『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 338번 제 목:[정보] 까마귀.1292(Crow.1292) 바이러스 올린시각:98/09/30 14:36 읽음: 53 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.1292 바이러스 1) 이름: 까마귀.1292(Crow.1292) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 6월 박기범 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력 7) 내용: 다섯번째 만들어진 것으로 추정되는 바이러스로 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. 감염된 파일의 크기는 1292 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. - 출력되는 메시지 "[Crow Virus] Ver.E SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 339번 제 목:[정보] 까마귀.1475(Crow.1475) 바이러스 올린시각:98/09/30 14:37 읽음: 48 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.1475 바이러스 1) 이름: 까마귀.1475(Crow.1475) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 6월 정대화 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력 7) 내용: 감염된 파일의 크기는 1475 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. 불필요한 코드를 삽입하여 백신 개발을 어렵게 하였 다. - 출력되는 메시지 "[Crow Virus] Ver.G SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 340번 제 목:[정보] 까마귀.2503(Crow.2503) 바이러스 올린시각:98/09/30 14:37 읽음: 54 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.2503 바이러스 1) 이름: 까마귀.2503(Crow.2503) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 6월 송권혁 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력 7) 내용: 감염된 파일의 크기는 2503 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. 바이러스 내부에 불필요한 코드를 다량 삽입하여 백 신 개발을 어렵게 하였다. - 출력되는 메시지 "[Crow Virus] Ver.H SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 341번 제 목:[정보] 까마귀.2923(Crow.2923) 바이러스 올린시각:98/09/30 14:38 읽음: 62 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.2923 바이러스 1) 이름: 까마귀.2923(Crow.2923) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 7월 김선영 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력, CONFIG.COM 파일 생성 7) 내용: 기존의 까마귀 변형 바이러스 시리즈에 바이러스 내부에 다형성 (Polymorphic)기법을 도입하여 백신 제작을 어렵게 하였다. 특 히, COM 파일의 경우 감염으로 손상되는 경우도 있다. 감염된 파일의 크기는 2923 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 감염 후 특징적인 증상으로 바이러스는 CONFIG.COM 파일을 만드 는데 이 파일은 감염된 파일이 실행된 폴더에 있는 BAT 파일을 수정하여 CONFIG.COM 파일이 실행되도록 만든다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. - 출력되는 메시지 "[Crow.II Virus] Ver.A SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 342번 제 목:[정보] 