고객지원2000-06-16조회수 1092

안철수연구소의 바이러스예보 - 제 13호

안녕하십니까?
회원님의 안전한 컴퓨터 환경을 약속드리는 안철수연구소의 정보 지킴이입니다.

올 여름에는 장마가 예년보다 4~5일 이른 17일부터 제주와 남해안 지역에서 시작될 전망이라고 합니다.
여름철 장마에 대비해 회원님의 주변을 한번 정리하시는 것 잊지 마시고, 일주일에 꼭 한번 엔진 업데이트
하는 것도 기억해 주세요.

이번 주에는 3개의 특정일 활동 바이러스와 신종 바이러스, 그리고 요즘 관심의 대상이 되고 있는 휴대폰 바이러스와 이를 통해 본 미래의 바이러스 경향에 대한 정보를 드립니다.

1. 특정일 활동 바이러스 경고
        (1) 특정일 활동 바이러스 목록 (6월 18일 ~ 6월 24일)
        (2) miny1.1010 (6월 19일 활동)
        (3) Nylon (6월 22일 활동)
        (4) Rosebud (6월 24일 활동)

2. 신종 바이러스 정보
        (1) VBS/Timofonica
        (2) W97M/Jim.c

3. 휴대폰 바이러스로 본 미래의 바이러스 경향

그럼, 안철수연구소의 고객지원센터는 항상 회원님의 든든한 정보 지킴이가 되어 드릴 것을 약속드립니다.
정보 지킴이는 다음 주에 또 다른 정보를 가지고 찾아 뵙겠습니다.

1. 특정일 활동 바이러스 경고

(1) 특정일 활동 바이러스 목록 (6월 18일 ~ 6월 24일)

6월 18일 : Pox.Kr.1117, VCL.554, XTAC, Sunday, Korean_Sunday, Oxana, Great_Dipper
6월 19일 : Miny1.1010, VCL.554, XTAC, Oxana, No_Import_Rice, Great_Dipper
6월 20일 : NRLG.1027, IVP.790, VCL.554, XTAC, Oxana, Great_Dipper
6월 21일 : Fish_Boot, VCL.554, XTAC, Oxana
6월 22일 : Nylon, VCL.554, XTAC, Oxana
6월 23일 : VCL.554, XTAC, Jerusalem.Payday, Zerotime, Coffeeshop, Oxana
6월 24일 : Sonic, Pox.955, Pox.Kr.653, Form, Beethoven, Rosebud, VCL.554, XTAC, Bbodong

(2) Miny1.1010 (6월 19일 활동)

감염 증상은 겹쳐 쓰기로 인한 파일 파괴이며 기존의 Miny1.376 바이러스를 다른 제작자가 변형한 것으로
보이는 바이러스로 감염 파일 실행시 현재 디렉토리의 모든 COM, EXE 파일을 감염시킨다.
감염된 파일이 실행되면 해당 디렉토리에 18181025.COM 이라는 숨김 파일을 생성한다. 겹쳐쓰기형 바이러스로 감염된 파일은 모두 파괴되며 읽기전용속성을 갖는 파일은 속성은 해제하고 감염시킨다.
감염시 WIN.COM 파일은 감염에서 제외되며, 감염 파일이 매월 19일 실행되면 메시지를 출력하고 실행을 멈춘다.

(3) Nylon (6월 22일 활동)

감염 증상은 6월 22일 주부트섹터 데이터 변형한다.
감염된 파일의 크기는 1029 바이트 늘어나는 파일 바이러스로 메모리 상주 후 파일 열기, 파일속성 변경, 이름 변경 시에 파일을 감염시킨다. 파일 크기가 1,000~640,000 바이트 사이인 파일만 감염시키는데 감염된 후 날짜와 시간은 감염시킨 시간으로 변경되지만 파일속성은 변하지 않으며, 감염된 후 특징은 6월 22일 주부트섹터의 데이터를 변형시킨다.
감염 파일 내부에는 다음과 같은 문자열이 포함되어 있다.

