[스크랩] worm Virus 치료

http://info.ahnlab.com/smart2u/virus_detail_1021.html

Win32/Parite.B
다른 이름 W32/Parite.A, W32/Pate.a, Win32.Parite.A, Trojan.Parite.A,
감염시위험도 4등급(대비)
확산위험도 1등급 현재 확산도 2등급
종류 바이러스 감염 형태 실행파일
감염 OS 윈도우 감염 경로 파일실행/네트워크
최초 발견일 2001-10 국내발견일 2002-08-13
특정 활동일 특정일 활동 없음 제작국 불분명
진단 가능 엔진 2002.04.20.00 치료 가능 엔진 2002.08.28.00
※ 표기된 날짜 이후의 엔진으로 진단 및 치료가 가능합니다.

증상
- *.exe, *.scr 확장자의 윈도우 실행파일(PE 파일)을 찾아 감염시킨다.
- 네트워크을 스캔하여 감염대상을 찾아 감염시킨다.
내용 Win32/Parite.B 바이러스는 W32/Parite.A, W32/Pate.a, Win32.Parite.A, Trojan.Parite.A, Win32/Parite.A.packed, PE_PARITE.C, W32/Parite-A, Win32/Pinfi.B 등으로 불리는 바이러스로 2001년 10월에 처음 보고된 것으로 보인다. 국내에는 2002년 8월13일에 감염 보고되었으나, 그 이전에 이미 국내에 유입된 것으로 보인다. 이 바이러스는 Win32/Tinit 와 매우 유사하다.

실행파일 감염방법

감염된 파일이 실행되면 (PE 형식의) 윈도우 실행 파일 *.scr, *.exe 을 찾아 감염시킨다. 단, 윈도우 폴더에 존재하는 Explorer.exe 파일은 감염되지 않는다. 감염파일은 마지막 섹션에 3글자의 영문으로 된 랜덤한 섹션 이름이 추가되며 수백 KB 이상 파일이 늘어난다.

또한 윈도우 임시폴더에 실행파일 압축 프로그램으로 압축된 *.TMP (*. 랜덤한 이름) 파일을 생성(실제는 DLL 형식)해두고 실행중인 EXPLORER 에 모듈로 붙어 바이러스가 계속 실행된다. 이 모듈은 실행되기 위해다음과 같은 레지스트리 값을 생성한다.

HKEY_CURRENT_USER\
Software\
Microsoft\
Windows\
CurrentVersion\
Explorer\
PINF = \윈도우 임시폴더\랜덤한 파일명.tmp -> 생성한다.

또한 치료전 반드시 모든 파일을 검사하도록 지정해야한다.

네트워크 전파, 감염방법

바이러스는 네트워크 환경내에서도 스스로 감염대상을 찾는데 읽기/쓰기 공유된 폴더나 드라이브의 *.exe, *.scr 파일을 찾아 감염시킨다. 감염된 시스템은 30167 의 로컬 포트를 오픈 해둔다.

* 이 정보는 2002년 8월 14일 18시에 최초작성 되었으며 2003년 1월 16일 18시 50분에 최종수정 되었다.
치료방법 1. 최신엔진으로 업데이트한다.

2. 검사전 환경설정에서 "모든 파일검사" 를 반드시 체크한다.

3. 검사가 끝나고 치료목록창에서 '전체목록치료'를 눌러 진단된 바이러스를 모두 치료하면된다. 단, 윈도우 임시폴더에서 진단되는 *.tmp 파일은 삭제하도록 한다.



출처 : 안철수연구소

출처 : 함께 여는 세상

글쓴이 : 천둥산 원글보기

메모 :