까마귀.4279(Crow.4279) 바이러스 올린시각:98/09/30 14:39 읽음: 70 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.4279 바이러스 1) 이름: 까마귀.4279(Crow.4279) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 7월 김선영 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력, CONFIG.COM 파일 생성 7) 내용: 기존의 까마귀 변형 바이러스 시리즈에 바이러스 내부에 다형성 (Polymorphic)기법을 도입하여 백신 제작을 어렵게 하였다. 특 히, COM 파일의 경우 감염으로 손상되는 경우도 있다. 감염된 파일의 크기는 4279 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 감염 후 특징적인 증상으로 바이러스는 CONFIG.COM 파일을 만드 는데 이 파일은 감염된 파일이 실행된 폴더에 있는 BAT 파일을 수정하여 CONFIG.COM 파일이 실행되도록 만든다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. - 출력되는 메시지 "[Crow.II Virus] Ver.C SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 343번 제 목:[정보] 까마귀.4263(Crow.4263) 바이러스 올린시각:98/09/30 14:39 읽음: 90 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.4263 바이러스 1) 이름: 까마귀.4263(Crow.4263) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 8월 이영식 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력, CONFIG.COM 파일 생성 7) 내용: 기존의 까마귀 변형 바이러스 시리즈에 바이러스 내부에 다형성 (Polymorphic)기법을 도입하여 백신 제작을 어렵게 하였다. 특 히, COM 파일의 경우 감염으로 손상되는 경우도 있다. 감염된 파일의 크기는 4263 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 감염 후 특징적인 증상으로 바이러스는 CONFIG.COM 파일을 만드 는데 이 파일은 감염된 파일이 실행된 폴더에 있는 BAT 파일을 수정하여 CONFIG.COM 파일이 실행되도록 만든다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. - 출력되는 메시지 "[Crow.II Virus] Ver.D SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 344번 제 목:[정보] 까마귀.3189(Crow.3189) 바이러스 올린시각:98/09/30 14:40 읽음: 252 관련자료 없음 ----------------------------------------------------------------------------- * 까마귀.3189 바이러스 1) 이름: 까마귀.3189(Crow.3189) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 7월 김동현 5) 종류: 파일( COM, EXE ), 암호화, 기생형, 상주형 6) 증상: 메시지 출력 7) 내용: 기존의 까마귀 변형 바이러스 시리즈에 바이러스 내부에 다형성 (Polymorphic)기법을 도입하여 백신 제작을 어렵게 하였다. 감염된 파일의 크기는 3189 byte 늘어나지만 감염된 파일의 작 성 날짜는 변경되지 않는다. 또한, 파일 이름 중에서 "V3, ND, IN, ET, TV"가 포함된 파일은 감염에서 제외된다. 메모리 상주 후 10개 파일을 감염시키면 아래와 같은 메시지를 출력한다. - 출력되는 메시지 "[Crow.III Virus] Ver.A SVS\COREA\MOV(Master Of Virus) GGAAA AAAAAg~~~~~ GGAAA AAAAg~~~~ 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 345번 제 목:[정보] 알라딘.2293(Aladdin.2293) 바이러스 올린시각:98/09/30 15:07 읽음: 229 관련자료 없음 ----------------------------------------------------------------------------- * 알라딘.2293 바이러스 1) 이름: 알라딘.2293(Aladdin.2293) 2) 다른이름: 3) 제작지: 한국 4) 국내발견: 1998년 8월 김민석 5) 종류: 파일 ( COM ), 상주형, 암호화, 기생형 6) 증상: 7) 내용: 감염된 파일 크기가 2293 byte 늘어나는 상주형 바이러스로 감 염된 파일의 작성 날짜는 변경되지 않는다. 