"Nylon virus 1995.3.24"

(4) Rosebud (6월 24일 활동)

감염 증상은 '월 + 일 = 30'인 경우 실행되는 파일 삭제된다. EXE 파일만 감염되며, 읽기전용속성 파일과 파일 이름이 V3, SCAN, CLEAN으로 시작하는 파일은 감염시키지 않는다.
또한 A, B 드라이브에서 있는 파일은 감염되지 않는다. 이 바이러스에 감염되면 감염된 파일의 크기가 16의 배수가 된 후 912 바이트 늘어나므로 감염된 파일의 크기는 912~927 바이트 늘어난다. 감염된 후 특징은 월과 일을 더해서 30이 되는 날에 실행되는 파일들을 삭제한다.

2. 신종 바이러스 정보

(1) VBS/Timofonica

* 위험등급 : 4등급(대비)

VBS/Timofonica는 외국산 스크립트 웜으로 2000년 6월 5일 스페인에서 처음 발견되었다. 국내에서는 아직 발견되지 않았다. VBS/Love_Letter와 유사한 방법으로 전파되는 VBS(Visual Basic Script)로 작성된 웜이다.
휴대전화단말기로 문자 메시지를 보낼 수 있지만 일부 언론에 알려진 것처럼 휴대전화단말기자체를 감염시키지는 않는다.

감염된 VBS 파일을 실행하면 스크립트가 실행되고 MS 아웃룩 ( MS Outlook)을 이용해 아웃룩 주소록에 있는 주소로 첨부파일이 포함된 메일을 보낸다.

보내지는 메일의 제목과 내용은 다음과 같다.

제목 : TIMOFONICA

첨부파일 : TIMOFONICA.TXT.vbs

아웃룩 주소록으로 웜이 첨부된 메일을 보내고 "correo.movistar.net" 에 임의의 숫자로 된 아래와 같은 메시지를 핸드폰으로 보낸다.
( 예 : 609123456@correo.movistar.net )

제목 : TIMOFONICA
메시지 내용 : informa que: Telefonica te est¡ engaaando.

임의로 만들어진 숫자는 전화번호로 해당번호를 사용하는 사용자에겐 메일내용이 그대로 휴대전화단말기로 문자메시지 형태로 보내지게 된다. 전화번호 자체는 임의의 수로 만들어지므로 한 사람이 여러 개의 문자메시지를 받을 확률은 적다. 하지만, 웜이 많이 퍼질 경우 과다한 메일로 휴대전화사업자의 서버가 다운될 수도 있다.

(2) W97M/Jim.c

* 위험등급 : 3등급(위해)

W97M/Jim.C 바이러스는 2000년 2월 발견된 외국산 매크로 바이러스로 W97M_JIM.A, W97M_Jim.A 등으로 불리기도 한다.

국내에는 2000년 6월 2일 처음 발견되었다. 감염된 문서를 열면 바이러스가 포함된 매크로가 실행되고 이후 사용하는 문서를 감염시킨다.

이 바이러스는 일반적인 감염뿐 아니라 mIRC와 Pegasus 메일 클라이언트 프로그램을 통하여 퍼진다. mIRC(인터넷 채팅 프로그램)이 설치된 폴더에 스크립트 파일을 만들고, 이후 mIRC로 IRC(Internet Relay Chat. 인터넷을 통해 구축된 대화방) 채팅을 할 때 같은 방 있는 다른 사람들에게 감염된 워드 문서를 자동으로 전송한다. Pegasus 메일 프로그램이 설치되어 있을 경우 바이러스에 감염된 문서를 메일로 보낸다.
제목은 ":-)" 이며 본문 내용은 여러가지 중 택된다.

바이러스가 실행될때 C 드라이브 루트에 _VAC.TXT 파일이 존재하면 다음과 같은 메시지를 출력한다.

"[Mr Jim] By SeptiC/TI
I guess you have what it takes."

C 드라이브 루트에 "사용자 이름.DLL" ( 사용자 이름이 TEST라면 TEST.DLL )을 만드는데 이 파일 속엔 다음의 내용을 가지고 있다.

