『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 109번 제 목:[정보] 조쉬(Joshi) 바이러스 올린시각:97/02/06 18:26 읽음: 776 관련자료 없음 ----------------------------------------------------------------------------- * 조쉬 바이러스 1) 이름: 조쉬(Joshi) 2) 다른이름: - 3) 제작지: 인도(90년 6월 발견) 4) 국내발견: 91년 1월 이동훈씨 발견 5) 종류: 부트(주부트섹터, 플로피), 은폐형 6) 증상: 매년 1월 5일 메시지 출력. 일반 기억장소 크기 6Kbyte 감소. 7) 내용: 조쉬 바이러스는 90년 6월 인도에서 처음 발견된 부트 바이러스 로 국내에는 91년 1월 경기도 송탄시의 이동훈씨가 처음으로 발 견하였다. 조쉬 바이러스는 플로피 디스크와 하드 디스크의 주 부트 섹터 를 감염시키며, 플로피 디스크에 감염될 때는 바이러스의 뒷부 분과 원래의 부트 섹터를 보관하기 위해 디스켓의 가장 바깥 부 분에 새로운 트랙을 포맷한다. 즉, 360KB 디스크에서는 40번 트 랙을 만들고, 1.2MB 나 1.44 MB 디스크는 80번 트랙을 만들어 사용한다. 바이러스가 만든 부분은 도스에서는 인식 못하는 부분이기 때문 에 디스크 카피로 복사한 디스크로는 부팅이 되지 않는다. 또한 백신 프로그램을 사용하더라도 정상적으로 복구되지 않는다. 이 경우 부트 섹터를 새로 만들어 주어야 한다. 감염된 디스크로 부팅하면 일반 기억장소 크기를 6KB 줄이고, 기억 장소의 최상위 부분에 상주한 후 사용되는 디스크를 감염 시킨다. 은폐형 바이러스로 기억장소에 바이러스가 존재할 때 원래 부트 섹터를 대신 읽거나 쓰게 만든다. 특징적인 증상은 매년 1월 5일이 되면 부팅 과정 중에 화면에 'Type "Happy Birthday Joshi"! 라는 메시지를 출력시킨다. 이 때 사용자가 'Happy Birthday Joshi'를 입력하지 않으면 부팅이 되지 않게 만든다. 단, 흑백 모니터(허큘레스)를 사용하는 시스 템에서는 볼 수 없다 바이러스 뒷부분에서 다음과 같은 문자열을 찾을 수 있다. Type "Happy Birthday Joshi!" !$ 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 110번 제 목:[정보] 빈대(Bindae) 바이러스 올린시각:97/02/06 18:27 읽음: 728 관련자료 없음 ----------------------------------------------------------------------------- * 빈대 바이러스 1) 이름: 빈대(Bindae) 2) 다른이름: 3) 제작지: 한국, 91년 5월 이봉건씨 발견 4) 종류: 상주형(실행시), 기생형 (COM: 454) 5) 증상: 13일의 금요일에 'BINDAE VIRUS.'라는 메시지 출력 6) 내용: 빈대(Bindae) 바이러스는 한국산 파일 바이러스로 91년 5월 충 북 대학교의 이봉건씨가 처음 발견하였다. 바이러스 내부에 'BINDAE' 라는 문자열이 존재하므로 '빈대' 라 는 이름이 붙게 되었다. COM 파일만 감염시키는 상주형 바이러 스로 바이러스에 버그가 많아 제대로 동작하지 못하는 부분이 많다. 기억 장소 상주 부분에 문제가 있으며 감염될 프로그램이 JMP 명령 값을 가져야만 하며 그렇지 않으면 시스템이 정지된다. 또 한 원래 프로그램의 6번째 바이트를 복구시켜 주지 않아서 프로 그램이 동작하지 않는 경우도 있다. 구버전의 V3를 감염시키지 않는다(V3.COM, V3RES.COM). 기억장소에 상주한 다음 실행되는 667 바이트 이상의 COM 파일 을 감염시킨다. 단, 읽기 전용 파일은 감염시키지 못하며 감염 과정에서 자주 컴퓨터의 동작을 정지시킨다. 감염된 파일은 454 바이트 증가하며 파일의 작성일이 감염된 때로 바뀐다. 특징적인 증상은 13일의 금요일에 감염된 파일을 실행하면 화면 에 'BINDAE VIRUS'라는 메시지를 출력하고, 원래 프로그램을 실 행하지 않고 실행 중지시킨다. 또한, 이 날은 다른 프로그램을 감염시키지도 않는다. 다음과 같은 문자열이 암호화되어 있다. "BINDAE VIRUS." 7) 변형: 빈대.472(Bindae.472), 처단자(Terminator) 빈대.472 (Bindae.472) 바이러스 다른 이름: 서울(Seoul) 바이러스 제작지: 한국(92년 1월 박필성씨 발견) 빈대 바이러스의 변형으로 92년 1월에 발견되었다. COMMAND.COM 을 포함한 모든 COM 파일을 감염시킬 수 있다. 단, 666 바이트 이하의 COM 파일과 읽기 전용 파일은 감염시키지 않으며, 백신 III 구버전(V3.COM,V3RES.COM)은 감염시키지 않는다. 감염된 파일은 472 바이트 증가하며, 파일 작성일이 감염된 때 로 변한다. 