안녕하세요.
고객을 소중히 생각하는 소중넷입니다.
다음은 한국정보보호진흥원의 CERTCC-KR에서 발령된 내용입니다.

==============================================================
VN2004028: MIMAIL.R 웜
---------------------------------------------------------------

☆ 개요

MIMAIL.R 웜은 메일과 카자((KaZaZ) P2P 응용 프로그램을 통해 전파된다.
1월 26일 국외에서 처음 발견되었으며 1월 27일 현재, 국내에서 빠른 속도로 전파되고 있다.
웜에 감염되면 특정 사이트에 DoS 공격을 할 수도 있으며, 원격에서 접속 가능한 백도어 TCP 3127 포트가 오픈 될 수 있다.


☆ 전파방법

o 메일을 이용한 전파
보 낸 이 : <임의적으로 조작된 이메일 주소>
제 목 : <아래 제목 중에서 선택되거나, 임의로 변경될 수 있다.>
· Error
· Status
· Server Report
· Mail Transaction Failed
· Mail Delivery System
· hello
· hi

본 문 : <아래의 본문 중에서 선택되거나, 임의로 변경될 수 있다.>
· The message contains Unicode characters and has been sent as a binary attachment.
· The message cannot be represented in 7-bit ASCII encoding and has been sent as a binary attachment.
· Mail transaction failed. Partial message is available.
· test
※ 경우에 따라서 메시지 본문을 암호화하기도 한다.

첨부파일: 파일명은 임의로 변경되며, 확장자는 .exe, .pif, .cmd, .scr, .zip 중에 선택된다. 파일 사이즈는 22,528 바이트로 동일하다.

o 카자((KaZaZ) P2P 응용 프로그램을 이용한 전파
카자(KaZaA)의 다운로드 폴더에 아래의 파일명으로 웜을 복사해 넣고, 이 파일에 대한 검색 요청이 발생하면 웜을 전송한다.
· winamp5
· icq2004-final
· activation_crack
· strip-girl-2.0bdcom_patches
· rootkitXP
· office_crack
· nuke2004

파일의 확장자 명은 일정하지 않으며, 아래에서 선택된다.
· .pif
· .scr
· .bat


☆ 피해증상

o 웜이 실행되면 Windows 시스템 폴더에 아래의 파일을 생성한다.
- shimgapi.dll
- taskmon.exe
※ Windows 시스템 폴더
· Windows 2000/NT : C:WINNTSystem32
· Windows XP : C:WindowsSystem32
· Windows 95/98/ME : C:WindowsSystem

o 재부팅 시에도 웜이 동작하기 위해 다음의 내용이 레지스트리에 추가된다.
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun
이 름 : TaskMon
데이터 : (윈도우 시스템 폴더) askmon.exe

o 다음의 사이트에 DoS 공격을 할 수도 있다.
- www.sco.com

o 원격에서 접속 가능한 백도어 TCP 3127 포트가 오픈 될 수 있다.


☆ 감염시 치료방법

o 수동치료방법
- 아래의 레지스트리 키 값을 삭제한다.
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun

이 름 : TaskMon
데이터 : (윈도우 시스템 폴더) askmon.exe

- Windows 시스템 폴더에서 다음의 파일을 삭제한다.
shimgapi.dll
taskmon.exe
※ Windows 시스템 폴더
· Windows 2000/NT : C:WINNTSystem32
· Windows XP : C:WindowsSystem32
· Windows 95/98/ME : C:WindowsSystem

o 백신프로그램을 최신버전으로 업데이트한 다음 검사하여 치료한다.


☆ 예방법

출처가 불분명한 메일일 경우 읽지 말고 삭제하여야 바이러스 감염을 막을 수 있다.


☆ 참조사이트

하우리: http://hauri.co.kr/virus/virusinfo/virusinfo_read.html?code=IWW3000000
안철수연구소: http://info.ahnlab.com/smart2u/virus_detail_1298.html
시만텍: http://securityresponse.symantec.com/avcenter/venc/data/w32.novarg.a@mm.html
맥아피: http://vil.nai.com/vil/content/v_100983.htm
트랜드마이크로: http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MIMAIL.R