* 윈도우 패스워드 파일 위치
* 사용자 이름
* 감염 시간
* 사용 애플리케이션 (보통 Microsoft Word)
* 국가 코드 ( 한국은 82 )
* 하드디스크 남은 용량
* 바이러스 고유 번호
* 프로세스 종류
* OS 종류

MSDOS.DLL 파일은 위의 정보와 패스워드 파일( PWL )이 인터넷에 접속되어 있을때 특정 FTP로 전송하는 역할을 한다.

특징은 매달 2일이면 다음의 내용을 작업 중인 문서에 삽입하는 것이다.

"[Mr Jim/SeptiC/TI] - Do you have what it takes to become an international bussiness man!?
[Mr Jim]/SeptiC/TI'99"

3. 휴대폰 바이러스로 본 미래의 바이러스 경향

얼마전까지 잘 알려진 농담 두 가지가 있다.
그 중 하나는 원격으로 모든 것이 제어되는 시대가 온다면 밥통에도 바이러스가 출현해 몇 시 몇 분에 밥을 까맣게 타도록 만드는 바이러스까지 출현하지 않을까 하는 것이었다. 또 한가지는 휴대폰을 통해서 전파되는 바이러스가 등장해 대화 내용을 기록해 두었다가 다른 사람에게 전달하고, 전화번호를 저장했다가 다른 사람에게 전파시키는 바이러스도 출현하지 않을까 우려했다.

그러나 얼마전 보도된 휴대폰 감염 바이러스 VBS/Timeofonica의 출현으로 이러한 우려의 소리가 현실로 다가오지 않을까 걱정의 소리가 더욱 높아졌다. VBS/Timeofonica의 경우 VBS/Love_Letter와 같은 인터넷 웜으로, 휴대폰에 직접 감염되어 손상되는 일은 없다. 단지 MS 아웃룩에 저장된 주소로 웜을 발송하고 휴대폰으로 문자 메시지를 발송하기도 해서, 웜이 많이 발송될 경우 통신업체 서버에 과부하가 걸려 다운될 가능성은 있다.

국내에서는 아직 이런 사례가 보고되지 않았고, 휴대폰 자체 감염은 아직까지는 루머이지만 앞으로 현실화할 가능성은 있다고 본다.

얼마 전 한 전문가의 말에 따르면 "컴퓨터 바이러스가 인터넷 와프 폰을 통해 확산될 수 있는 엄청난 잠재력을 가지고 있다"고 경고했다. 와프는 무선적용 프로토콜(WAP : Wireless Application Protocol)로 이것은 휴대폰으로 온라인 은행, 주식거래, 이메일 사용, 인터넷 검색 등 부가적은 서비스를 가능하게 한다. 현재의 컴퓨터 바이러스는 첨부 파일을 개봉했을 때만 작동하지만 와프폰은 더욱 정교하고 프로그램을 만들 수 있는 형태로 발전하고 있기 때문에 위험을 배제할 수 없는 것이다. 와프폰의 경우 바이러스가 전화를 걸어 녹음 소프트웨어를 작동시키거나 파일 컨텐츠를 삭제할 수도 있게 될 가능성을 갖고 있다.

미래의 바이러스 경향은 지금처럼 컴퓨터 네트워크에 주로 발생하던 범위에서 벗어나 휴대폰 등 모바일 네트워크로 확장되어 우리 생활 속에 더 깊숙히 침투할 것으로 보이며 이로 인한 바이러스와의 전쟁은 끊임없이 계속되지 않을까 우려된다.

* 세상에서 가장 안전한 이름 V3 *

  - E - Mail : customer@ahnlab.co.k
  - 하 이 텔 : AHNLAB1
  - 천 리 안 : ZPIAHN1
  - 유 니 텔 : S2AHN
  - 나우누리 : AHN1
  - URL : https://www.ahnlab.com
  - PC 통신(하이텔, 천리안, 나우누리, 유니텔) 안철수연구소 포럼(GO AHN)
  - PC 통신 고객전용 포럼
    (하이텔:go ahnv3, 천리안:go v3, 나우누리:go ahn 41, 유니텔:go ahndw)
  - 고객지원센터 : (02)558-7400
  - 바이러스신고센터 : (02)558-7566
  - 팩스: (02)558-7567
  - 135-745, 서울특별시 강남구 삼성2동 144-17 삼화빌딩 10층