특징적인 증상은 666개 이상의 프로그램을 성공적으 로 감염시킨 후 감염되지 않은 프로그램을 실행시키면 'Seoul Virus Societ 009'라는 문자열을 출력시키고 그 프로그램을 파 괴해 버리고 컴퓨터의 동작을 정지시킨다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 111번 제 목:[정보] 안젤리나(Angelina) 바이러스 올린시각:97/02/06 18:27 읽음:1283 관련자료 없음 ----------------------------------------------------------------------------- * 안젤리나 바이러스 1) 이름: 안젤리나(Angelina) 2) 다른 이름: Stoend.Angelina 3) 제작지: 폴란드(95년 발견) 4) 국내발견: 95년 4월 유지오씨 발견 5) 종류: 부트(플로피, 하드 디스크의 주부트섹터), 은폐형 6) 증상: 일반 기억장소 크기 1KB 감소. 7) 내용: 안젤리나(Angelina) 바이러스는 외국산 파일 바이러스로 1995년 폴란드에서 최초로 발견되었다. 국내에서는 95년 4월 유지오씨 가 처음 발견하였다. 안젤리나 바이러스에 감염된 디스크로 부팅하면 일반 기억장소 크기를 1Kbyte 감소시킨 후 사용되는 플로피 디스크와 하드 디 스크를 감염시킨다. 은폐형 바이러스로 감염된 디스크를 읽을 경우 원래 부트 섹터 를 대신 보여준다. 읽을 때만 은폐기법을 사용하기 때문에 주 부트섹터를 쓰거나 할 때는 바이러스에 직접 쓰여지게 된다. 암호화된 부분을 풀어보면 다음과 같은 문자열을 볼 수 있다. "Greetings for ANGELINA!!!/by Garfield/Zielona Gora" 참고로, Zielona Gora는 폴란드의 도시 이름이라고 한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 113번 제 목:[정보] Y4 바이러스 올린시각:97/04/19 09:28 읽음: 205 관련자료 없음 ----------------------------------------------------------------------------- * Y4 바이러스 1) 이름: Y4 2) 다른 이름: 3) 제작지: 한국(92년 5월 유회근씨 발견) 4) 종류: 기생형(COM), 비상주형 5) 증상: 작은 크기의 EXE 파일의 확장자가 COM으로 바뀜 6) 내용 Y4 바이러스는 한국산 파일 바이러스로 바이러스에 감염된 파일 이 실행되면 Y4.COM이라는 파일을 먼저 찾는 특징 때문에 Y4 바 이러스라고 명명되었다. 감염된 파일이 실행될 때마다 2개의 COM 파일을 감염시킨다. 처 음에는 C 드라이브의 주 디렉토리에서 감염시킬 COM 파일을 찾 는다. 만약 감염시킬 COM 파일이 없는 경우에는 주 디렉토리에 있는 모든 EXE 파일의 확장자를 COM으로 바꾸고, 주 디렉토리 바로 다음 단계의 서브 디렉토리를 모두 뒤져 감염시킬 파일을 찾는다. 이때도 서브 디렉토리에 감염시킬 COM 파일이 없으면 그 서브 디렉토리에 있는 모든 EXE 파일의 확장자를 COM으로 바꾸어 버 린다. 만약 C 드라이브의 주 디렉토리와 첫 번째 서브 디렉토리에서 감염시킬 COM 파일을 찾지 못한 경우에는 A 드라이브와 D드라이 브, B 드라이브의 순서로 주디렉토리와 첫 번째 서브 디렉토리 를 뒤져 감염시킬 COM 파일을 찾아 2개 파일을 감염시킨다. COM 파일을 중에서 10 ~ 64000 바이트 크기를 가지는 파일만을 감염시키며, 읽기 전용 파일도 감염시킬 수 있다. 감염된 파일 의 길이는 826 바이트 증가하며 파일 작성일은 변하지 않는다. 감염된 파일이 실행되면 현재 위치한 디렉토리에서 Y4.COM 파일 을 찾아 작성시간 중 초 단위를 62초로 바꾼다. 현재 디렉토리 이름을 저장하는 부분에 버그가 있기때문에 감염된 프로그램의 실행이 끝나도 원래 디렉토리로 복귀하지 않는 경우가 많다. 특징적인 증상은 작은 길이의 EXE 파일의 확장자가 COM으로 바 뀌고 실행되지 않는 것이다. 그러나 V3 제품군으로 치료할 경우 정상적으로 동작한다. 바이러스 마지막 부분에 다음과 같은 문 자열이 포함되어 있다."What I should do is..." 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 116번 제 목:[정보] 안티백신(Anti-Vaccine) 바이러스 올린시각:97/04/19 09:30 읽음: 462 관련자료 없음 ----------------------------------------------------------------------------- * 안티백신(Anti-Vaccine) 바이러스 1) 이름: Anti-Vaccine 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95년 3월 (윤병훈씨) 5) 종류: 비상주형, 파일 (COM, EXE), 기생형 6) 증상: 1. 백신 프로그램 삭제 2. 시스템 정지 7) 내용: 안티백신(Anti-Vaccine) 이라는 이름은 백신 프로그램을 삭 제하는 특징이 있기 때문에 붙여졌다. 95년 3월 윤병훈씨가 최초로 발견한 한국산 바이러스로 COM 및 EXE 파일을 감염 시키는 비상주형 파일 바이러스이다. 안티백신 바이러스에 감염된 파일이 실행되면 기억장소의 최상위에 자신을 재배치한다. 단, 재배치 과정에서 컴퓨터 가 정지할 수 있다. 그 후 사용중인 디스크의 주디렉토리에 서 부터 파일을 찾는다. 만약 현재 디렉토리에서 감염시킬 파일을 찾지 못하면 모든 디렉토리를 뒤져서 찾는다. 이 과정은 3개의 파일이 감염되 거나 모든 실행 파일이 감염된 것을 확인할때까지 계속된 다. 따라서, 프로그램 실행 시간이 지연된다. 파일을 찾을때는 모든 파일을 찾으며 만약 파일 이름이 V3, TV, KA 일 경우 해당 파일을 삭제한다. 이때 파일 확장자는 검사하지 않기 때문에 V3, TV, KA 로 시작되는 모든 파일이 삭제된다. 