후 시스템을 정 지시킨다. 바이러스 제작자가 공식으로 제작한 마지막 바이러스 로 보이지만, 소스를 공개했기 때문에 변형이 많이 발생했다. 감염 파일에는 다음과 같은 내부 문자열을 가지고 있다. " [The WANDERER.II(Type G/Last Version) VIRUS 1995 /03/09] (c) Copyleft 9187-9192 by SVS / COREA.....Please, Don't excute a Vaccine.$ NEWS FLASH!! SVS WILL NOT MAKE A VIRUS... BUT SVS IS FOREVER ... GOOD-BYE!!" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 94번 제 목:[정보] 전갈 바이러스 올린시각:96/12/17 15:00 읽음:1259 관련자료 없음 ----------------------------------------------------------------------------- * 전갈 바이러스 1) 이름: 전갈(Scorpion) 2) 다른이름: 3) 제작지: 한국 (1996년 7월 발견) 4) 종류: 상주형, 기생형 (COM, EXE), 암호화 5) 증상: - 6) 내용 전갈(Scorpion) 바이러스는 한국산 파일 바이러스로 1996년 8 월 최초로 발견되었다. COM 파일과 EXE 파일을 감염시키는 파일 바이러스로 기억 장소에 상주해 실행때 파일을 감염시킨다. 시스터보(Systurbo) 바이러스의 변형으로 초기 버전은 시스터보 의 거의 유사하하며 암호화 바이러스로 간단히 암호화시킨다. COMMAND로 시작되는 파일이나 IO, OS, SC, WI, V, T 자가 포함 된 파일은 감염시키지 않는다. 또한 윈도우 파일도 감염시키지 않는다. 암호를 풀어보면 다음과 같은 문자열을 볼 수 있다. "COMMAND Welcome to Scorpion Virus Copyright (C) 1995-1" 7) 변형 : - Scorpion.1846 바이러스 한국산 (96년 8월 발견) 1996년 8월에 발견. 전갈 원형과 1바이트만 차이나고 감염된 파 일의 증가 길이가 다른 것을 제외하면 동일하다. - Scorpion.Blue.1638 바이러스 한국산 (96년 10월 발견) / 다른이름 : Blue_Scorpion 1996년 10월에 발견된 바이러스로 CO, IO, OS, WI, SC, F-, V 자가 포함된 파일 혹은 윈도우 파일은 감염시키지 않는다. 또한 암호화 바이러스로 자신을 암호화 시킨다. 가끔씩 다음과 같은 문자를 파란 바탕에 출력한다. "Welcome to Blue Scorpion Virus. Copyright (C) 1995-1996 Taek Software. All rights reserved.' - Scorpion.Blue.1902 바이러스 한국산 (96년 11월 발견) Scorpion.Red.1912 바이러스와 유사한 변종으로 기억장소에 상 주하면서 파일이 실행된 디렉토리의 모든 EXE 파일들을 감염시 킨다. 전갈.빨강.1912 바이러스와 동일하게 MDir III 2.72A 크랙 프로 그램으로 사용자들을 속이고 올라온 트로이 프로그램 (파일 이 름: MC-V272A.EXE, 파일 크기: 3770 바이트)에 포함된 바이러스 이다. CO, IO, OS, WI, SC, F-, V 자가 포함된 파일이나 윈도우 파일 은 감염에서 제외된다. 암호화 바이러스로 암호를 풀면 다음과 같은 문자열을 포함되어 있다. 밤 10시에 파일을 감염시키면 화 면에 테두리 선을 그리면서 다음과 같은 메시지를 출력한다 "Blue Scorpion Copyright (C) 1995-1996 Taek Software. | Ver Blue 1902" - Scorpion.Red.1650 바이러스 한국산 (96년 11월 발견) / 다른이름 : Scorpion.1598 1996년 11월에 발견된 전갈.1638의 변형으로 CO, IO, OS, WI, SC, F-, V 자가 포함된 파일이나 윈도우 파일은 감염에서 제외 된다. 가끔씩 다음과 같은 문자열을 붉은색 바탕에 출력한다. "Welcome to Red Scorpion Virus. Copyright (C) 1995-1996 Taek Software. All rights reserved." - Scorpion.Red.1912 / 한국산 (96년 11월 발견) MDir III 2.72A 크랙으로 속이고 올라온 프로그램 (파일 이름: MC-V272A.EXE, 파일 크기: 3803 바이트)에 포함된 바이러스이 다. 사용자들의 호기심을 악용한 대표적인 사례로 MDIR 사용자 가 많은 만큼 감염 규모도 광범위하게 확산되고 있다. 기억장소에 상주 하면서 현재 디렉토리의 모든 EXE 파일을 감염 시킨다. 특징적인 증상은 파일을 감염 시킨 시간이 밤 10시 일 때 화면에 붉은색 테두리를 만들면서 메시지를 출력하지만 너무 빨리 지나 가기 때문에 테두리 선이 번쩍이는것만 보인다. CO, IO, OS, WI, SC, F-, V 자가 포함된 파일이나 윈도우 파일 은 감염시키지 않는다. 