Dropper/ARPSpoofer.21286

최초 입력시간 : 2008. 07. 02 16:15 (GMT+9)

최종 수정시간 : 2008. 07. 02 16:30 (GMT+9)

위험도
위험도	높음	높음	높음	높음

다른이름

TROJ_DROPPER.NYZ, Win32.HLLW.Autoruner.2285, Trojan:Win32/Chiviper.A, TR/Crypt.XPACK.Gen, Backdoor.Win32.Rbot.bpb

생성 파일명

hackshen.vbs, wsock32.dll, csrss.exe

대표적 증상

시스템 관련, 네트워크 관련, 네트워크 트래픽 발생

활동 플랫폼

윈도우

감염/설치 경로

파일실행, 네트워크, 보안취약점, 다른 악성코드

종류

트로이목마

형태

실행파일

들어오는 포트

나가는 포트

제작국

중국

특정활동일

특정일 활동 없음

최초 발견일

2008-06-30 (현지시각 기준)

국내 발견일

2008-06-30

V3
대응정보

2008.06.30.01 엔진으로 이 바이러스를 진단할 수있습니다.	2008.06.30.01 엔진으로 이 바이러스를 치료할 수있습니다.

안철수연구소의 보안제품을 온라인으로 바로 구입하실 수 있습니다.

바이러스 진단 및 치료는 V3 제품군을 이용하시기 바랍니다. V3가 설치되어 있지 않은 고객께서는 V3 Internet Security 2007 Platinum 평가판을 무료로 이용하실 수 있습니다.

모든 V3 제품군의 최신 엔진 업데이트 내용을 여기에서 확인하실 수 있습니다.



증상 및 요약

Dropper/ARPSpoofer.21286는 기존에 발견된 Dropper/ARPSpoofer 의 변형 중 하나이다. 해당 드로퍼는 윈도우 사용자 계정의 취약한 암호를 통한 IPC 공유폴더 또는 사용자 공유폴더 그리고 USB 외장형 저장 장치를 통해서 전파된다. 해당 드로퍼가 실행되면 윈도우 폴더의 Task 폴더에 hackshen.vbs (97 바이트), wsock32.dll (15,872 바이트), csrss.exe (21,287 바이트) 그리고 중국어명.bat (21,287 바이트)생성하고 자신을 레지스트리에 등록하여 윈도우 시작 시 자동으로 실행되게 한다. 해당 드로퍼가 실행이 되면 인접 네트워크에 존재하는 시스템으로 악의적인 스크립트를 실행 할 수 있는 iFrame이 삽입된 ARP(Address Resolution Protocol) 패킷을 발생시켜 ARPSpoofing을 유발하게 된다. 이로 인해 인접 네트워크에 존재하는 시스템은 외부 네트워크에 존재하는 시스템으로 접속을 시도할 경우 해당 드로퍼에 감염된 시스템을 경유해서 접속 함으로 인해 해당 드로퍼에 자동으로 감염되게 된다. 그리고 외부 시스템으로부터 ARPSpoofing을 유발하는 Win-Trojan/ARPSpoofer 변형들과 Win-Trojan/OnlineGameHack 변형들을 다운로드 하여 설치하게 된다.