만약 백신 파일들을 삭제 시킬때 시간이 밤 11시 일때 '삑' 하는 소리와 함께 'Korea VIRUS 1995.3' 을 출력한다. COM 파일의 경우 1000~62000 파일을 감염시키며 감염된 파 일은 926 바이트 증가하게 된다. EXE 파일의 경우 1000 이 상의 파일을 감염시키며 NE 형태(윈도우즈, OS/2)이거나 내 부 오버레이 파일인 경우 감염시키지 않는다. 감염된 파일 은 1038 바이트 증가한다. 일단 감염된 파일은 파일 작성 초가 62초가 되며 62로 감염 여부를 검사하므로 파일을 62초로 만드는 (비엔나, 대만,방 랑자.II 등) 바이러스에 감염된 파일은 감염되지 않는다. 8) 변형 - 안티백신.941(Anti-Vaccine.941) 바이러스 95년 3월 이승준씨가 발견한 한국산 바이러스로 COM 파일의 경우 1000 ~ 62000 바이트의 길이를 가진 파일을 감염시키 며 감염된 파일은 941 바이트 증가하며, EXE 파일의 경우 1000 ~ 393216 바이트의 길이를 가진 파일을 감염시키며 감 염된 파일은 1053 바이트 증가시킨다. - 안티백신.998 (Anti-Vaccine.998) 바이러스 95년 3월 이건복씨가 발견한 한국산 바이러스로 COM 파일의 경우 1000 ~ 62000 바이트의 길이를 가진 파일을 감염시키 며, 감염된 파일은 998 바이트 증가한다. EXE 파일의 경우 1000 ~ 393216 바이트의 길이를 가진 파일을 감염시키며 감 염된 파일은 1110 바이트 증가시킨다. 백신 실행파일을 삭제할 때 밤 11시면 '삑' 소리와 함께 'Korea VIRUS 1995.3'이라는 메시지를 출력한다. - 안티백신.1045 (Anti-Vaccine.1045) 바이러스 95년 5월 최초로 발견된 한국산 바이러스로 COM 파일의 경 우 5432 ~ 62345 바이트의 길이를 가진 파일을 감염시키며, 감염된 파일은 1045 바이트 증가한다. EXE 파일은 5423 ~ 393216 바이트의 길이를 가진 파일을 감염시키며 감염된 파 일은 1116 바이트 증가한다. V3, TV, KA, TK, F-, TB, SC로 시작하는 파일들을 삭제한 다. 감염된 파일 내부분에 다음과 같은 문자열이 암호화 되어 있다. 'VIRUS: COREA (Type_D) -- by KOV 9192.3.27' 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 117번 제 목:[정보] 프로도(Frodo) 바이러스 올린시각:97/04/19 09:31 읽음: 193 관련자료 없음 ----------------------------------------------------------------------------- * 프로도 바이러스 1) 이름: Frodo 2) 다른 이름: 4096, IDF 3) 제작지: 이스라엘(90년 1월) 4) 국내발견: 91년 5월(윤태수 씨) 5) 종류: 파일 (COM, EXE 파일 4096 바이트 증가) 상주형, 은폐형 6) 증상: 매년 9월 22일 이후 감염된 파일을 실행하면 시스템 이 정지한다. 7) 내용: 프로도(Frodo) 바이러스는 외국산 파일 바이러스로 바이러스 내 부에 'FRODO LIVES' 라는 메시지를 출력시키는 부분이 존재하기 때문에 프로도 바이러스로 명명되고 있다. 다른 이름으로 IDF 바이러스로 불리는 까닭은 IDF(Israeli Defence Forces)에서 이 바이러스를 처음 발견하였기 때문이다. 90년 1월 이스라엘에서 처음 발견되었으며, 국내에서는 91년 5 월 당시 장평 중학교에 다니는 윤태수씨가 발견하였다. 감염된 파일이 실행되면 기억 장소에 상주한 후 실행되거나 종 료되는 파일을 감염시킨다. 감염된 COM, EXE 파일의 크기는 모 두 4096 바이트가 증가하며 감염된 파일은 작성일에 100년을 더 한 값을 기록해 둔다. DIR 명령으로는 파일 작성 년도를 표시할 때 십단위만 사용하기 때문에 작성일이 변형되었다는 사실을 알아차리기 힘들다. 또 한, 기억 장소에 바이러스가 존재하면 정상적인 부분을 대신 보 여주기 때문에 감염되지 않은 것처럼 속인다. 하지만, 기억장소 에서 제거될 때는 자료 파일의 파괴된 내용이 그대로 드러난다. 대표적인 은폐형 바이러스로 많은 도스 기능을 가로채 사용자나 프로그램이 바이러스에 감염되었다는 사실을 알지 못하게 만든 다. 즉, 파일의 길이가 증가하지 않은 것처럼 보이게 만들며 감염된 파일을 읽거나 쓰기를 시도할 때도 바이러스가 제거된 후 동작 이 수행되기 때문에 바이러스의 존재를 알 수 없게 만들고, 읽 기나 쓰기가 수행된 후 파일을 종료할 때 다시 감염된다. 특징적인 증상은 매년 9월 22일 이후에 감염된 파일을 실행하면 자체의 버그 때문에 시스템이 정지된다. 제작자의 원래 의도는 9월 22일에 디스크의 부트 레코드를 변형 해 부팅때 'FRODO LIVES'라는 말을 출력시키는 것이었으나 부트 섹터를 변형하는 부분이 손상되었기 때문에 의도대로 작동하지 않고 시스템이 정지된다. 참고로, 프로도(Frodo)라는 이름은 톨킨(tolkien)이 지은 '반지 의 지배자(The Lord of the Rings)'에 나오는 난쟁이 이름이며 9월 22일은 그의 생일이라고 한다. 