『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 128번 제 목:[정보] 배트맨(Batman) 바이러스 올린시각:97/05/07 12:15 읽음: 379 관련자료 없음 ----------------------------------------------------------------------------- * 배트맨 바이러스 1) 이름: 배트맨(Batman) 2) 다른이름: Batman_II 3) 제작지: 외국 4) 국내발견: 96년 9월 박강순씨 발견 5) 종류: 파일(EXE), 암호화, 상주형 6) 내용: 배트맨 바이러스는 EXE 파일만 감염시키는 외국산 파일 바이러 스로 감염된 파일이 실행되면 먼저 메모리에 상주한 후 현재 디 렉토리부터 파일을 찾아 감염시킨 후 주디렉토리까지 감염시킨 다. 메모리 상주형 바이러스지만 특이하게도 프로그램이 실행되었거 나 오픈(Open)했을 때 감염되는 것이 아니라 컴퓨터가 쉬고 있 을 때 파일을 하나씩 감염시킨다. 감염된 EXE 파일의 날짜, 시 간, 속성은 변하지 않으나 감염된 파일 크기는 2844byte 늘어난 다. 감염된 파일이 실행되면 5번에 걸쳐 암호를 풀면서 실행되며 감 염된 파일 내부에는 다음과 같은 문자열이 암호화되어 있다. "Bat Man II", "\NAWIAT" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 130번 제 목:[정보] 죽음.1364(Dead.1364) 바이러스 올린시각:97/05/07 12:17 읽음: 334 관련자료 없음 ----------------------------------------------------------------------------- * 죽음.1364 바이러스 1) 이름: 죽음.1364(Dead.1364) 2) 다른이름: 3) 제작지: 외국 4) 국내발견: 1997년 4월 최병원씨 발견 5) 종류: 파일(COM, EXE), 비암호화 6) 증상: 특정시간 후 데이터 파괴 7) 내용: 외국산 파일 바이러스로 내부에 특별한 문자열은 없으나 감염된 EXE 파일의 체크썸(CheckSum)값이 Hex값으로 DE/AD의 값을 가지 며 COM 파일은 12번, 13번째의 값이 Hex값으로 DE/AD의 값을 가 지기 때문에 죽음.1364 바이러스로 이름이 부쳐졌다. 최초로 감염된 파일이 실행되어 감염되었을 때 현재 시스템에서 감염된 파일의 경우 아무런 문제가 없으나 외부에서 최초로 감 염시킨 파일을 256번 실행시키면 256번째 실행될 때 하드 디스 크의 데이터를 파괴한다. 감염된 파일이 실행되면 메모리에 상주하고 COMMAND.COM 파일을 먼저 감염시킨 후 활동을 시작한다. 파일의 제작, 오픈(Open), 종료, 실행시 감염되며 읽기 전용파일도 감염된다. 감염된 파일은 1364byte 증가하나 원래 파일크기가 16의 배수가 아니면 1 ~ 15byte의 쓰레기 데이터가 파일에 추가되어 실제 파 일 크기는 1379byte까지 증가할 수도 있다. 감염된 파일의 날짜 와 시간은 변경되지 않는다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 131번 제 목:[정보] 자살.843(Suicidal.843) 바이러스 올린시각:97/05/08 17:57 읽음: 468 관련자료 없음 ----------------------------------------------------------------------------- * 자살.843 바이러스 1) 이름: 자살.843(Suicidal.843) 2) 다른이름: 3) 제작지: 외국 4) 국내발견: 97년 4월 유병국씨 발견 5) 종류: 파일 (COM, COMMAND.COM 제외), 비상주형 6) 증상: 매년 10월 15일 시스템 데이터 파괴 후 메지시 출력 , ZIP 파일 삭제 7) 내용: 외국산 파일 바이러스로 감염 파일 내부에 "Suicidal"이라는 문 자열이 있는 관계로 자살 바이러스로 이름이 부쳐졌다. COM 파 일만 감염시키며 감염된 파일의 크기는 843byte 늘어난다. 