파일 속성이 읽기전 용인 경우 감염에서 제외된다. 이 바이러스는 암호화 관련 루틴이 고정되어 있는 암호화 바이 러스지만 앞부분에 실행과 관계없는 불필요한 코드들을 일부러 삽입했다. 이런 코드들은 실제 실행에 아무 관계가 없는 코드로 이 때문에 시스템에 따라서 오동작을 일으킬 수도 있다. 바이러스 내부도 백신 개발을 지연시키기 위해 상당히 복잡하게 구성되어 있다. 감염된 파일 내부에는 다음과 같은 문자열이 포 함되어 있다. "Hi~~~~ Hacker Welcome to Hell[Aladdin Virus] SVS/COREA/MOV" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 346번 제 목:[정보] 러시아 깃발(Russian_Flag) 바이러스 올린시각:98/10/07 16:46 읽음: 164 관련자료 없음 ----------------------------------------------------------------------------- * 러시아 깃발 바이러스 1) 이름: 러시아 깃발(Russian_Flag) 2) 다른이름: 3) 제작지: 러시아 4) 국내발견: 1997년 12월 김일봉 5) 종류: 부트( 플로피, 하드 주부트섹터 ), 상주형, 은폐형 6) 증상: 8월 19일 러시아 국기 출력 후 부팅 7) 내용: 감염 후 기본 메모리 크기는 줄어들지는 않지만 하드 디스크의 주부트섹터 및 플로피 디스크의 부트섹터를 감염시킨다. 바이러스에 감염된 후 부트섹터를 읽으면 감염전 부트섹터를 보 여주는 은폐 기법을 사용하며, 원래 부트섹터가 있는 장소를 읽 으려고 하면 읽지 못하게한다. 감염 후 특징적인 증상은 8월 19일 부팅시 러시아 국기가 화면 에 출력된 후 부팅된다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 347번 제 목:[정보] 돌.키에프(Stoned.Kiev) 바이러스 올린시각:98/10/07 16:46 읽음: 172 관련자료 없음 ----------------------------------------------------------------------------- * 돌.키에프 바이러스 1) 이름: 돌.키에프(Stoned.Kiev) 2) 다른이름: EPBR 3) 제작지: 외국(우크라이나 공화국으로 추측) 4) 국내발견: 1998년 5월 김대성 5) 종류: 부트(플로피, 하드 주부트섹터) 6) 증상: 기본 메모리 1Kbyte 감소, 하드 디스크 감염 후 256번째 부팅시 하드디스크 데이터 파괴 7) 내용: 이 바이러스는 독립국가연합의 우크라이나 공화국의 수도인 키 에프에서 제작되었거나 발견된 것으로 추측된다. 이 바이러스에 감염된 디스크로 부팅하면 기억장소에 상주한 후 읽거나 쓰는 플로피 디스크를 감염시킨다. 감염된 시스템은 기본메모리가 1Kbyte 감소하며, 디스크 입출력 속도가 현저히 떨어진다. 또한, 감염된 하드디스크로 256번째 부팅시 하드디스크 데이터를 파괴한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 348번 제 목:[정보] 마르부르크(Marburg) 바이러스 올린시각:98/10/07 16:47 읽음: 411 관련자료 없음 ----------------------------------------------------------------------------- * 마르부르크 바이러스 1) 이름: 마르부르크(Marburg) 2) 다른이름: Win95.Marburg.A, Win95/Marburg 3) 제작지: 스페인 (1998년 초) 4) 국내발견: 1998년 7월 한승민 5) 종류: 파일 ( EXE, SCR ), 비상주형, 기생형, 다형성 6) 증상: 감염 3개월 후 화면에 그림 출력 7) 내용: 1998년 7월 영국의 PC Gamer 잡지에서 포함된 CD에 감염된채 배 포되어 널리 알려진 바이러스로 PC Gamer지의 발표에 의하면 이 잡지는 영국에서 5만부 정도 판매되었고, 아래의 3개 파일에 감 염된 것으로 알려졌다. \UTILS\QPaint\Qpaint.exe \UTILS\Xearth\Xearth.exe \VIDEO\Smackplw.exe 또한, MGM 인터렉티브사에서 발표한 정품 게임인 Wargames CD에 서도 바이러스에 감염된 파일이 발견되었다(\EREG\EREG32.EXE). 