암호를 풀어보면 다음과 같은 문자열을 볼 수 있다. "Red Scorpion | Copyright (C) 1995-1996 Taek Software. | Ver Red.1912" 이외에도 변종이 계속 발견되고 있으며, 추후 업데이트 되는 대 로 보강된 자료를 올릴 예정이다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 95번 제 목:[정보] 방랑자.M 바이러스 올린시각:96/12/24 16:19 읽음: 659 관련자료 없음 ----------------------------------------------------------------------------- * 방랑자.M 바이러스 시리즈 1) 이름: 방랑자.M(Wanderer.M) 바이러스 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95년 4월 5) 종류: 파일 (COM, EXE, 오버레이 파일) 상주형, 기생형 (COM, EXE 파일 1029 바이트 증가) 6) 내용 : 방랑자.M 바이러스로 명명된 이유는 방랑자(Wanderer) 바이러스 의 변형이기 때문이며, 바이러스 내부에 'Wanderer_M' 와 같은 문자열이 존재하기 때문이다. 방랑자.M 바이러스는 방랑자 바이러스의 특징 중에서 많은 부분 을 제외한 것으로 원형에 비해 길이가 짧으며, 강도 (Burglar) 바이러스와도 비슷한 점이 많다. 방랑자.M 바이러스는 상주형으로 3번째 실행되는 파일부터 감염 된다. 이것은 11월 30일(November_30th) 바이러스와 비슷한것으 로 바이러스 발견을 어렵게 하는 역할을 한다. 또한 COM 파일은 실행할때만 감염된다. 파일 이름중 'V'자나 'S'자가 들어 있는 것은 감염에서 제외되 며 아래의 두자로 시작되는 파일은 감염에서 제외된다. F-: F-PROT TB: TBAV CL: CLEAN WC: ? CO: COMMAND.COM HW: HWP TK: TKO EXE 파일의 경우 내부 오버레이 파일만 감염에서 제외된다. NE 타입(Windows,OS/2) 파일은 감염되며 감염된 파일은 실행이 안 된다. 다른 방랑자 계열과는 달리 은폐기법을 사용하지 않으며, 암호화 기법도 사용하지 않는다. 바이러스 내부에 'Wanderer_M' 같은 문자열이 포함되어 있다. 7) 변형: - 방랑자.M.1087(Wanderer.M.1087) 바이러스 95년 6월 발견된 변형 바이러스로 기억장소에 상주할 당시에 7분일 경우 EXE 파일을 감염시킬때 마다 '삐~' 하는 잡음이 수 초간 발생한다. 감염된 파일 후반부에 'Wanderer_M/B'라는 문자 열이 포함되어 있다. - 방랑자.M.1332(Wanderer.M.1332) 바이러스 95년 1월 발견된 변형 바이러스로 특이하게 트로이 목마 프로 그램을 내부에 포함하고 있다. 방랑자.M.1332 바이러스는 도스 3.x 이상에서 지원되는 명령어를 사용하므로 2.x 이하의 버전에 서 바이러스가 작동하지 않는다. 이 바이러스는 방랑자.M.1087 의 개량형으로 추측되며 증상은 다음과 같다. 첫째, 트로이 목마를 내부에 포함하고 퍼뜨린다. V3RES 트로이 목마와 유사한 프로그램이며 바이러스 제작자에 따르면 V3RES를 모방한 것이라고 한다. 기억장소에 상주할 때 일요일이면 DIR시 M.COM 파일을 생성한다. 따라서, M.COM을 삭제해도 바이러스를 퇴치하지 않으면 매주 일요일마다 M.COM이 다시 생성된다. 둘째, EXE 파일을 감염시킬때 출력하는 소리는 감염시 8분때 발 생한다. 암호화 기법이나 은폐기법은 사용하지 않는다. 감염된 파일 내부에서는 다음과 같은 문자열을 볼 수 있다. "M.COM, [Wanderer_M/C], [KsTro.A] [Wanderer_M/C.N[KsTro.A]3" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 96번 제 목:[정보] 니나 바이러스 올린시각:96/12/24 16:20 읽음: 543 관련자료 없음 ----------------------------------------------------------------------------- * 니나(Nina) 바이러스 1) 이름: 니나 (Nina) 2) 다른이름: 3) 제작지: 불가리아 (90년 12월) 4) 국내발견: 95년 6월 5) 종류: 상주형, 기생형(COM) 6) 내용: 니나(Nina) 바이러스는 외국산 파일 바이러스로 90년 12월 불 가리아에서 처음 발견되었으며 감염 파일 내부에 'Nina'라는 문 자열이 존재하기 때문에 니나 바이러스로 불리고 있다. 니나 바이러스는 500 ~ 65200 바이트의 COM 파일을 감염시키며, 감염된 파일은 256 바이트 증가한다. 감염된 파일은 파일 작성 시간도 바뀐다. 단, 읽기 전용 파일은 감염시킬 수 없으며, 최 상위 영역에 상주 후 실행되는 COM 파일을 감염시킨다. 7) 변형 - Nina_Kor.Mokpo(한국산 니나.