도스 3.x 의 기능을 많이 사 용했기 때문에 다른 버전의 도스에서는 정상적으로 작동하지 않 는 경우가 많다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 118번 제 목:[정보] 리버스.948(Reverse.948) 바이러스 올린시각:97/04/19 09:31 읽음: 224 관련자료 없음 ----------------------------------------------------------------------------- * 리버스.948(Reverse.948) 바이러스 1) 이름: Reverse.948 2) 다른이름: Red_Spider 3) 제작지: 모름(94년 7월 발견) 4) 국내발견: 97년 2월 5) 종류: 파일(COM, EXE), 상주형 6) 내용: 리버스.948(Reverse.948) 바이러스는 93년 처음 발견된 외국산 파일 바이러스로 제작지는 알려져 있지 않다. 감염된 파일을 실행하면 기억장소 상주여부를 검사한 후 상주하 여 실행, 속성 변경, 이름 바꾸기, 오픈되는 COM, EXE 파일을 감염시킨다. 감염된 파일은 16 의 배수가 된후에 948 바이트 증 가한다. 바이러스에 암호된 부분을 풀어보면 다음과 같은 문자열이 존재 한다. "Red Spider Virus Created by Garfield from Zielona Gorain Feb 1993" "moc.dnammocexe.niamcn" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 119번 제 목:[정보] LBC 바이러스 올린시각:97/04/19 09:45 읽음: 311 관련자료 없음 ----------------------------------------------------------------------------- * LBC 바이러스 1) 이름: LBC 2) 다른이름: NjhtoLbc.A , NJH-LBC.A 3) 제작지: 한국(89년 8월 발견) 4) 종류: 부트(플로피, 하드 디스크 주 부트섹터) 5) 증상: 1. 기억장소 크기 2Kbyte 감소 2. 하드 디스크 인식 불능 6) 내용: LBC 바이러스는 89년 8월에 발견된 한국산 바이러스로 되었으며 'virse program messge Njh to Lbc' 라는 문자열이 있기 때문에 LBC 바이러스로 명명되었다. LBC 바이러스에 감염되면 일반 기억장소 크기가 2Kbyte 감소되 며 감염된 디스크로 부팅하면 감염된다. 또한, LBC 바이러스에 감염된 디스크는 뇌(Brain) 바이러스에 감염되지 않는다. 제작자의 의도는 플로피 디스크만 감염시키는 것이었으나 내부 우의 버그로 인해 하드디스크에 감염되면 하드 디스크로 부팅이 되지않으며 플로피 디스크로 부팅해서 접근하려해도 'Invalid drive specification'라는 에러 메시지가 출력된다. 7) 변형 - 양파(Damanaegi) 바이러스 양파 바이러스는 한국산 부트 바이러스로 90년 8월 당시 김천 전문대에 제학중이던 문원태씨가 최초로 발견하였다. 양파 바이 러스로 명명된 이유는 'DAMANAEGI'(양파의 일본말)라는 문자열 을 출력하면서 시스템을 재부팅시키기 때문이다. LBC 바이러스의 변형으로 LBC 바이러스와는 달리 플로피 디스크 에만 감염된다. 원래 부트 섹터 데이터를 0번 트랙, 1번 면, 3 번 섹터에 저장하며 감염되면 일반 기억장소의 크기가 2Kbyte 감 소된다. - LBC.II 바이러스 LBC.II 바이러스는 LBC 바이러스의 변형으로 LBC 바이러스와는 달리 360Kbyte 용량의 플로피 디스크만 감염시킨다. 플로피 디 스크의 가장 마지막 클러스터를 불량 클러스터로 만들고 원래의 부트 레코드와 바이러스 뒷부분을 보관한다. LBC.II 바이러스에 감염되면 일반 기억장소의 크기가 3Kbyte 감소된다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 120번 제 목:[정보] IVP 바이러스 시리즈 올린시각:97/04/22 10:47 읽음: 258 관련자료 없음 ----------------------------------------------------------------------------- * IVP 바이러스 시리즈 1) 이름: IVP(Instant Virus Production) 2) 다른 이름: 3) 제작지: 미국 4) 국내발견: 95년 하반기 5) 종류: 바이러스 제작기 6) 증상: 다양 7) 내용: IVP 바이러스는 외국의 바이러스 제작 그룹인 YAM(Youngsters Against Mcafee) 의 Admiral Bailey 가 제작한 바이러스 제작기 (Tool Kit)이다. IVP는 약간씩 변형된 바이러스 소스를 만들어 주는데 몇가지를 제외하면 근본적으로 동일한 바이러스들이다. 프로그램은 팰콘 스키즘(Phalcon/Skism)의 PS-MPC(Phalcon/Skism Mass Produced Code Generator)와 거의 동일하다. 하지만, 암호화 방법에서 다 소 차이가 있다. 제작 키트는 파스칼로 제작되었다고 한다. 국내에도 제작키트가 은밀히 유통되고 있으며, 이로 인해 97년부터 많은 변종이 발견 되고 있다. 8) 변형 - IVP.672 바이러스 97년 2월 하이텔의 윤진호씨가 최초로 발견한 한국산 바이러스 로 COM, EXE 파일을 감염시키는 파일 바이러스이다. 내부의 암 호를 풀어보면 다음과 같은 문자열이 존재한다. "SEX VIRUS. KIMTAEUNG [IVP] $" - IVP.675 바이러스 96년 10월 천리안의 장현일씨가 최초로 발견한 한국산 바이러스 로 COM(COMMAND.COM 파일 제외), EXE 파일을 감염시키는 파일 바이러스이다. 