윈도우 95/98에서 동작하는 윈도우용 바이러스로 자체적인 버그 가 있어 윈도우 NT에서는 동작하지 않는다. 하지만 다형성 바이 러스로 감염될 때마다 다른 암호화 기법을 사용해 진단을 어렵 게 한다. 감염된 파일이 실행되면 현재 폴더와 윈도우와 윈도우의 시스템 폴더에서 EXE, SCR 파일을 찾아 윈도우용 PE 파일이면 감염시킨 다. 파일을 찾는 중에 ANTI-VIR.DAT, CHKLIST.MS, AVP.CRC, IVB.NTZ 라는 파일이 있으면 삭제한다. 또한, 파일에 'V'가 포함되어 있 거나 이름이 'PANDA, F-PROT, SCAN'으로 시작하는 파일은 감염 에서 제외된다. 감염된 파일에는 다음과 같은 문자열이 포함되어 있다. "GetModuleHandleA GetProcAddress CreateFileA CreateFileMappingA MapViewOfFile UnmapViewOfFile CloseHandle FindFirstFileA FindNextFileA FindClose VirtualAlloc GetWindowsDirectoryA GetSystemDirectoryA GetCurrentDirectoryA SetFileAttributesA SetFileTime DeleteFileA GetCurrentProcess WriteProcessMemory LoadLibraryA GetSystemTime GetDC LoadIconA DrawIcon [ Marburg ViRuS BioCoded by GriYo/29A ] KERNEL32.dll USER32.dll" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 349번 제 목:[정보] 배니타스.2048(Vanitas.2048) 바이러스 올린시각:98/11/18 16:45 읽음: 56 관련자료 없음 ----------------------------------------------------------------------------- * 배니타스.2048 바이러스 1) 이름: 배니타스.2048(Vanitas.2048) 2) 다른이름: 3) 제작지: 외국 4) 국내발견: 1998년 7월 이관주씨 5) 종류: 파일( EXE, COM ), 상주형, 암호화 6) 증상: 7) 내용: 1997년에 제작된 것으로 알려진 바이러스로 내부에 백신 제작이 어렵도록 어렵게 하기위한 불필요한 코드를 많이 가지고 있다. 실행 및 오픈되는 파일을 감염시키며 읽기전용속성을 가진 파일 도 감염시킨다. COMMAND.COM 파일도 감염시키는데 윈도우95의 COMMAND.COM 파일 은 경우에 따라 손상될 수 있다. 감염된 파일 크기는 2048 byte 늘어나지만 파일 작성 날짜는 변경되지 않는다. 화면에 멋진 그래픽을 보여주는 루틴이 있으나 버그로 실행되지 않는다. 감염된 파일 내부에는 다음과 같은 문자열이 포함되어 있다. "VANITAS++ v1.1 (c)GR97 by ANAX.Member of . Everyone is Original. [E-75]Chill-Out." \xFACE" 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 350번 제 목:[정보] Excel97Macro.VCX 바이러스 올린시각:98/11/18 16:48 읽음: 86 관련자료 없음 ----------------------------------------------------------------------------- * Excel97Macro.VCX 바이러스 1) 이름: Excel97Macro.VCX 2) 다른이름: 3) 제작지: 4) 국내발견: 1998년 11월 이상연씨 5) 종류: 엑셀매크로 6) 증상: .VCX 파일 생성 7) 내용: 가장 최근 발견된 외국산 엑셀 97 매크로 바이러스로 다음과 같 은 매크로를 가지고 있다. 'Auto_Close','Auto_Open','AutoExit','AutoOpen','FileTemplat es','ToolsMacro' 이 바이러스에 감염되면 엑셀의 XLSTART 폴더에 XLSCAN.XLS 파 일이 생성되며 C:\WINDOWS\SYSTEM 폴더에 확장자가 VCX인 파일 이 여러개 생성된다. 파일 이름은 감염된 시스템의 날짜와 시간에 따라 임의로 결정 되며 같은 폴더에 XLSCAN.386 파일도 생성된다. 이들 파일은 바 이러스 소스 코드를 가지고 있다. 