목포) 바이러스 96년 8월에 발견된 한국산 변형 바이러스로 특징적인 증상은 기억장소에 상주 할 때 1/256 확률로 'MOKPO Vir.' 이라는 문자 열을 화면에 출력하는 것이다. 감염된 파일은 379가 바이트 증 가한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 97번 제 목:[정보] 미니3 바이러스 올린시각:96/12/24 16:20 읽음: 573 관련자료 없음 ----------------------------------------------------------------------------- * Miny3 바이러스 시리즈 1) 이름: 미니3(Miny3) 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95년 3월 5) 종류: 상주형, 기생형(COM) 6) 증상: 변형마다 다름 7) 내용: 미니3(Miny3) 바이러스라는 이름이 붙은 이유는 바이러스 내 부에 '[Miny3]'와 같은 문자열이 존재하기 때문이다. 미니3 바 이러스는 한국산 바이러스 시리즈로 94년 3월 원형이 발견된 후 많은 변형 바이러스들이 발견되었다. 미니3 바이러스는 기억장소 상주후 실행되는 COM 파일을 감염시 키는 기생형 바이러스로 1234 ~ 65000 바이트의 COM 파일만 감 염시키며, 읽기 전용 파일은 감염시키지 못한다. 백신 프로그램인 V3+는 감염되지 않으며, 감염된 파일은 256 바 이트 증가하고 파일의 작성일이 현재 컴퓨터의 날짜와 시간으로 바뀐다. 파일을 감염시키는 것을 제외하고 특별히 다른일은 하 지 않는다. 하지만, 쓰기 방지탭이 붙은 디스크에서 파일을 실 행하면 쓰기 방지 에러가 발생한다. 또한, 도스 6.x 이상의 COMMAND.COM 파일이 감염되면 그 하드 디스크나 플로피 디스크로는 부팅이 되지 않는다. 위에서 설명 한 증상들은 미니3.218, 미니3.300 바이러스에서도 발생하며 미 니3.321 바이러스부터는 쓰기 방지탭을 붙인 디스크에서 파일을 실행해도 에러가 발생하지 않으나 미니3.666 바이러스 이전까지 는 COMMAND.COM에 감염되면 부팅이 되지 않는다. 감염된 파일 내부에는 'Miny3'라는 문자열을 볼 수 있다. 8) 변형 - 미니3.218(Miny3.218) 바이러스 95년 8월 발견된 변형 바이러스로 미니3 계열중 가장 작은 크기 를 가지고 있다. 미니3 바이러스 시리즈 제작자가 아무개 BBS에 서 바이러스 제작강좌를 하면서 제작한 바이러스이다. 바이러스 길이를 최대한 적게한 바이러스로 COM 파일을 실행때 감염하는것 빼고 다른일을 하지 않는다. 또한 다른 미니3 바이 러스와는 달리 길이에 상관없이 감염된다. 감염된 파일에서 특 별히 볼 수 있는 문자열은 없다. - 미니3.300(Miny3.300) 바이러스 95년 4월 발견된 변형 바이러스 읽기 전용 파일을 감염시킬 수 있다. 하지만 속성을 원래대로 바꾸지 않아 항상 읽기 / 쓰기가 가능한 상태로 변한다. 감염된 파일은 역시 현재 컴퓨터 시간으 로 변하게 된다. 특징적인 증상은 파일 감염시 1/8 확률로 '삑' 소리를 낸다. - 미니3.321(Miny3.321) 바이러스 95년 3월 발견된 변형 바이러스로 쓰기 방지탭이 붙은 플로피 디스크에서 쓰기 방지 에러가 발생하지 않게 개선되었다. 감염 된 파일 내부에는 'SVS!'와 'Miny3'와 같은 문자열을 포함되어 있다. - 미니3.333(Miny3.333) 바이러스 95년 3월 발견된 변형으로 미니3.321의 개량형으로 원래 파일의 날짜를 유지하도록 변형되었다. 감염된 파일 내부에는 'Miny3' 와 같은 문자열이 포함되어 있다. - 미니3.444(Miny3.444) 바이러스 95년 3월 발견된 변형으로 미니3.333의 개량형이지만 많은 부분 이 달라졌다. 기존의 미니3 바이러스가 파일을 실행했을때만 감 염되는 것에 비해 미니3.444 바이러스는 실행은 물론 오픈, 속 성 관리, 이름 바꾸기, 확장 오픈(4.x이상에서 지원)때도 감염 되도록 변형되었다. 1234 ~ 65000 바이트 사이의 COM 파일에 감염되며 감염 여부 검 사시 사용되는 값도 바뀌었다. 감염된 파일 내부에는 다음과 같 은 문자열이 포함되어 있다. 'SVS!', 'Korea', '[Miny3]' - 미니3.500 (Miny3.500) 바이러스 95년 3월 발견된 변형으로 도스 버전이 5.x 이하일때 C 드라이 브의 주 디렉토리의 COMMAND.COM을 감염시킨다. 6.x 이상에서는 기억장소에 상주를 마친 다음에 COMMAND.COM을 감염시키지는 않 지만 COMMAND.COM이 오픈이나 실행될때 감염되면 역시 부팅이 되지 않는다. 확장 오픈때도 경우에 다 감염되도록 하였으며 1234 ~ 64000 바 이트 사이의 파일을 감염시킨다. - 미니3.566 (Miny3.566) 바이러스 95년 4월 발견된 변형으로 은폐형이다. 