내부 암호를 풀어보면 다음과 같은 문자열이 존 재한다. "LB VIRUS, JEON UNG HYUN, [IVP]" - IVP.684 바이러스 96년 1월에 나우누리의 손승환씨가 최초로 발견한 외국산 바이 러스로 COM, EXE 파일을 감염시키는 파일 바이러스이다. IVP 자 체에 기본 예제로 들어있는 바이러스로 내부의 암호를 풀어보면 다음과 같은 문자열이 존재한다. "YAM -Youngsters Against McAfee Proudly Presents The Bubbles Virus. A Test Virus For The IVP $" - IVP.765 바이러스 97년 2월에 이재명씨가 최초로 발견한 한국산 바이러스로 COM, EXE 파일을 감염시키는 파일 바이러스이다. 감염된 파일이 실행 되면 다음과 같은 메시지를 출력한다. "[First Love MBC Saturday&Sunday PM 7:55] Seong Chan-woo, Seong Chan-hyuk Seong Chan-ok, Seong Duk-bae, Lee Hyo-kyung, Park Shin-ja, Kang Suk-hee" - IVP.944 바이러스 96년 3월 나우누리에서 발견된 외국산 파일 바이러스로 실행파 일을 감염시키는 것이 아니라 확장자가 ZIP이나 RAR인 파일에 바이러스의 일부분을 삽입시켜 압축파일을 손상시키는 특징을 가지고 있다. 내부의 암호를 풀어보면 다음과 같은 문자열이 존 재한다. "KillZIP Virus Version 1.0 Beta Test Release" 또한, 1993년 이후 매달 13일 13시에 감염된 파일이 실행되면 파일을 감염시킨 후 위의 메세지가 출력되며 컴퓨터에서 소리가 2번 발생한다. - IVP.1131 바이러스 96년 6월 이칠영씨가 최초로 발견한 외국산 바이러스로 COM 파 일(COMMAND.COM 제외), EXE 파일을 감염시키는 파일 바이러스이 다. 감염 파일이 실행되면 현재 디렉토리부터 루트 디렉토리까지 최 대 4개의 파일까지 감염시키며, COM 파일은 COMMAND.COM을 제외 한 모든 파일을, EXE 파일은 특정 알파벳으로 시작되는 파일만 감염시킨다. 1997년 7월 29일 이후 감염된 파일이 실행되면 아 래와 같은 메세지가 출력되며 컴퓨터에서 소리가 4번 출력된다. "#### IWALY Virus A type is designed by K-Group ####.. " - IVP.1676 바이러스 95년 8월 발견된 외국산 파일 바이러스로 다른 IVP 시리즈와는 달리 COMMAND.COM도 감염시키며 감염된 파일이 실행될 때 현재 디렉토리부터 루트 디렉토리에 있는 모든 COM, EXE 파일을 감염 시킨다. 감염된 파일을 4월에 실행시키면 모든 드라이브의 내용 을 파괴시킨다. 감염 파일 내부에는 다음과 같은 문자열이 존재 한다. "April-Showers UnknowN..Once again arrives April showers, The Devil came out to use his evil powers. He arose from his sacred den, To forget and do one of his evil sins. The Devil came forth to a rich occupied land, And gathered black dark clouds from storms with his bare hands. Strikes of lightening, large and bold, Murdered many from the young to old. Creatures and critters ran for their life, But the rushing waters drow ned their lives. "The devil has left!" cried from the joys, Of the few remainding survivors saved by the lord. The sunshine beamed down from the dark blue sky, The ending of April as March came by.The fears of April showers will always remain, Just wait till next year, as the Devil will stike again.." 이외에도 IVP.543, IVP.544, IVP.927 바이러스 등 많은 변종 바 이러스가 계속 발견되고 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 121번 제 목:[정보] 절규 바이러스 시리즈 올린시각:97/04/22 10:48 읽음: 379 관련자료 없음 ----------------------------------------------------------------------------- * 절규 바이러스 시리즈 1) 이름: Scream.652 2) 다른 이름: Screaming_Fist.652, Fist.652 3) 제작지: 캐나다(91년 12월) 4) 국내발견: 95년 5월(김태룡씨) 5) 종류: 상주형, 기생형(COM 파일 652 바이트 증가), 암호화 6) 증상: 기억장소 크기 1Kbyte 감소. 7) 내용: 절규 바이러스 시리즈는 캐나다에서 제작된 것으로 추정되는 외 국산 파일 바이러스이다. 