감염된 파일이 실행되면 현재 디렉토리부터 루트 디렉토리까지 이동하면 파일을 감염시키며, 한 번에 파일을 5개까지만 감염시 킨다. 감염되는 것과 동시에 해당 디렉토리에 있는 ZIP 파일과 anti-vir.dat 파일을 삭제한다. 읽기 전용 파일도 감염시키며, 감염된 파일의 날짜와 속성은 변 하지 않는다. 감염된 파일 내부에는 다음과 같은 문자열이 포함 되어 있다. "[TU.Suicidal.Dream.B] (c) 1996 The Freak/The Underground From the hypnotic spectre of wake I scream Locked in the depths of a Suicidal Dream..." 매년 10월 15일이면 현재 디스크의 데이터를 파괴하며, 다음과 같은 메시지를 출력하고 시스템을 정지시킨다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 134번 제 목:[정보] FCL 바이러스 올린시각:97/05/15 13:40 읽음: 824 관련자료 없음 ----------------------------------------------------------------------------- 'FCL 바이러스'에 대해서 한국산 바이러스인 'FCL' 바이러스에 대한 상담 건수만 해도 하 루 10여건이 넘는 등 최근 1~2달 사이에 문의 및 피해가 속출하 고 있습니다. 연구소가 분석해 본 결과 이 바이러스는 감염과 함께 감염된 파 일 자체에 손상을 입히는 악성 바이러스로 현재까지 뚜렷한 치 료 방법이 없어 사용자들의 피해가 계속되고 있는 형편입니다. 현재 국내외 기타 백신 프로그램으로는 대부분 정상적으로 진단 조차 되지 않으며, V3+는 감염된 파일을 95% 이상 진단합니다. V3 제품군 비등록 사용자라면 일단 5월 9일 업로드된 V3+ 최신 버전인 784 버전을 사용하시기 바라며, 만약 784 버전으로 검색 했을 때 FCL 바이러스가 발견된다면 다음 방법으로 조치하시기 바랍니다. 1) 감염되지 않은 A:로 부팅한다. 2) V3+로 검색했을 때 FCL 바이러스에 감염된 것으로 진단된 파 일은 동일한 이름의 정상적인 파일로 덮어씌우거나 해당 파 일을 옮겨(MOVE) 놓아 사용하지 않도록 한다. V3제품군 이외에 다른 백신 프로그램에서 FCL 바이러스가 진단 된다는 보고도 있었습니다만 연구소 자체적으로 확인해 본 결과 시스템 다운 및 진단 부정확 등의 사례가 많아 권해드리기는 어 렵습니다. FCL 바이러스의 자체적인 버그로 인해 감염된 파일을 완벽하게 치료하는 것은 대단히 어려운 실정입니다만 연구소는 현재 이러 한 위험을 최소화할 수 있는 별도의 치료 프로그램을 신속히 개 발 중에 있습니다. 참고로 FCL에 대한 증상을 말씀드리면 FCL에 감염된 파일은 실 행시 대부분 다운되며, 변종이 있습니다. 특정일에 문자열을 출 력시키고 프로그램을 종료하는데 이때는 화면이 정지한 것처럼 보여 키보드를 눌러도 화면에 나타나지 않으므로 시스템이 다운 된 것처럼 보입니다. 또한 메모리에 상주하고 있으면 감염된 파 일 크기를 4944byte 줄여서 보여줍니다. 참고: V3+ Ver.783에서 이야기 7.0의 정상적인 Printcap.com 파 일을 FCL 바이러스에 감염된 것으로 잘못 진단하는 문제 가 발생하여 V3+ Ver.784에서 수정하였습니다. 그러나 V3+ Ver.784도 정상적인 QM.COM 파일을 FCL 바이 러스에 감염된 것으로 잘못 진단하는 문제가 발견되어 이 문제를 수정중에 있습니다. 다음 버전에서는 이같은 문제 가 다시 일어나지 않도록 더욱 많은 주의를 기울이겠습니 다. - 포럼지기 드림. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 135번 제 목:[정보] 플라스틱폭탄.2900 바이러스 올린시각:97/05/17 09:59 읽음: 291 관련자료 없음 ----------------------------------------------------------------------------- * 플라스틱폭탄.2900 바이러스 1) 이름: 플라스틱폭탄.2900(Plastique.2900 virus) 2) 다른이름: AntiCAD.2900.Plastique.A, Jeru-5 Jerusalem.Taiwan.2900 3) 제작지: 대만(90년 6월 발견) 4) 국내발견: 91년 3월 송승영씨 발견 5) 종류: 파일(COM, EXE), 상주형, 기생형 6) 증상: ACAD.EXE를 실행하면 A, B, C, D 드라이브의 모든 디스크 데이터가 지워지고 CMOS 데이터가 파괴된 후 시스템 정지, 4분 30초마다 음악 연주 7) 내용: 외국산 파일 바이러스로 대만에서 제작된 것으로 알려진 플라스 틱 바이러스나 안티캐드(AntiCAD) 바이러스의 변형으로 알려져 있다. 바이러스 내부에 "Plastique"라는 같은 문자열이 존재해 플라스 틱폭탄 바이러스로 불리기도 하고, 오토캐드(ACAD.EXE)를 파괴 하는 특징 때문에 안티캐드(AntiCAD) 바이러스로 불리기도 한 다. 감염된 파일이 실행되면 기억장소에 상주한 후 실행되거나 오픈 되는 COM, EXE 파일을 감염시킨다. 단, COMMAND.COM 파일은 감 염에서 제외된다. 감염된 COM 파일의 크기는 2900byte 늘어나며 EXE 파일은 16의 배수가 된 후에 2900byte 늘어나므로 원래 파 일 길이에 따라서 2900~2915byte 늘어난다. 읽기 전용 파일도 감염시킬 수 있으며, 감염된 파일의 속성이나 작성 시간은 변하지 않는다. ACAD.EXE(오토캐드 프로그램)를 실행하면 A, B, C, D 드라이브 의 모든 데이터를 삭제하고, CMOS 데이터 역시 삭제한 후 컴퓨 터의 동작을 정지시킨다. CMOS 데이터를 파괴시키는 방법은 나 중에 많은 국산 바이러스에서도 사용되게 된다. 감염된 파일을 실행시킨지 31일 후에 또다시 실행시키면 컴퓨터 의 속도가 느려지거나 4분 30초마다 음악을 연주한다. 이때 웜부팅(Ctrl+Alt+Del)을 시도하면 속도가 느려지는 경우에 는 A, B, C, D 드라이브의 모든 데이터를 삭제하고, CMOS 데이 터를 파괴한 후 시스템을 다운시키며, 음악이 연주되던 경우에 는 CMOS 데이터만 삭제한 후 컴퓨터를 다운시킨다. 또한, 4000번 이상 키보드를 누를 때까지 디스크에 자료를 저장 하지 않았을 경우에는 자료가 저장되지 않게 만든다. 내부에 암 호화된 부분을 풀어보면 다음과 같은 문자열을 볼 수 있다. "ACAD.EXE COMMAND.COM.COM.EXECopyright (C) 1988, 1989 by AB T Group." 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 136번 제 목:[정보] 피피(PIPI) 바이러스 올린시각:97/05/17 10:00 읽음: 281 관련자료 없음 ----------------------------------------------------------------------------- * 피피 바이러스 1) 이름: 피피(Pipi) 2) 다른 이름: 예루살렘.피피(Jerusalem.PiPi) 3) 제작지: 한국산으로 추정 4) 국내발견: 92년 8월 권소희씨 5) 종류: 파일(COM, EXE, 오버레이 파일), 상주형, 기생형 6) 증상: 1. PI_PI 라는 메시지가 출력됨 2. 화면 글자가 한 칸씩 오른쪽으로 어긋나며 출력됨 7) 내용: 피피 바이러스로 명명된 이유는 바이러스 내부에 'PI_PI' 와 같 은 문자열이 존재하고 출력하기 때문이다. 피피(PiPi) 바이러스 는 한국산으로 추정되나 외국에서도 비슷한 시기에 발견된 관계 로 정확한 출처는 확인하기 어렵다. 그 까닭은 국내에서 발견되지 않은 변형들이 외국에 존재하고 있고, 외국에 알려지지 않은 바이러스들이 국내에 존재하기 때 문이다. 