파일 이름중 'V'가 존재 하면 감염되지 않으며, 기억장소에 TBAV의 바이러스 예방 프로 그램이나 VSAFE가 존재하면 상주하지 않아 자신의 감염 여부를 숨긴다. 1234 ~ 63000 바이트의 COM 파일을 감염시키며 감염된 파일의 작성초가 항상 62초로 변경되지만 DIR 명령으로는 분까지만 출 력되므로 확인할 수는 없다. - 미니3.666(Miny3.666) 바이러스 95년 12월 발견된 변형으로 COM 파일만 감염되지만 파일 이름에 'V' 자가 포함된 파일이나 'MM' 자가 포함된 파일은 감염되지 않는다. COMMAND.COM을 감염시키지 않는것은 도스 6.0 버전 이상에서는 COMMAND.COM을 검사하는 기능이 있어 바이러스에 감염되면 부팅 이 되지 않기 때문이다. 기억장소 상주전에 VSAFE, TBAV 백신 프로그그램의 상주 유무를 검사한다. 1234 ~ 63000 바이트 사이의 COM 파일을 감염시키며, 은폐형 바 이러스로 기억장소에 바이러스가 존재할 때 DIR 명령으로는 파 일의 증가 길이를 알 수 없다. 감염 후 대표적인 증상은 파일을 감염시킬 당시의 시간이 7분에 30초 이하이면 다른 미니3 계열 의 목록을 출력한다. "Miny3.Family: 256,300,321,333,444,500,512,543,567,666." - Miny3.716(Miny3.716) 바이러스 96년 10월 발견된 변형으로 COMMAND.COM 파일을 제외한 COM 파 일을 감염시키지만 파일 크기가 1234 바이트 보다 작으면 감염 되지 않는다. 감염된 파일 크기가 716바이트 증가하지만 파일의 날짜/시간 및 속성은 변하지 않는다. - 미니3.777(Miny3.777) 바이러스 95년 8월 발견된 변형으로 도스 6.0의 COMMAND.COM 파일도 감염 되도록 개량된 바이러스이다. 실행이나 오픈 등에는 'M'자가 포 함된 경로나 파일은 감염되지 않으며, 제작자는 원래 777 바이 트를 가지게 만들 생각이었으나 실제 감염된 파일 크기가 777 바이트 증가하는 것이 아니라 651 바이트 증가한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 99번 제 목:[정보] 11월 30일 바이러스 올린시각:96/12/24 16:22 읽음: 597 관련자료 없음 ----------------------------------------------------------------------------- * 11월 30일 (November_30th) 바이러스 1) 이름: 11월 30일 (November_30th) 2) 다른이름: 예루살렘.11월 30일(Jerusalem.November_30th) 3) 제작지: 한국 4) 종류 : 상주형, 기생형 (COM, EXE) 5) 증상 : 11월 30일 우측 상단에 '1130' 출력 6) 내용 : 11월 30일 (November_30th) 바이러스는 90년 5월에 발견된 한국 산 바이러스로 매년 11월 30일 모니터 화면 우측 상단에 '1130' 이라는 글자가 깜빡이기 때문에 이같은 이름이 붙여졌다. 예루 살렘 바이러스의 변종이기 때문에 예루살렘.11월 30일 바이러스 라고도 한다. 11월 30일 바이러스는 과거 케텔 I 시절에 자료실에서 발견된 것으로 TFF (Turbo File Finder)라는 프로그램에 처음 발견되었 다. 당시 케텔 게시판에 주의 공문이 올라왔고 대구에 사는 어 떤 대학원생이 자신이 제작했다면서 사과 게시판을 올렸다고 한 다. 사과 내용은 후배의 교육용으로 제작되었고 즉시 지웠지만 본인 도 모르게 외부로 유출되었다고 한다. 원래 바이러스는 11월 30 일에 '1130'이라는 말을 출력하는 기능이 없었는데 다른 사람이 변형한 것으로 추측하며 TFF.EXE도 원래 자신이 사용하려고 만 든 것인데 바이러스와 같이 누군가에 의해서 유출되었다고 해명 했다. 이 바이러스는 3번째와 4번째가 모두 M인 파일은 감염시키지 않 으며(COMMAND.COM), COM 파일은 2000 바이트 증가하며 EXE 파일 은 16의 배수가 된 후 2000 바이트 증가한다. 감염된 파일의 속성은 바뀌지 않지만 날짜는 감염된 시간으로 바뀐다. 기억장소에 상주된 후 11번째 실행되는 파일부터 감염 된다. 특이하게 예루살렘 바이러스에 대한 치료 기능을 가지고 있다. 11월 30일 바이러스가 기억장소에 상주할 때 예루살렘 바이러스 가 존재하면 이를 무력화시킨다. 일요일 바이러스를 무력화 시 키는 부분도 존재하지만 버그로 시스템을 정지시킨다. 예루살렘 바이러스에 감염된 COM 파일이나 EXE 파일을 실행하면 치료해주고 자신도 감염되지 않는다. 하지만, COM 파일의 경우 뒷부분에 붙은 5바이트를 제거하지 않기 때문에 감염되기 전에 비해 5바이트 증가한다. 원형 예루살렘 바이러스만 치료할 수 있다 7) 변형 - 11월 30일.1975(November_30th.1975) 바이러스 95년 2월에 발견된 변형 바이러스로 감염된 파일 후반부에 'Happy Birthday, Eun Heui !'라는 문자열이 존재하고 바이러스 길이가 약간 작아졌다. - 11월 30일.2026(November_30th.2026) 바이러스 90년 8월에 발견된 변형 바이러스로 감염된 파일 후반부에 'Happy Birthday,Eun Heui !'