감염된 파일 내부에 "Screaming_Fist" 라는 문자열이 존재하기 때문에 절규 바이러스로 명명되었다. 절규 바이러스 시리즈 초기 버전은 비상주형 바이러스로 COM 파 일만 감염시키는 것이었으나 나중에 발견된 것들은 기억장소에 상주해 COM 파일을 감염시키거나 혹은 COM, EXE 파일을 감염시 키는 것으로 변형되었다. 그중 한가지인 절규.652 바이러스가 국내에서 발견된 것은 95년 5월이며 상주형 바이러스로 감염된 파일이 실행되면 기억장소에 서 상주 여부를 검사한 후 상주한다. 기억장소에 상주하면 일반 기억장소의 크기가 1Kbyte 감소한다. 기억장소에 상주하면서 C:의 루트 디렉토리에 있는 COMMAND.COM 을 우선 감염시킨다. 일단 기억장소에 상주한 후 실행, 오픈, 삭제, 속성변경, 이름 변경되는 COM 파일들을 감염시킨다. 감염시킬 수 있는 파일은 4 ~ 64000 byte 사이의 COM 파일이며, 파일을 감염시킬 때 도스 버전을 검사해 도스 버전이 3.0 미만 일 때는 파일을 감염시키지 않는다. 감염된 파일은 652 바이트 증가한다. 암호화 바이러스로 감염된 파일을 간단히 암호화시킨다. 암호를 풀어보면 다음과 같은 문자열이 존재한다. "Screaming Fist(c)12/91C:\COMMMAND.COM" 8) 변형 - 절규.696(Scream.696) 바이러스 다른이름: Scream.II.696, Fist.696, Screaming_Fist.696 미국에서 92년 5월 발견되었고 한국에서는 94년 3월 유채준씨가 처음 발견한 외국산 파일 바이러스로 감염된 파일이 실행되면 기억장소에서 상주한 후 COM, EXE 파일을 감염시킨다. 기억장소에 상주하면 기억장소의 크기가 2Kbyte 감소하며, UMB 값이 0으로 된다. 길이가 300 ~ 64000 byte인 COM 파일과 EXE 파일을 감염시킨다. COM 파일의 경우 696 byte 증가하고 EXE 파일의 경우 512의 배 수가 된 후 696 byte 증가하므로 원래 파일 길이에 따라 696 ~ 1207 byte 증가한다. 암호화 바이러스로 자신을 간단히 암호화 시킨다. 암호를 풀어보면 다음과 같은 문자열이 존재한다. "C:\COMMAND.COM Screaming Fist II" - 절규.709(Scream.7099) 바이러스 다른이름: Stranger, Fist.709, Screaming_Fist.709 92년 7월 미국에서 처음으로 발견되고 한국에서는 92년 11월 최 초로 발견된 바이러스로 절규.696과 매우 유사한 바이러스이다. 감염 파일이 실행되면 기억장소에 상주한 후 300 ~ 62000 byte 의 COM 파일과 EXE 파일을 감염시킬 수 있다. 단, 오버레이 파 일은 감염시키지 않는다. 감염된 COM 파일은 709 byte 증가하고, EXE 파일은 512의 배수 가 된 후에 709 byte 증가하기 때문에 원래 파일 길이에 따라 709 ~ 1220 byte 증가한다. 단, 파일 작성일은 변하지 않는다. 다른 절규 바이러스와는 달리 일반 기억장소 크기를 줄이지 않 는다. 암호화 바이러스로 자신을 간단히 암호화 시킨다. 암호를 풀어보면 다음과 같은 문자열이 존재한다. "I am a stranger in a strange land..." "C:\COMMAND.COM" - 한국변형 절규.709(Scream.709.Kr) 바이러스 다른이름: Stranger.Kr, Korea_Stranger.709, Fist.709, Korea-Stranger.707 한국변형 절규.709 바이러스는 94년 4월 양승룡씨가 처음 발견 하였다. 암호화 기법을 사용한 절규.709 바이러스를 암호화 기 법을 사용하지 않게 변형시켰다. 25000 ~ 64000 byte 크기의 COM 파일과 26000 byte 이상의 EXE 파일을 감염시킨다. 감염 파일 내부에는 다음과 같은 문자열이 존재한다. "I am a Stranger in KOREA ..." "C:\COMMAND.COM" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 122번 제 목:[정보] 알파스트라이크.2000 바이러스 올린시각:97/04/29 10:27 읽음: 222 관련자료 없음 ----------------------------------------------------------------------------- * 알파스트라이크.2000 바이러스 1) 이름: 알파스트라이크.2000(Alphastrike.2000) 2) 다른이름: Alpha.4000 3) 제작지: 독일(93년 발견) 4) 국내발견: 97년 3월 발견 5) 종류: 파일(COM, EXE), 상주형, 기생형 6) 내용: 알파스트라이크.2000 바이러스(AlphaStrike.2000 virus)는 93년 에 발견된 독일산 파일 바이러스로 제작자는 경련(Tremor) 바이 러스를 제작한 자와 동일인으로 추측되고 있다. 국내에서는 97년 3월 하승실씨가 최초로 발견하였다. 파일 바이러스로 COM, EXE, SYS 파일을 감염시키며 감염된 파일 은 2000 byte 증가한다. 은폐형 바이러스로 기억장소에 바이러 스가 존재할때 감염된 파일의 크기를 정상크기로 대신 보여주는 방법 뿐 아니라 감염된 파일을 실행시키거나 읽을때 바이러스를 치료해 버린다. 따라서, 사용자는 바이러스에 감염된 상태를 알 수 없다. 그 후 해당 파일을 사용하고 닫을때 바이러스를 다시 감염시킨다. 