동부 유럽(구 소련지역)에서도 피피 바이러스가 발견된 것으로 보고되었다. 기생형 바이러스로 COMMAND.COM 파일을 포함한 COM 파일과 EXE 파일, 오버레이 파일, 읽기 전용 파일을 감염시킬 수 있으며, 감염된 COMMAND.COM으로 부팅할 경우 부팅이 되지 않는다. EXE 파일의 경우 내부 오버레이를 사용하는 파일은 감염후 파괴 되고 복구할 수 없으며, 감염된 파일의 작성일도 감염 시점으로 변경된다. COM 파일 크기는 1552byte 늘어나며, EXE 파일 크기 는 16의 배수가 된 후 1552byte 늘어나기 때문에 원래 길이에 따라 1552~1567byte 늘어난한다. 특징적인 증상으로는 30번 이상 상주한 파일에서 1/4의 확률로 감염된 파일이 실행된 후 22분이 지나면 다음 줄의 글자가 한자 씩 오른쪽으로 밀려서 출력되고, 허큘레스 카드(흑백)를 사용할 때는 상주한 후 40분이 경과하면 화면의 오른쪽 상단에 'PI_PI' 라는 글자가 깜빡거린다. 8) 변형: - 피피.B(PiPi.B) 바이러스 95년 12월 김수홍씨가 최초로 발견한 한국산 변형 바이러스로 국산 백신 프로그램에서 진단되지 않도록 앞부분만 변형한 바이 러스이다. 나머지 부분은 피피 바이러스와 동일하다. - 피피.1478(PiPi.1478) 바이러스 94년 1월 서인수씨가 최초로 발견한 한국산 변형 바이러스로 피 피.오로라(PiPi.Aurora), 오로라(Aurora) 바이러스로 진단되기 도 한다. 원형과 동일하게 감염된 후 22분이 지나면 화면에서 글자가 한 칸씩 오른쪽으로 어긋나며 출력되지만 원형이 흑백(허큘레스)에 서만 출력되는 것에 비해 컬러 모니터에서 증상이 나타나며, 원 형과 달리 'AURORA'라는 메시지를 출력한다. - 피피.1548(PiPi.1548) 바이러스 94년 3월 이재호씨가 최초로 발견한 한국산 변형 바이러스로 화 면에 문자열을 출력하지는 않지만 감염된 파일이 상주한 후 일 정 시간이 경과하면 CMOS 데이터를 삭제하는 특징을 갖고 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 137번 제 목:[정보] IVP.871 바이러스 올린시각:97/05/17 10:00 읽음: 291 관련자료 없음 ----------------------------------------------------------------------------- * IVP.871 바이러스 1) 이름: IVP.871 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1997년 5월 박준희씨 발견 5) 종류: 파일(COM, EXE), 기생형, 암호화, 비상주형 6) 증상: 1996년 이후 2월 3일 10시 50분에 감염된 파일 실행시 메시지 출력 7) 내용: COMMAND.COM 파일을 포함한 COM, EXE 파일에 감염되는 한국산 변형 파일 바이러스로 감염된 파일이 실행되면 현재 디렉토리부 터 주디렉토리까지 EXE 파일과 COM 파일을 3개까지 감염시킨다. 감염된 파일 크기는 781byte 늘어나며, 감염된 파일의 날짜, 시 간, 속성은 변하지 않는다. 특징적인 증상으로는 1996년 이후 2 월 3일 10시 50분에 감염된 파일이 실행되면 감염 과정 종료 후 다음과 같은 문자열을 출력한다. "Hello,you! My name is Virus!!!! ~~~~~ Are you want to kill me?? Good!" 단, 감염 파일 내부에는 다음과 같은 메시지가 포함되어 있다. "Fuck Ivp!! 0074My name is...==> Kkkkkkekekeke!!!" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 138번 제 목:[정보] 우주여행.1500(Cosmos.1500) 바이러스 올린시각:97/05/17 10:00 읽음: 526 관련자료 없음 ----------------------------------------------------------------------------- * 우주여행.1500(Cosmos.1500) 바이러스 1) 이름: Cosmos.1500 2) 다른이름: Spanska 3) 제작지: 외국 4) 국내발견: 1997년 5월 문상철씨 발견 5) 종류: 파일(COM, EXE), COMMAND.COM 제외, 비상주형, 암호화 6) 증상: 매시 30분에 30초 이내에 감염된 파일 실행시 시스템 사용 불능 7) 내용: 우주여행.1500 바이러스는 지난 3월에 발견된 우주여행.1120 바 이러스 제작자가 제작한 것으로 보이는 외국산 파일 바이러스로 COM, EXE파일을 감염시키며, 파일 이름의 3, 4번째가 'MM' 이면 해당 파일은 감염시키지 않는다. 감염된 파일 크기는 1500byte 늘어나며, 감염된 파일의 날짜와 속성은 변하지 않는다. 감염된 파일이 실행되면 현재 디텍토리 부터 모든 디렉토리를 찾아다니면서 COM 파일과 EXE 파일을 각각 3개씩 감염시킨다. 파일 중에서 총 6개를 감염시켰거나 더 이상 감염시킬 파일이 없으면 시간을 검사하여 매시 30분이고 30초 이내이면 화면이 마치 스크린세이버처럼 목성 표면이 움직이는듯한 그림이 출력 된다. 이 동작이 계속되기 때문에 다른 작업을 할 수가 없게되 므로 시스템을 다시 부팅해야만 한다. 화면 상단에 다음과 같은 문자열이 출력된다. "Mars Land, by Spanska (coding a virus can be creative)" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 139번 제 목:[정보] 스위스 부트(Swiss_Boot) 바이러스 올린시각:97/05/29 18:08 읽음: 468 관련자료 없음 ----------------------------------------------------------------------------- * 스위스 부트 바이러스 1) 이름: 스위스 부트(Swiss_Boot) 2) 다른이름: Swiss_Army 3) 제작지: 외국 4) 국내발견: 1997년 5월 장길현씨 발견 5) 종류: 부트(플로피, 하드 디스크의 도스 부트섹터) 6) 증상: 일반 기억장소 크기 3Kbyte 감소. 매년 2월 7일 데이터 파괴 후 메시지 출력 7) 내용: 플로피, 하드 디스크의 도스 부트섹터를 감염시키는 외국산 부 트 바이러스로 감염되면 일반 기억장소의 크기는 3Kbyte 줄어든 다. 부팅할 때부터 플로피 디스크 드라이브에 있던 디스켓은 감염되 지 않고 디스켓의 교환작업이 있거나 새로 넣은 디스켓만 감염 된다. 특징적인 증상으로 매년 2월 7일 디스크의 앞부분 데이터를 겹 쳐쓰므로 저장되어있던 데이터들을 파괴시키며, 다음과 같은 메 시지와 함께 '삑' 소리를 출력한다. "Schafft die Schweizer Armee ab !" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 141번 제 목:[정보] BW.799 바이러스 올린시각:97/06/13 18:11 읽음: 203 관련자료 없음 ----------------------------------------------------------------------------- * BW.799 바이러스 1) 이름: BW.799 2) 다른이름: 3) 제작지: 외국 4) 국내발견: 97년 5월 신재호씨 5) 종류: 파일(COM, EXE), 암호화, 상주형, 기생형 6) 증상: 7) 내용: PS-MPC 바이러스와 유사한 부분이 있으며, 감염 파일 메모리 상주 후 실 행되는 프로그램과 파일 열기를 하는 COM, EXE 파일을 감염시킨다. 감염된 파일 크기는 799byte 늘어나며, 파일 바이러스임에도 불구하고 특 이하게 일반 기억장소 크기를 2kbyte 줄여서 줄인 영역에 상주하며, 바이 러스가 메모리에 상주하고 있을 때는 감염된 파일 크기를 줄여 감염전 상 태로 보여준다. 