(생일 축하합니다, 은희씨!) 라는 문자열이 존재하고 파일 길이가 조금 더 크다는 점 이외에는 원 형과 같다. - 11월 30일.2027(November_30th.2027) 바이러스 91년 11월에 발견된 변형 바이러스로 11월 30일.2026 바이러 스가 가지고 있는 문자열을 1 바이트 증가시켰으며, 11월 30일. 2026 바이러스가 감염된 파일은 11월 30일.2027 바이러스에 감 염되지 않는다(반대의 경우도 마찬가지). 하지만 11월 30일 바 이러스와 11월 30일.B 바이러스에 감염된 파일은 감염된다. 11월 30일.2026 바이러스에 감염된 파일에 포함되는 문자열인 'Happy Birthday,Eun Heui !' 중에서 <,> 문자 뒤에 공백 문자 를 추가하였다. - 11월 30일.B(November_30th.B) 바이러스 90년 8월에 발견된 변형 바이러스로 매년 5월 18일 모니터 화 면의 우측 상단에 '5.18' 이란 문자를 깜빡이는 것 빼고는 원형 과 동일하다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 101번 제 목:[정보] 11월 17일 바이러스 올린시각:96/12/26 10:59 읽음:1113 관련자료 없음 ----------------------------------------------------------------------------- * 11월 17일.855 바이러스 1) 이름: 11월 17일.855(November_17th.855) 2) 다른이름: 3) 제작지: 이탈리아 4) 국내발견: 93년 11월 발견 5) 종류: 상주형, 기생형 (COM, EXE) 6) 증상: 11월 17일 디스크 데이터 파괴. 7) 내용: 11월 17일 (November_17th) 바이러스라는 이름이 붙은 이유는 매년 11월 17일 디스크의 데이터를 파괴하기 때문이다. 92년 1 월 이탈리아에서 발견되었으며, 오픈, 속성 변경, 실행되는 파 일들을 감염시킨다. COMMAND.COM을 포함한 60000 바이트 이하의 COM 파일과 내부 오 버레이 파일을 제외한 EXE 파일을 감염시킨다. 감염된 파일은 855 바이트 증가한다. 단, 확장자를 검사해서 감염시키므로 오 버레이 파일은 감염되지 않는다. 파일이름이 SCAN과 CLEAN으로 시작되는 파일은 감염시키지 않는 다. 특징적인 증상은 11월 17일 파일을 감염시키고 디스크의 데 이터를 파괴하는 것이다. 감염된 파일 내부에는 다음과 같은 문 자열을 볼 수 있다. "SCAN.CLEAN.COMEXE" 8) 변형 - 11월 17일.921(November_17th.921) 바이러스 96년 6월 발견된 변종으로 60000 바이트 이하의 COM 파일과 내 부 오버레이를 포함하지 않는 EXE 파일을 감염시키며 감염된 파 일은 921 바이트 증가한다. 11월 17일 감염 파일 실행 후 데이 터를 파괴한다. "SCAN.CLEAN.COMEXE" 와 같은 문자열을 가지고 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 102번 제 목:[정보] 자유(Liberty) 바이러스 올린시각:97/01/27 09:29 읽음: 391 관련자료 없음 ----------------------------------------------------------------------------- * 자유 바이러스 1) 이름: 자유(Liberty) 2) 다른 이름: - 3) 제작지: 인도네시아 4) 국내발견: 90년 12월 박종수씨 5) 종류: 부트/파일, 상주형, 기생형(COM, EXE 파일 감염 후 2857-2872 byte 증가) 6) 증상: 부트 감염시 일반 기억 장소 크기 10 Kbyte 감소 1. 5분 간격으로 10초 동안 화면과 프린터에 출력되는 글들이 'MAGIC!!'으로 바뀌어 출력 2. 45분 후 이러한 증상과 더불어 컬러 화면의 최상단에 'M A G I C ! ! !' 이라는 메시지 출력 7) 내용: 자유 바이러스(Liberty virus) 라는 이름이 붙은 이유는 바이러 스 내부에 'Liberty'와 같은 문자열을 가지고 있기 때문이다. 90년 5월 오스트레일리아에서 발견되었으며, 인도네시아산 바이 러스로 추측된다. 국내에서는 90년 12월 박종수씨에 의해서 발 견되었다. 감염된 파일이 실행되면 기억 장소의 최상위에 위치한 다음 실 행되는 파일을 감염시시며 1280~61339 바이트의 COM 파일, 704 Kbyte 이하의 EXE 파일 및 오버레이 파일을 감염시킨다. 단, 읽기 전용 파일은 감염시킬 수 없다. 디스켓에 남아 있는 영역이 없어서 더 이상 파일을 감염시키지 못할때는 부트 섹터 를 감염시킨다. 감염된 부트 바이러스는 별도로 작동한다. 부트 바이러스는 플로피 디스크만 감염시킨다. 