상세정보

* 확산 정도 정보를 작성하는 2008년 07월 02일 15시 37분(GMT+9 기준) 현재 안철수연구소는 고객으로부터 다수의 감염 보고를 받았다. * 전파 경로 Dropper/ARPSpoofer.21286는 다음과 같은 3가지 방식으로 전파 되게 된다. 1. USB 외장형 저장 장치를 통한 전파 해당 드로퍼는 시스템 루트 드라이버와 시스템에 연결된 외장형 저장 장치에 Autorun.inf과 자신의 복사본을 생성한다. 이로 인해 윈도우 시스템의 외장형 저장 장치 자동 인식 및 실행 기능을 이용하여 자동 실행하게 된다. 2. 사용자 공유 폴더와 IPC 공유 폴더를 통한 전파 해당 드로퍼는 인접 네트워크에 존재하는 시스템의 사용자 공유 폴더와 IPC 공유 폴더를 검색하여 자신의 복사본을 hackshen.exe 으로 복사 후 실행하게 된다. 사용자 공유 폴더와 IPC 공유 폴더 접속시 대입하는 암호는 다음과 같다. woaini angel asdfgh 1314520 5201314 caonima 88888 bbbbbb 12345678 memory abc123 qwerty 123456 password enter xpuser money guest admin administrator movie 3. 변조된 ARP(Address Resolution Protocol)을 통한 전파 해당 드로퍼는 다음의 변조된 ARP 패킷을 유발 시켜 인접 네트워크에 존재하는 시스템에 인터넷 익스플로러의 취약점을 이용하는 악성 스크립트를 자동 실행하게 된다. arps.com -idx 0 -ip 네트워크 대역 -port 80 -insert "" 취약한 인터넷 익스플로러를 사용하는 인접 네트워크의 시스템은 자동으로 해당 악성 스크립트를 실행하게 되고 외부 네트워크에 존재하는 시스템에서 해당 드로퍼의 변형을 다운로드하게 된다. * 실행 후 증상 [파일생성] Dropper/ARPSpoofer.21286는 비주얼 C++로 제작되었으며 중국에서 개인적으로 제작된 실행 압축 유틸을 이용하여 실행 압축되어 있다. 해당 드로퍼가 실행 되면 윈도우 폴더에 존재하는 Tasks 폴더에 다음 파일들을 생성한다. - 중국어 명칭.bat (21,287 바이트) - hackshen.vbs (97 바이트) - wsock32.dll (15,872 바이트) - csrss.exe (21,287 바이트) 주) 윈도우 폴더는 시스템마다 다를 수 있으며 보통 윈도우 95/98/ME/XP는 C:\Windows, 윈도우 NT/2000은 C:\WinNT 폴더이다. [레지스트리 등록] Dropper/ARPSpoofer.21286는 레지스트리에 다음 값을 추가해 윈도우 시작 시 자동으로 실행되도록 한다. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{H9I12RB03-AB-B70-7-11d2-9CBD-0O00FS7AH6-9E2121BHJLK} 의 stubpath = C:\윈도우 폴더\Tasks\hackshen.vbs ] [프로세스 종료] Dropper/ARPSpoofer.21286는 감염된 시스템에 다음 프로세스가 실행 중일 경우에는 강제 종료를 시도한다. AST.exe 360tray.exe ast.exe 그리고 실행 중 프로그램의 윈도우 명에 다음의 문자열이 포함되어 있을 경우 강제종료를 시도한다. Virus virus Firewall Mcafee Process NOD32 [파일 다운로드] Dropper/ARPSpoofer.21286는 다음의 시스템으로 접속하여 악의적인 파일들을 다운로드 시도한다 다운로드 하는 파일들은 또 다른 ARPSpoofing을 유발하는 트로이목마와 온라인 게임의 사용자 정보를 유출하는 트로이목마들을 다운로드 한다. M***ea.com/img/btn/index.htm M*ea.com/img/btn/wm/arp.exe M*ea com/img/btn/wm/wincap.exe M*ea.com/img/btn/1.js M*ea.com/img/btn/tj/ct.asp M*ea.com/wm/updatexixue.txt M*ea.com/wm/mm.exe M*ea.com/img/btn/10.exe M*ea.com/img/btn/9.exe M*ea.com/img/btn/8.exe M*ea.com/img/btn/7.exe M*ea.com/img/btn/6.exe M*ea.com/img/btn/5.exe M*ea.com/img/btn/4.exe M*ea.com/img/btn/2.exe M*ea.com/img/btn/1.exe M*ea.com/img/btn/3.exe M**ea.com/wm/mm.exe 주) 일부 주소는 로 처리하였다. [hosts 파일 변경] HOSTS 파일을 수정해 감염된 시스템에서 특정 주소로 접속하지 못하게 한다. 보통 보안 사이트 홈페이지나 안티 바이러스 엔진 업데이트 서버로 감염된 사용자가 정보를 얻거나 치료를 위한 엔진 업데이트를 방해한다. 127.0.0.1 www.360.cn 127.0.0.1 www.360safe.cn 127.0.0.1 www.360safe.com 127.0.0.1 home.ahnlab.com 127.0.0.1 www.rising.com.cn 127.0.0.1 rising.com.cn 127.0.0.1 dl.jiangmin.com 127.0.0.1 jiangmin.com 127.0.0.1 www.jiangmin.com 127.0.0.1 www.duba.net 127.0.0.1 www.eset.com.cn 127.0.0.1 www.nod32.com 127.0.0.1 shadu.duba.net 127.0.0.1 www.kaspersky.co.kr 127.0.0.1 www.viruschaser.com 127.0.0.1 kaspersky.com.cn 127.0.0.1 virustotal.com 127.0.0.1 www.kaspersky.com 127.0.0.1 60.210.176.251 127.0.0.1 www.cnnod32.cn 127.0.0.1 www.lanniao.org 127.0.0.1 www.nod32club.com 127.0.0.1 www.dswlab.com 127.0.0.1 bbs.sucop.com 127.0.0.1 www.virustotal.com 127.0.0.1 tool.ikaka.com 127.0.0.0 360.qihoo.com 127.0.0.1 qihoo.com 127.0.0.1 www.qihoo.com 127.0.0.1 www.qihoo.cn 127.0.0.1 9u9u9.cn 주) HOSTS 파일은 사용 윈도우에 따라 다른 폴더에 존재한다. 보통 윈도우 95/98/ME는 C:\Windows\System 폴더에 존재하며 윈도우 NT/2000은 C:\WinNT\System32\Drivers\ETC 폴더, 윈도우 XP는 C:\Windows\System32\Drivers\ETC 폴더이다.