상주후 불규칙하게 모니터 임의의 줄이 지나가는 현상을 일어나지만 아주 빨리 지나가므로 발견이 어렵다. 감염된 파일 내부에는 다음과 같은 문자 열이 존재한다. "[BW] [Archer] MnemoniX '94.2 " 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 145번 제 목:[정보] CPW.1527 바이러스 올린시각:97/06/18 15:32 읽음: 136 관련자료 없음 ----------------------------------------------------------------------------- * CPW.1527 바이러스 1) 이름: CPW.1527 2) 다른이름: chille 3) 제작지: 칠레 4) 국내발견: 95년 1월 이동명씨 5) 종류: 파일(COM, EXE), 암호화 6) 증상: 5월 27일, 9월 11일, 12월 28일 실행 파일 삭제. 7) 내용: 칠레에서 발견된 외국산 파일 바이러스로 감염된 파일이 실행되 면 기억장소에 상주해서 실행, 오픈, 속성 변경되는 COM, EXE 파일을 감염시키며, 감염된 파일 크기는 1527byte 늘어난다. 특징적인 증상은 매년 5월 27일, 9월 11일, 12월 28일에 실행되 는 파일을 삭제하며, 파일 이름이 다음과 같은 파일은 삭제시킨 다. "GUARD guard CPAV SCAN CHKVIRUS CLEAN TOOLKIT VSAFE CHKLIST.CPS" 암호화 바이러스로 암호를 풀면 다음과 같은 문자열을 볼 수 있 다. "CPW fue hecho en Chile en 1992, VIVA CHILE MIERDA!" "C:\COMMAND.COM" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 150번 제 목:[정보] 돌.유령(Stoned.Spirit) 바이러스 올린시각:97/06/18 16:26 읽음: 268 관련자료 없음 ----------------------------------------------------------------------------- 돌.유령 바이러스 1) 이름: 돌.유령(Stoned.Spirit) 2) 다른이름: 3) 제작지: 외국 4) 국내발견: 97년 6월 임진복씨 5) 종류: 부트(주부트섹터 감염), 비암호화, 상주형 6) 증상: 일반 기억장소크기 1kbyte 감소 7) 내용: 많은 변형 바이러스를 가지고 있는 외국의 유명한 부트 바이러 스인 돌(Stoned) 바이러스 시리즈 중의 하나로 내부에 다음과 같은 메시지를 갖고 있다는 점과 돌.유령 바이러스에 감염되면 일반 기억장소크기 1kbyte 감소한다는 것 이외에는 별다른 특징 이 없다. "SPIRIT (c) MW"@ 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 152번 제 목:[정보] 730 바이러스 올린시각:97/06/25 16:07 읽음: 187 관련자료 없음 ----------------------------------------------------------------------------- * 730 바이러스 1) 이름: 730 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 96년 5월 5) 종류: 파일(COM), 비암호화, 상주형, 기생형 6) 증상: 화면 스크롤 상태 변형 7) 내용: 감염된 COM 파일 크기는 730 ~ 745byte 늘어나지만 해당 파일의 날짜, 시간은 변하지 않는다. 파일 크기가 1000 ~ 64000byte 사이의 파일만 감염시키고 감염 된 파일이 실행되면 메모리에 상주한 후 파일의 실행이나 속성 에 관련된 작업이 있을 경우 현재 디렉토리의 모든 COM 파일을 감염시킨다. 단, 파일 이름이 V2, V3, V4, V5, V6, V7(V3+의 자체 진단 기능 을 피하기 위한 것으로 보인다.)