플로피 디스크에 감염될 때 바이러스의 뒷부분과 원래의 부트 레코드를 보관하기 위해서 40번 트랙의 0번 면을 새로 포맷한다. 360KB 용량의 디스크는 문제가 없지만 0 ~ 79번 트랙을 가지는 720KB, 1.2MB, 1.44MB 디스크는 감염 과정에서 데이터가 손상되 는 경우도 발생한다. 감염된 디스크로 부팅하면 일반 기억장소의 크기가 10Kbyte 감 소하며, 기억 장소의 최상위에 상주한 후 사용되는 플로피 디스 크와 실행되는 프로그램을 감염시킨다. 처음 부팅하고 5분 30초 정도가 경과하면 10초 동안 화면과 프 린터에 출력되는 글들이 'MAGIC!!'으로 바뀌어서 출력되며, 직 렬 포트를 사용하는 경우 'L@FHB'가 대신 입출력된다. 이런 현상은 약 5분 간격으로 반복되며, 반복될 때마다 간격이 18초씩 줄어들게 된다. 이런 현상이 11번째 반복될 때(처음 부 팅후 약 45분 경과후) 이런 현상과 더불어 컬러 화면의 최상단 에 'M A G I C ! ! !' 이라는 메시지가 출력된다. 12번째는 이러한 증상이 나타나는 대신에 컴퓨터가 다시 부팅되 거나 동작이 정지한다. 감염된 플로피 디스크로 11번째 부팅을 하면 부트 섹터에 존재하는 바이러스는 스스로 제거된다. 바이러스 내부에 'Liberty'와 같은 문자열이 존재하며, 감염된 COM 파일 내부에서는 '-M Y S T I C-COPYRIGHT (C) 1989-2000, by SsAsMsYsEsL' 라는 문자열을 찾을 수 있다. 단, EXE 파일이 나 부트 레코드에서는 암호화되어 찾을 수 없다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 103번 제 목:[정보] 나타스(Natas) 바이러스 올린시각:97/01/27 09:29 읽음: 748 관련자료 없음 ----------------------------------------------------------------------------- * 나타스 바이러스 1) 이름: Natas(나타스) 2) 다른 이름: S-Bug.Natas 3) 제작지: 미국 (94년 6월 발견) 4) 국내발견: 95년 2월 김순용씨 발견 5) 종류: 부트(플로피, 하드 디스크 주 부트섹터) / 파일 (COM , EXE), 상주형, 은폐형, 다형성 6) 증상: 1/512 확률로 디스크 파괴 감염된 파일의 생성 년에 100년 추가 7) 내용: 나타스(Natas) 바이러스는 외국산 부트/파일 바이러스로 94년 6 월 미국에서 최초 발견되었고 특히 멕시코에 널리 확산되어 많 은 피해가 발생했었다고 한다. 미국의 바이러스 제작 그룹인 팰콘스키즘(Phalcon/Skism)의 성 직자(Priest)가 제작했으며 바이러스 제작 잡지에 소스가 공개 되어 많은 변형이 발생했다. 성직자 바이러스는 우리 나라에서 도 많은 피해가 발생한 약탈자 2(Predator_II) 바이러스를 제작 하기도 했다. 국내에서 나타스로 명명된 바이러스는 나타스 바이러스의 변형 으로 스페인에서 94년 7월 발견되었으며, 4744 바이트의 길이를 가지기 때문에 나타스.4744 바이러스로도 불린다. 나타스 바이러스는 부트/파일 바이러스로 감염된 디스크로 부팅 하거나 감염된 파일을 실행하면 기억장소에 상주한후 사용되는 디스크나 파일을 감염시킨다. 감염된 플로피 디스크나 하드 디스크로 부팅할 경우 일반 기억 장소 크기를 6KB 줄인후 사용하는 디스크나 파일을 감염시킨다. 하드 디스크의 경우 주부트섹터를 감염 시키지만 동일인이 제작 한 쟈칼 (Jackal) 바이러스에 감염된 디스크는 감염시키지 않는 다. 감염된 파일을 실행하면 기억장소에 상주한후 디스크와 파 일을 감염시킨다. 이 경우 일반 기억장소의 크기를 줄이지는 않 는다. 상주형, 은폐형 바이러스로 기억장소 상주시 감염된 파일의 길 이를 정상적으로 속이기도하고 감염된 부분 대신 정상적인 부분 을 보여 주는 등의 은폐기법을 사용한다. 단, CHKDSK*.*(CHKDSK.EXE), AR*.*(ARJ.EXE), LH*.* (LHA.EXE), PK*.*(PKZIP, PKUNZIP, PKLITE 등), BACK(BACKUP), MODEM(?) 을 실행할 경우 은폐기능을 잠시 정지시킨다. 다형성 바이러스로 감염될때마다 다르게 자신을 암호화시킨다. 부트 섹터와 COM 파일과 EXE 파일을 감염시키며, 감염된 파일은 4744 바이트 증가한다. 단, 작은 길이의 COM 파일이나 내부 오 버레이를 포함하고 있는 EXE 파일은 감염시키지 않는다. 특징적인 증상으로는 기억장소에 상주할때 1/512의 확률로 하드 디스크의 일부분을 파괴하고 디버그로 분석할 경우 디스크를 파 괴한다. 감염된 파일은 파일 작성년에 100년이 추가되지만 기억 장소에 바이러스가 존재할때는 추가된 100년을 빼서 사용자를 속인다. 