다 음과 같은 메시지를 가끔 출력한다. 단, 아래의 메시지는 암호 화 되어있다. "<> Advanced Tactial Viral Implant by NEUROBASHER'93 / Germany" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 123번 제 목:[정보] 우주여행.1120 바이러스 올린시각:97/04/29 10:29 읽음: 212 관련자료 없음 ----------------------------------------------------------------------------- * 우주여행.1120 바이러스 1) 이름: 우주여행.1120(Cosmos.1120) 2) 다른이름: Spanska.1120.B 3) 제작지: 외국산(97년 3월 발견) 4) 국내발견: 97년 3월 발견 5) 종류: 파일(COM), 비상주형, 암호화 6) 증상: 매시 52분 20초 미만일때 화면에 메시지와 함께 별들 이 지나간다. 7) 내용: 우주여행.1120(Cosmos.1120) 바이러스는 외국산 바이러스로 자 신을 Spanska로 칭하는 사람이 만든 파일 바이러스이다. 97년 3월 발견되었으며 국내에서도 동일한 3월에 발견되었다. 비상주형 파일 바이러스로 COM 파일만 감염시키며(COMMAND.COM 파일 제외), 감염된 파일이 실행되면 현재 디렉토리와 상위 디 렉토리에서 6개의 COM 파일을 감염시킨다. 파일을 찾는 도중 ANTI-VIR.DAT 나 CHKLIST.MS 파일이 존재하면 삭제한다. 감염된 파일은 1120 바이트 증가한다. 암호화 바이러 스로 간단히 자신을 암호화 한다. 52분 20초 미만일때 화면 상단에 "To Carl Sugan, poet and sci entist,"이라는 메시지를 화면 하단에 "this little Cosmos. (Spanska 97)"라는 메시지를 출력하고 별들(흰점)이 다수 지나 간다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 124번 제 목:[정보] 예루살렘 바이러스 시리즈 올린시각:97/04/29 10:30 읽음: 561 관련자료 없음 ----------------------------------------------------------------------------- * 예루살렘 바이러스 시리즈 1) 이름: 예루살렘(Jerusalem) 2) 다른 이름: 13일의 금요일, PLO, 1813 3) 제작지: 이스라엘(87년 10월) 4) 국내발견: 89년 10월 5) 종류 : 상주형, 기생형(COM: 1813, EXE: 1808-1823) 6) 증상: 1. EXE 파일 크기가 증가함 2. 30분이 경과하면 화면의 일부가 위로 올라가며 컴퓨터 수행 속도가 감소함 3. 13일의 금요일에 실행되는 파일이 삭제됨 7) 내용: 예루살렘 (Jerusalem) 바이러스는 89년 10월 이스라엘에서 발견 되었다. 파일 바이러스의 고전이라고 할수 있으며 전세계적으로 널리 퍼졌고 가장 많은 변형을 가진 바이러스중 하나이다. COMMAND.COM을 제외한 모든 COM, EXE 파일을 감염시키지만 EXE 파일은 계속 중복 감염된다. COM 파일은 한번만 감염되며, 1813 바이트 증가한다. EXE 파일은 중복 감염되며 16의 배수가 된 후 1808 바이트 증가한다. 실행된지 30분이 경과하면 화면의 일부가 위로 올라가며 컴퓨터 의 실행속도가 떨어진다. 13일의 금요일이 되면 감염될 파일을 지워버린다(도스에서 실행하면 'Bad command or filename'을 출 력한다.) 읽기 전용 파일도 감염시킬수 있으며 원래 파일의 날짜, 시간, 속성이 그대로 유지된다. 파일 확장자가 'M' 인지 검사하는 방 법으로 COM, EXE 파일을 구별한다. 따라서 끝의 확장자가 M 인 오버레이 파일의 경우 COM 형식으로 감염될수 있다(실행안됨). 8) 변형 * 예루살렘.1414(Jerusalem.1414) 바이러스 94년 12월 발견된 한국산 바이러스로 감염외에는 별다른 특징이 없다. 원형에서 불필요한 많은 부분을 삭제해서 바이러스 길이 가 짧다. 단, EXE 파일에 중복 감염되는 버그는 그대로 가지고 있다. * 예루살렘.1730(Jeursalem.1730) 바이러스 체코에서 92년 4월에 국내에서는 97년 3월에 발견된 외국산 파 일 바이러스로 실행때 감염시키며, 감염된 파일은 1735 바이트 증가한다. 기억장소에 상주한지 30분이 지나면 화면에 'HA!HA!' 라는 메시지를 출력한다. * 예루살렘.B(Jerusalem.B) 바이러스 1988년 1월 이스라엘에서 처음 발견되었고, 국내에서는 90년 10 월 처음 발견된 외국산 파일 바이러스로 예루살렘 바이러스의 특징적인 문자열인 'sUMsDos'를 모두 0 으로 바꾼 것이다. 다른 백신은 Jerusalem.1808.Null.A 바이러스로 진단하기도 한다. 파일의 마지막 부분에 이 문자열이 없으면 아직 감염되지 않은 것으로 판단하여 감염시키기 때문에, 두가지 특징을 가진다. 첫째, 파일 마지막 부분이 0으로 채워져 있는 파일은 감염시키 지 않는다. 둘째, 어떤 EXE 파일에는 다시 감염되지 않는다. 