치료법

* V3 Internet Security (2007 / 2007 Platinum / 7.0 Enterprise / 7.0 Platinum Enterprise) 사용자 1. 제품 실행 후 오른쪽 상단의 [업데이트]를 선택하거나 업데이트 파일을 통해 최신 엔진 및 패치 파일로 업데이트 한다. 2. 왼쪽 메뉴의 [바이러스 검사]를 선택 후 [검사하기]를 누른다. 3. 빠른 검사, 수동 검사, 사용자 목록 검사 중 검사 방법을 선택 후 [검사 시작]을 누른다. 4. 메모리에서 실행중인 악성코드가 발견되면 일반적으로 자동 치료(삭제)된다. 5. 메모리 검사와 파일 검사가 끝나면 진단 결과에 진단명이 나타난다. 여기서 '모두 선택'이나 개별 선택 후 [치료하기]를 눌러 진단된 악성코드를 치료(삭제)한다. 6. 치료 혹은 삭제 할때 추가/변경 된 레지스트리 값은 자동 수정된다. 7. 치료 실패 혹은 재감염이 발생할 경우 우선 안전모드로 부팅 후 치료해 본다. 계속 치료 실패 혹은 재감염 증상이 발생한다면 안리포트 결과와 함께 신고센터로 문의한다. * MyV3 사용자 1. MyV3 사이트( http://clinic.ahnlab.com/clinic/myv3.html 등)에 접속해 실행한다. 만약 MyV3의 액티브 X 컨트롤이 설치되어 있지 않다면 '보안 경고'창에서 '예'를 눌러 설치한다. 2. MyV3를 최신 버전으로 업데이트 된다. 3. 검사할 드라이브를 지정하고 [검사시작] 버튼을 눌러 검사를 시작한다. 4. 프로세스에서 실행중인 관련 악성코드가 진단되면 안내되는 메시지의 '강제종료후 치료' 선택한다. 종료된 악성코드는 자동 치료(삭제)된다. 5. 프로세스 검사와 지정 드라이브 검사가 끝나면 치료창이 보여진다. 여기서 '전체목 록치료' 버튼을 눌러 진단된 악성코드를 치료(삭제)한다. 6. 필요시 추가/변경 된 레지스트리 값은 자동수정된다. 7. 치료 실패 혹은 재감염이 발생할 경우 우선 안전모드로 부팅 후 치료해 본다. 계속 치료 실패 혹은 재감염 증상이 발생한다면 안리포트 결과와 함께 신고센터로 문의한다.

※ 이 정보에 대한 저작권은 (주)안철수연구소에 있으며 무단 사용 및 도용을 금합니다.

단, 개인이 비상업적인 목적으로 일부 내용을 사용하는 것은 허용하고 있으나, 이 경우 반드시 출처가 안철수연구소 임을 밝혀야 합니다.

기업이 이 정보를 사용할 때에는 반드시 안철수연구소의 허가를 받아야 하며, 허가 없이 정보를 이용할 경우 저작권 침해로 간주되어 법적인 제재를 받을 수 있습니다.

자세한 내용은 컨텐츠 이용약관을 참고하시기 바랍니다.

정보 이용 문의 :