내부의 암호를 풀어보면 "Natas"라는 문자열을 볼 수 있는데 이 것은 사탄(Satan)을 거꾸로 나열한 문자이다. 8) 변형: - Natas.4786(나타스.4786) 바이러스 외국산 / 국내 발견: 96년 7월 -Natas.4988(나타스.4988) 바이러스 외국산 / 국내 발견: 96년 10월 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 104번 제 목:[정보] 절반(One_Half) 바이러스 올린시각:97/01/27 09:29 읽음: 740 관련자료 없음 ----------------------------------------------------------------------------- * 절반 바이러스 1) 이름: One_Half(절반) 2) 다른 이름: One_Half.3544 3) 제작지: 오스트리아(94년 5월 발견) 4) 국내발견: 95년 1월 윤용진씨 발견 5) 종류: 부트(하드 디스크: 주부트섹터) / 파일(COM, EXE) 기생형(3544 바이트 증가), 은폐형, 다형성 6) 증상: 하드 디스크 자료 일부분 암호화, 가끔 메시지 출력 7) 내용: 절반(One_Half) 바이러스는 외국산 부트, 파일 바이러스로 94년 5월 미국과 유럽 지역에서 처음 발견되었다. 제작지는 오스트리 아로 추측되고 있으나 확실하지 않다. 감염된 파일을 실행하면 기억 장소에서 자신의 상부 여부를 검 사하고 상주하고 있지 않을 경우, 주 부트섹터를 감염시킨후 기 억 장소에 상주해서 COM, EXE 파일을 감염시킨다 감염된 파일은 3544 바이트 증가하지만 SCAN, CLEAN, FINDVIRU, GUARD, NOD, VSAFE, MSAV(주로 백신 프로그램)는 감염시키지 않 으며 감염된 하드 디스크로 부팅할 경우 일반 기억 장소 크기가 4Kbyte 감소한다. 은폐형 바이러스로 기억장소에 존재할 때 감염된 주 부트섹터를 읽거나 쓸 경우 감염전의 주 부트섹터를 대신 읽거나 쓰게 만든 다. 감염된 파일 길이를 정상적으로 보이게 만드는 은폐 기법을 사용한다. 단, CHKDSK 프로그램이 실행될동안 이런 은폐 기법이 실행되지 않게 한다. 다형성 바이러스로 암호를 푸는 부분을 복잡하게하여 백신 제작 을 지연 시켰다. 하드 디스크의 일부분은 암호화 시켜두는데 이 영역의 암호를 풀지 않고 바이러스를 제거할 경우 많은 하드 디 스크의 자료를 잃어 버릴 수도 있다. 가끔 다음과 같은 메시지를 출력한다. "Dis is one half. Press any key to continue..." 암호를 풀어보면 위의 문자열이 존재하고 다음과 같은 문자열 또한 존재한다. "Did you leave the room ?" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 106번 제 목:[정보] 처단자(Terminator) 바이러스 올린시각:97/01/30 16:38 읽음: 485 관련자료 없음 ----------------------------------------------------------------------------- * 처단자 바이러스 1) 이름: 처단자(Terminator) 2) 다른 이름: SVS.526, Terminator.526 3) 제작지: 한국, 91년 6월 윤환중씨 발견 4) 종류: 기생형(COM: 526), 상주형(실행시) 5) 증상: 매년 12월 25일 메시지 출력 6) 내용: 처단자(Terminator) 바이러스는 91년 6월 윤환중씨가 처음 발견 한 바이러스로 12월 25일 화면에 'TERMINATOR 1991. Made by SVS-009' 라는 말을 출력시키지 때문에 처단자나 SVS 라는 이름 을 가지게 되었다. 빈대 바이러스의 변형으로 동일인이 제작한 것으로 생각된다. 빈대 바이러스의 버그를 많이 해결했으나 여전히 많은 버그를 가지고 있다. 감염된 파일이 실행되면 기억장소에 상주한 후 4 개의 프로그램 이 실행된 후 실행되는 777 바이트 이상의 COM 파일을 감염시킨 다. 단, 읽기 전용 파일은 감염시킬 수 없으며 읽기 전용 파일 도 감염시킬 수 없다. 구 버전의 V3 프로그램들은 감염 시키지 않는다(V3.COM, V3RES .COM) 특징적인 증상은 매년 12월 25일 감염된 프로그램을 실행 하면 'TERMINATOR 1991. Made by SVS-009' 라는 메시지를 출력 하고 사용자의 입력을 기다리는 것이다. 이때 아무 키나 누르면 원래의 프로그램이 실행된다. 단, 위의 문자열은 암호화 되어 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 107번 제 목:[정보] 바이웨이(Byway) 바이러스 올린시각:97/01/30 16:38 읽음:1060 관련자료 없음 ----------------------------------------------------------------------------- * 바이웨이 바이러스 1) 이름: Byway(바이웨이) 2) 다른 이름: Dir-II.Byway, Dir-II.TheHnd, 3) 제작지: 베네주엘라(95년 여름 발견) 4) 국내발견: 95년 10월 왕정귀 씨 5) 종류: 상주형, 연결형, 은폐형, 다형성 6) 증상: 클러스터 깨짐, CHKLIST.MS 생성, 메시지 출력 후 음악 연주 7) 내용: Byway(바이웨이) 바이러스는 외국산 파일 바이러스로 95년 여름 전세계적으로 발견된 바이러스이다. 