으로 시작하는 파일은 감염시키 지 않는다. COM 파일이 많은 디텍토리에서 파일을 감염된 파일을 실행시키 면 실행 속도가 저하되며 하드 디스크를 읽는 소리가 난다. 특징적인 증상으로 메모리에 처음 상주할 때의 시간을 기억하고 있다가 '시'값이 2만큼 증가하면(예: 1시 59분에서 3시로, 1시 1분에서 3시로) 화면 스크롤을 변경시켜 위로 스크롤을 아래로, 아래로 스크롤을 위로 스크롤되게 한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 153번 제 목:[정보] TPVO.3783 바이러스 올린시각:97/06/27 13:30 읽음: 511 관련자료 없음 ----------------------------------------------------------------------------- * TPVO.3783 1) 이름: TPVO.3783 2) 다름이름: 3) 제작지: 외국 4) 국내발견: 96년 11월 5) 종류: 부트(MBR), 파일(COM, EXE, NE, DLL), 상주형, 기생형 6) 증상: 특이점 없음 7) 내용: 기존의 바이러스와 달리 메모리 상주시 MCB(Memory Control Block)를 조작하고 MCB 체인의 마지막 부분에 위치하며 일반 프 로그램이 이 영역에 접근하지 못하도록 한다. UMB(Upper Memory Block)가 설치된 시스템에서는 UMB 영역에 상주한다. 메모리 상주시 도스의 시스템 영역에서 바이러스로 제어권이 넘 어가 도스와 동일한 수준에서 작동하며 바이러스 자체를 도스의 데이터 영역으로 등록한다. 따라서 바이러스 내부 정보가 변형 되면 운영체제에 이상이 발생할 만큼 긴밀한 관계를 가지고 있 다. 주부트영역을 감염시킨 후에 주부트영역을 읽으면 감염전 상태 를 보여주는 은폐 기능을 사용한다. 프로그램 실행, 파일 열기 및 닫기, 속성(Attribute)변경, 파일명 바꾸기를 통해 광범위한 형태로 도스, 원도우 파일(New Excutable Format)을 감염시키지 만 디렉토리 읽기, 파일 위치 변경, 읽기, 작성 날짜보기 등 파 일 관련 명령어를 사용할 때는 은폐 기능을 써서 감염전 상태를 보여주어 사용자를 속인다. 감염되면 시스템 영역이 바이러스에 의하여 수정되므로 시스템 이 불안정해진다. 운영체제와 긴밀한 형태를 유지하므로 아무것 도 상주하지 않은 상태에서 메모리를 치료하고 그후 부트, 파일 영역을 치료해야 완전하게 치료할 수 있다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 154번 제 목:[정보] 아랍.834(Arab.834) 바이러스 올린시각:97/07/02 14:57 읽음: 149 관련자료 없음 ----------------------------------------------------------------------------- * 아랍.834 바이러스 1) 이름: 아랍.834(Arab.834) 2) 다른이름: 834 3) 제작지: 외국 4) 국내발견: 97년 5월 김언수씨 5) 종류: 파일(COM, COMMAND.COM 제외), 상주형 6) 증상 : 감염된 파일이 실행되거나 감염된 파일 수가 256개가 되면 하드 디스크의 MBS 데이터를 변형시켜 시스템이 부팅되지 않는다. 7) 내용 : 외국에서는 1991년에 2월에 발견되었으며, 메모리에 상주한 후 COMMAND.COM 파일을 제외한 COM 파일을 감염시킨다. 감염된 파일이 실행되면 바이러스를 메모리에 상주된 후 실행되 는 파일이 감염된다. 파일의 크기는 834byte 늘어나지만 파일의 날짜, 시간, 속성은 변하지 않는다. 파일 크기가 27 ~ 64445byte인 파일만 감염시키고 감염된 파일 이 실행되거나 파일을 감염시킬 때마다 하드 디스크의 MBS(주부 트섹터)에 해당 정보를 보관하고 있다가 256번째가 될 때마다 MBS의 앞부분 3byte의 데이터를 변형시켜 하드 디스크로 부팅이 되지 못하도록 만든다. 그러나 MBS에 바이러스가 감염되는 것은 아니다. 기타 내부에 특별한 문자열은 없다.