또한, 엑셀 97에는 매크로 바이러스 보호기능이 있어 열려는 문 서에 매크로가 포함되어 있으면 사용자들에게 경고창을 보여주 는데 이 바이러스에 감염된 후에는 매크로 포함여부를 검사하지 않게 만들어 매크로 바이러스에 감염된 문서를 열려고 할 때 경 고창이 뜨지 않도록 한다. 다시 매크로바이러스보호 기능을 사용하려면 도구(T) -> 옵션 (O)-> 일반을 선택해 '매크로바이러스보호(T)' 옵션을 선택하면 된다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 351번 제 목:[정보] ExcelMacro.Compat 바이러스 올린시각:98/11/18 16:49 읽음: 127 관련자료 없음 ----------------------------------------------------------------------------- * ExcelMacro.Compat 바이러스 1) 이름: ExcelMacro.Compat 2) 다른이름: 3) 제작지: 4) 국내발견: 1998년 10월 김선희씨 5) 종류: 엑셀매크로 6) 증상: OFF97COM.XLA 파일 생성 7) 내용: 일반적인 엑셀매크로 바이러스들이 XLSTART 폴더안에 바이러스 를 가지고 있는 파일을 생성해 숨겨두는데 비해 이 바이러스는 LIBRARY 폴더의 OFF97COM.XLA 파일에 바이러스를 숨긴다. 때문 에 이 바이러스를 완벽하게 진단, 치료하기 위해서는 모든 파일 검사 옵션으로 진단, 치료해야 한다. 만약 사용자가 바이러스 감염를 의심하여 XLSTART 폴더를 확인 해도 새로 추가된 XLS 파일이 없으므로 감염 사실을 효과적으로 숨기고 있으며, 다음과 같은 매크로를 가지고 있다. 'Auto_Close', 'Auto_Exit', 'Auto_Help', 'Auto_Open' 이 바이러스에 감염된 엑셀에서 도구(T) -> 추가기능(I)을 이용 해 보면 'Office 97 Compatibility' 항목이 추가되어 있으며, 설명부분에는 'Allows Excel 5/7 users to share files with Excel 97 users'로 나타나 마치 오래된 버전의 엑셀에서 Excel 97 파일을 사용할 수 있도록 변환해주는 유틸리티처럼 사용자를 속인다. 다형성 바이러스로 바이러스에 감염될때마다 임의의 내용을 바 이러스에 삽입해 바이러스마다 내용이 달라지게 만들어 진단을 어렵게 한다. 『안철수컴퓨터바이러스연구소-바이러스 정보 (go AHN)』 352번 제 목:[정보] 뒷구멍 트로이목마(Back Orifice Trojan horse) 올린시각:98/11/18 16:50 읽음: 323 관련자료 없음 ----------------------------------------------------------------------------- * 뒷구멍 트로이목마 1) 이름: 뒷구멍 트로이목마(Back Orifice Trojan horse) 2) 다른이름 : Trojan.Win32.BO, Back_Orifice Trojan, BO Trojan 3) 제작지: 외국 4) 국내발견 : 1998년 8월 한철수씨 5) 종류: 트로이목마, 상주형, 암호화 6) 증상: 7) 내용: 백오리피스(Back Orifice) 트로이목마는 1998년 7월 미국 라스 베이거스에서 'Cult of Dead Cow(죽은 소에 대한 숭배)'라는 해 커 그룹이 제작/발표한 해킹 툴(Tool) 프로그램이다. 백오리피스는 윈도우의 TCP/IP 기능을 이용하여 시스템끼리 원 격 제어가 가능하므로 멀리 떨어진 컴퓨터의 데이터를 사용자의 허락없이 임의대로 조작(파일 삭제·복사·이동, 파일 또는 디 렉토리 찾기, 디렉토리 생성·삭제, 파일 압축과 압축 해제 등) 할 수 있다. 또한, 시스템 정보를 얻을 수 있는 것은 물론, 사용자가 입력하 는 내용이나 암호를 몰래 카메라처럼 갈무리하거나 해당 내용을 파일로 저장했다가 다른 사람의 컴퓨터로 빼돌릴 수도 있으며, 컴퓨터를 재부팅시킬 수도 있다. 백오리피스는 바이러스처럼 자신을 복제하는 기능은 없지만 악 용될 경우 피해가 우려되어 진단/삭제 기능이 V3 제품군에 포함 되어 있다. 단, 이 프로그램은 사용자 모르게 시스템에서 이미 실행 중인 경우가 많으므로 정상적으로 삭제되지 않는다. 이러한 경우 해당 파일을 완벽하게 지우려면 도스 모드(윈도우 부팅 중 F8을 눌러 'Command Prompt mode'로 들어가거나 윈도우 시스템 종료시 'MS-DOS 모드에서 시스템 재시작' 선택)로 나가 거나 깨끗한 부팅용 디스켓으로 부팅한 후 도스용 V3+로 모든 파일을 검색하도록 /A 옵션을 주어 진단, 삭제하는 것이 바람직 하다.