|
누리.널리.알림 |
| 2001/09/19(21:52) from 210.123.35.39 | |
| 작성자 : 동열 (yaree@dreamx.net) | 조회수 : 11132 , 줄수 : 78 |
| 바이러스.테러.님다.. |
|---|
|
. 님다.라.불리는.신종.바이러스로.인해.모든.네트워크.들이.정체현상을.보이고.있습니다. 금공장.은.님다.바이러스의.치료.및.예방.작업을.위해.잠시.접속이.안되었습니다. 미리.알리지.못하여.죄송합니다. 님다.바이러스의.특성상.감염된.서버에.접속하는.모든.클라이언트.컴퓨터에.전염.이.되므로..긴급히.서버를.닫았었습니다. 아래의.설명을.보시고.모두.님다.바이러스의.치료.및.예방을.하시기.바랍니다. .. 지난 18일 처음 발견된 I-Worm.Win32.Nimda.A 웜이 국내에 유입되어 급속하게 전파중이므로 각별한 주의가 필요합니다. I-Worm.Win32.Nimda.A 는 바이러스 메일을 클릭하여 열어보는 순간, 첨부된 바이러스 파일이 자동으로 실행되어 바로 감염을 일으키는 바이러스로, 바이러스 메일에 첨부된 Readme.exe(파일크기 57,344바이트) 파일은 Wav(웨이브) 파일인것 처럼 위장합니다. 일단 감염이 일어나면, 감염된 컴퓨터의 받은 편지함에서 새로운 E-mail 주소를 찾은 후, 웜 자체에 내장된 SMTP를 통해서 바이러스 메일을 계속 발송합니다. 이 웜의 가장 큰 특징은 복합적인 경로로 확산되는 점입니다. 일반적인 웜처럼 E-mail을 통해 확산이 되고, CodeBlue worm의 기능을 흉내내어 보안패치가 설치되지 않은 IIS를 통해서 확산되기도 하며, Win32.FunLove.4099와 마찬가지로 네트웍을 통해서 감염이 일어나기도 합니다. 이 웜에 감염될 경우, 메일발송 이외에 특별한 파괴기능은 없으나, 이 웜에 감염되면 확장자가 *.htm, *.html, *.asp 파일이 변경되며, IIS 기능을 구동하는 웹서버를 무작위로 공격하므로 엄청난 네트웍 트레픽을 일으켜 시스템이 다운될 위험이 있습니다. ::치료방법:: 다음과 같은 순서로 수동치료를 할 수 있다. 1. 공유되어 있는 폴더를 해제한다. 2. 윈도우 [시작]-[실행]에서 'system.ini'를 입력한다. 3. system.ini의 내용 중 'Shell = explorer.exe load.exe -dontrunold'로 되어 있는 부분을 'Shell = explorer.exe'로 수정한다. 4. 시스템을 재부팅한다. 6. C:\Windows\system\load.exe 삭제한다. 7. 공유되어 있는 폴더 모두 공유해제 또는 읽기권한으로만 공유한다. 8. 찾기기능을 이용하여 .eml로 끝나는 모든 파일 삭제한다. 9. readme.exe 파일 찾아서 삭제한다. * 공유폴더를 설정해 놓을 경우 네트워크를 통해 재감염이 될 수 있으므로, 반드시 해제후 사용해야한다. * 공유된 폴더나 드라이브에 *.eml, *.nws, riched20.dll 파일이 다수 생성되므로 이 역시 삭제해 주어야 한다. 이는 클라이언트에서 하는 것이 아니라 파일 서버등으로 사용하는 NT/200 시스템에서 관리자가 직접 삭제하는 것이 좋다. ::이후, 다시 감염되는것을 막기위해서는 아래의 패치를 모두 적용해야 한다. 웜이 첨부된 메일을(또는 확장자 *.NWS 파일을) 읽기만 하거나 미리보기 하여도 웜에 감염되는 것은 "Incorrect MIME Header Can Cause IE to Execute E-mailAttachment" 취약점 때문이며 다음의 사이트를 참고하여 반드시 패치한다. 참고.. http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-020.asp 패치다운로드.. http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp ::IIS 웹 서버를 운영할 경우 아래의 내용의 취약점을 이용하여 웜에 감염되기도 한다. 따라서 다음의 취약점에 대한 패치를 반드시 해주어야한다. 참고.. http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS01-044.asp 패치 다운로드.. http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp ..위의 패치 파일은 전자공장 자료실에서도 구할 수 있습니다... .yal. |
|
|