I-Worm/PrettyPark.B 웜 발견, 국내 피해 확산

인터넷 Email로 확산되는 I-Worm/PrettyPark.B 웜 발견, 국내 피해 확산


9월 8일자 V3 엔진으로 진단/치료 가능

I-Worm/PrettyPark.B 웜이 최근 국내에 빠르게 확산되고 있어 사용자들의 주의가 요구된다. Email로 퍼지는 웜으로, I-Worm/Happy99와 같은 계열이다. 30분에 한번씩 인터넷 주소 북 파일을 열어 리스트에 있는 사용자에게 "C:\CoolProgs\Pretty Park.exe"와 제목의 웜이 첨부된 파일을 보낸다. 현재 H사와 M사, L사 등의 피해 신고가 접수되어 있으며 각종 관련 문의가 쇄도하고 있는 실정이다.

이 웜은 사용자의 컴퓨터 이름부터 Email 주소, 사용자 비밀번호 등의 여러 정보를 IRC 서버로 보내 웜 제작자가 다양한 정보를 수집할 수 있게 한다. 웜 제작자는 웜을 백도어(백오리피스와
같은 해킹 툴)로도 사용할 수 있다.

현재 이 I-Worm/PrettyPark.B 웜은 안철수연구소의 V3 워프 엔진 9월 8일 이후 버전으로 진단 및 치료가 가능하며, V3Pro 2000 Deluxe 이외에는 MS-DOS 모드로 나가야 치료가 가능하다. 타 백신의 경우 레지스트리 삭제를 사용자가 수동으로 해주어야 하기 때문에 자동 치료는 V3만이 가능한 실정이다.

PrettyPark.Worm, TROJ_PRETTY_PARK 등으로도 불리고 있는 이 바이러스는 1999년 6월 유럽에서 최초 보고되었으며 프랑스의 스팸메일을 통해 전파되어서 프랑스에서 제작되지 않았나 추측되고 있다. 국내에는 1999년 8월말 홍성한씨에 의해 처음 발견되었으며 국내에 발견된 것은 원형이 아닌 조금 변형된 I-Worm/PrettyPark.B로 원형과 증상은 동일하다. 원형은 아직 발견되지 않았으나 V3에는 원형에 대한 퇴치 기능도 탑재돼 있다. 웜 크기는 37376 바이트로 윈도우 실행파일압축 프로그램인 WWPack32로 압축되어 있어 진단,분석을 어렵게 한다.

웜 프로그램이 실행되면 상주여부를 검사한 후 상주하지 않았으면 시스템 폴더에 FILES32.VXD 파일을 만들고 레지스트리에 윈도우가 실행될 때마다 실행되도록 변경한다. 레지스트리를 변경해 모든 EXE 파일이 실행될 때마다 FILES32.VXD 파일이 실행되도록 변경한다.

이 웜 프로그램을 치료하려면 안철수연구소에서 9월 8일자 V3 엔진과 9월 9일 연구소에서 긴급 제작한 배치파일(KILLPPRK.BAT)을 동시에 실행시켜야 한다(배치 파일은 9월 9일 통 신에 업로드할 예정). 이 배치 파일을 도스 창이나 윈도우의 탐색기에서 실행하면 레지스트리가 자동으로 편집된다. KILLPPRK.BAT를 실행하여 레지스트리가 편집된 사용자는 윈도우의 도스 창에서는 파일이 삭제가 되지 않으므로 반드시 MS-DOS 모드로 시스템을 재부팅한 후에 V3.EXE를 실행하여 진단된 파일을 삭제해야 한다(윈도우 상태에서 삭제하고자하는 파일이 실행 중이므로 반드시 도스모드로 재부팅해야 한다.)

파일다운로드 : killpprk.zip