베네주엘라산으로 추정되며 곧 유럽과 미국에서 발견되었고 베 네주엘라, 멕시코, 불가리아, 영국, 미국 등에 널리 퍼졌다고 한다. 국내에서는 95년 10월 왕정귀씨에 의해서 최초로 발견되 었다. Dir-II 바이러스를 개량한 바이러스이기 때문에 Dir-II.Byway로 불리기도 하며, 내부에 "TheHnd"라는 문자열이 존재하기 때문에 "Dir-II.TheHnd" 로 불리기도 한다. 상주형 바이러스로 감염된 파일이 실행되면 기억장소에 상주한 다음 모든 디스크 입출력 과정을 가로채기 때문에 감염 속도가 매우 빠르다. 연결형 바이러스로 실행파일(COM, EXE)에 직접 감염되는 것이 아니라 디렉토리에 저장된 프로그램의 시작 위치 를 바이러스가 위치하는 클러스터로 바꾸어 줌으로써 해당 파일의 직접 감염을 대신한다. 확장자가 COM 이거나 EXE인 파일만 감염시키며, 다른 확장자는 감염시키지 않는다. 감염된 프로그램마다 바이러스가 따로 존재 하지 않고 CHKLIST.MS 라는 파일에 정보를 넣어둔다. 바이웨이 바이러스에 감염되게 되면 2048 바이트의 크기를 가진 CHKLIST.MS라는 파일이 생기는데 이 때문에 원래 CHKLIST.MS 파 일은 MSAV(마이크로소프트 안티 바이러스)에서 생성하는 것으로 알고 있었던 사용자들이 많은 혼란을 겪었다. 이후 바이러스에 걸리면 CHKLIST.MS가 생긴다는 얘기를 잘못 들 은 사용자들이 정상적인 CHKLIST.MS 파일을 바이웨이 바이러스 에 걸린게 아닌가 오해하는 경우도 많았다. 또한 바이웨이 바이러스가 기억장소에 존재하지 않을 때 CHKDSK 나 NDD를 사용하면 할당 에러(allocation error)가 발생하며 오 히려 자료를 파괴하는 결과를 초래한다. 또한, 기억 장소에 바이러스가 존재하지 않을 때 감염된 파일을 복사할 경우 바이러스 프로그램만 복사된다. 해당 파일을 실행 하면 아무일도 하지 않고 실행을 중지하는 것처럼 보이지만 다 른 많은 파일을 감염시킨다. 은폐형 바이러스로 기억장소에 바이러스가 존재할 경우 감염된 파일을 읽으려고 하면 원래 파일 내용을 대신 보여주는 등 은폐 기법을 사용한다. 다형성 바이러스가 자신을 암호화시킨다. 특징적인 증상은 96년 이후 다음과 같은 공식에 의해 발생한다. 월 * 2 + 2 의 날 즉, 1월 4일 , 2월 6일, 3월 8일 등의 날에 3시, 6시, 9시, 12 시, 15시(오후 3시), 18시 (오후 6시), 21시 (오후 9시)에 다음 과 같은 메시지를 출력하고 연주되는 음악은 베네주엘라 국가를 연주한다. "TRABAJEMOS TODOS POR VENEZUELA!!!" 참고로 위의 메시지는 스페인어로 번역하면 "우리 모두 베네주 엘라를 위해 일하자!!!" 이다. 암호를 풀어보면 다음과 같은 문자열을 볼 수 있다. "The-HndV CHKLIST.MS " 그런데 바이러스의 은폐 기법을 역이용하면 백신 없이도 치료 할 수 있다. 실행 파일만 감염되므로 COM 이나 EXE 파일을 다른 확장자로 복사하면 된다. COPY *.COM *.C!! COPY *.EXE *.E!! 그리고 모든 COM, EXE 파일을 지운다. DEL *.COM DEL *.EXE 플로피로 부팅한후(기억 장소에 바이러스가 상주하지 않게) 다 시 원래의 확장자로 바꾸어 주면 된다. REN *.C!! *.COM REN *.E!! *.EXE 다소 복잡한 방법이지만, 백신이 없을 때는 유용하게 사용할 수 있다. 물론 V3+를 사용하면 손쉽게 치료 할 수 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 108번 제 목:[정보] 세가지음악.1784(Three_tunes.1784) 바이러스 올린시각:97/02/06 18:26 읽음: 516 관련자료 없음 ----------------------------------------------------------------------------- * 세가지음악.1784 바이러스 1) 이름: 세가지음악.1784(Three_tunes.1784) 2) 다른 이름: - 3) 제작지: 외국산(알려진바 없음) 4) 국내발견: 96년 12월 김도년씨 발견 5) 종류: 상주형(실행, 오픈시), 기생형(COM, EXE 파일 1784 바이트 증가), 암호화 6) 증상: 3가지 음악 연주. 7) 내용: 세가지음악.1784 바이러스는 외국산 바이러스로 별도의 제작지 나 발견일이 알려져 있지 않다. 국내에는 96년 12월말 하이텔의 김도년씨가 최초로 발견하였다. 감염된 파일이 실행되면 기억장소에 상주한 후 실행되거나 오픈 (Open)되는 COM이나 EXE 파일을 감염시키며, 암호화 바이러스로 감염될 때마다 암호화 방법이 틀리다. 또한, 백신 제작이 어렵 도록 분석을 곤란하게 하는 부분이 포함되어 있다. 특징적인 증상은 매년 6월 감염된 파일을 6시에 실행했을 경우 '시간 + 분'을 4로 나누었을 때 3이 아닌 경우 3가지 음악이 출 력된다. 기타 특징적인 문자열은 존재하지 않는다.