예루살렘.B 바 이러스에 감염된 EXE 파일 마지막 부분은 버퍼 영역으로 이 부분이 0 으로 채워져 있으면 다시 감염되지 않는다. * 예루살렘.C(Jerusalem.C) 바이러스 국내에서는 90년 10월 처음 발견된 외국산 파일 바이러스로 시 간이 경과해도 컴퓨터의 수행 속도를 떨어뜨리지 않는 특징이 있다. * Jerusalem.EOS (예루살렘.EOS) 93년 12월 처음 발견된 한국산 변형 바이러스로 원형과 달리 중 복 감염되지 않으며 EXE 파일 역시 16의 배수가 된 후 1813 바 이트 증가한다. V3.COM은 감염에서 제외된다. COMMAND.COM 파일이 감염되면 부팅이 안된다(6.x 까지). 매달 14일 사용중인 디스크를 포맷하고 리부팅시킨다. 다음과 같은 문자열을 포함하고 있다. "V3.COM" "The E.O.S Virus -by SVS(Seoul Virus Society) Cheer up! SVS-009 July in 1993. Made in Korea Good luck! Don't run a Vaccine III!$" "Continuance" * 한국변형.예루살렘(Jerusalem.Kr) 바이러스 92년 2월 처음 발견된 한국산 바이러스로 Jerusalem.Frere 바이 러스의 변형이다. 매주 금요일 또는 매월 13일에 감염된 프로그 램을 실행시키면 10초 간격으로 음악을 연주한다. * 예루살렘.봉급날(Jerusalem.Paday) 바이러스 네덜란드에서 89년 11월에 국내에서는 90년 10월 최초로 발견된 외국산 파일 바이러스로 외국에서는 토요일과 일요일은 쉬고 회 사에서 금요일 봉급을 주기때문에 봉급날이라는 이름이 붙여 졌 다. 원형과 달리 13일의 금요일을 제외한 모든 금요일에 실행되는 프로그램을 삭제한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 125번 제 목:[정보] 김(KIM) 바이러스 올린시각:97/05/03 10:43 읽음: 360 관련자료 없음 ----------------------------------------------------------------------------- * 김 바이러스 1) 이름: 김(Kim) 2) 다른 이름: 3) 제작지: 한국 4) 국내발견: 95년 2월 이철씨 5) 종류: 부트(플로피 디스크) 6) 증상: 기억장소 크기 1Kbyte 감소 7) 내용: 김(Kim) 바이러스라는 이름은 바이러스 내부에 'KIM YONG'라는 문자열이 존재하기 때문에 붙여졌다. 바이러스 전체 길이가 1 섹터도 안되는 짧은 바이러스이며, 플 로피 디스크만 감염되고 하드 디스크는 감염되지 않는다. 감염 된 플로피 디스크로 부팅하면 일반기억장소의 크기를 1Kbyte 감 소시키며 기억장소의 최상위 위치에 상주한다. 일단 김 바이러스가 기억장소에 상주하면 다른 디스크를 읽을 때 다른 플로피 디스크를 감염시킨다. 단 0번 트랙이 아니거나 9번 섹터보다 크거나 0번 면이 아니면 감염시키지 않는다. 대부분의 바이러스처럼 모든 디스크의 입출력때마다 감염여부를 검사하지 않으므로 디스크 입출력 속도가 현저히 떨어지지는 않 는다. 원래 부트 레코드는 0번 트랙, 1번 면, 2번 섹터에 저장한다. 이 부분은 360Kbyte 디스크의 주 디렉토리의 마지막 2번째 섹터 에 해당한다. 하지만, 다른 디스크에서는 앞부분이므로 자료가 파괴될 가능성이 크다. 감염된 디스크는 뇌(Brain)바이러스와 LBC 바이러스는 다시 감 염되지 않는다. 바이러스 자체의 특징적인 증상은 없으며, 감염 된 부트 섹터에는 도스의 에러 메시지와 종결 종료 표시가 존재 하기 때문에 정상적인 부트 섹터로 보이지만 쉽게 감염여부를 확인할 수 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 127번 제 목:[정보] 화면출력(PrintScreen) 바이러스 올린시각:97/05/03 10:44 읽음: 283 관련자료 없음 ----------------------------------------------------------------------------- * 화면출력 바이러스 1) 이름: 화면출력 바이러스(PrintScreen virus) 2) 다른 이름: 3) 제작지: 인도 (89년 11월 인도 봄베이에서 발견) 4) 국내발견: 92년 7월 이휘동씨 발견 5) 종류: 부트 바이러스(플로피 디스크, 하드 디스크의 도스 부트 섹터) 6) 증상: 기억장소 크기 2Kbyte 감소, 화면 내용 프린터 출력 7) 내용: 화면출력 바이러스는 89년 11월 인도 봄베이에서 발견된 인도 최초의 컴퓨터 바이러스로 국내에서는 92년 7월 이휘동씨가 처 음 발견되었다. 외국산 부트 바이러스로 플로피 디스크와 하드 디스크의 도스 부트 섹터에 감염된다. 플로피 디스크에 감염될 때는 디스크의 종류에 관계없이 부트 섹터의 원래 내용을 0번 트랙, 1번 면, 3 번 섹터에 보관해 둔다. 360Kbyte의 경우 루트 디렉토리의 끝부분이라서 직접적인 자료 의 파괴는 적은 편이나 다른 용량의 디스크에서는 파일 정보가 손상되는 경우가 많다. 하드 디스크에 감염될 때는 도스 부트 섹터가 0번 실린더, 1번 면, 1번 섹터에 존재하는 것으로 가정하고, 이 위치에 바이러스 프로그램이 저장된다. 따라서 이 영역을 도스 부트 섹터로 사용 하지 않는 하드 디스크의 경우 FAT 등 중요한 자료가 파괴될 수 있다. 원래 도스 부트 섹터의 내용을 1번 실린더, 3번 면, 13번 섹터 에 보관해 둔다. 특징적인 증상으로 감염되면 기억장소 크기가 2Kbyte 감소하며, 디스크를 일정한 횟수만큼 사용한 다음에는 화면의 내용이 프린터로 출력된다. 그러나 프린터가 켜있지 않 은 상태라면 아무런 일도 발생하지 않는다.