|
|
|
|
 |
|
꼭지 / 2001-08-21 / 오후 5:27:51 / 168.126.91.65
조회수 : 125
|
| [질문] [정보] 더욱 강력해진 코드레드2x |
코드레드2 로 명명된 새로운 바이러스가 웹 서버를 공격하면서 본래의 코드레드 바이러스와는 다른 피해양상을 나타내고 있어 주목된다. 최근 공개된 eEye Digital Security 자료는 코드레드2에 대한 SecurityFocus ARIS Project 분석에 관한 자세한 정보를 기술하고 있다.
eEye에 따르면, 새로운 코드레드2 바이러스는 기존의 바이러스 보다 더욱 강력한 것으로 알려져 있고 Windows 2000 기반하에서 코드레드1 바이러스와 동일한 경로를 통해 MS IIS(Internet Information Server)를 공격하는 것으로 알려졌다. 기본적으로 이러한 감염을 예방하기 위해서는, 모든 Win2K기반의 IIS systems에 마이크로소프트 패치 MS01-033을 적용해 주어야 한다.
시스템 내에 일단 침투하게 되면, 코드레드2 바이러스는 MSDAC 와 SCRIPTS IIS 관련 디렉토리안에 파일을 만들어 낸다. 이는 시스템내의 층.exe파일을 복사하여 root.exe이라는 파일을 만들게 된다. 또한 Win2K 데스크탑을 실행시키는 explorer.exe 파일 내에서 바이너리 코드를 침투시켜 시스템에 트로이 목마 바이러스를 생성하게 한다. 이로써 매번 시스템 내에서 explorer.exe파일을 실행시킬 때마다, 트로이 목마 바이러스는 주요 시스템화일에 대한 변화위험을 방지하는 윈도우 시스템화일 보호기능을 마비시키게 된다. 동시에 트로이 목마 바이러스는 C, D드라이버와 MSDAC, SCRIPTS 디렉토리와 연관하여, IIS 내에 4개의 가상 디렉토리를 만들게 된다. eEye에 따르면, 이러한 일련의 행위들은 사용자가 root.exe 파일을 제거하더라도 시스템 내 백도어를 통한 침투루트를 제공할 것이라고 밝혔다.
사용자들은 이 바이러스의 감염 여부를 알아보기 방법으로 C나 D드라이브의 explorer.exe 파일들의 이상유무을 확인해야 하며, 또한 root.exe 파일의 존재 여부를 확인하기 위해 IIS MSDAC과 SCRIPTS 폴더들을 살펴보아야 한다. eEye의 Mark Maiffret씨는 Sadmin과 같은 단순한 바이러스들 또한 cmd.exe파일을 root.exe 파일로 변환시킬 수 있으므로, root.exe 파일 발견이 무조건적으로 코드레드2 바이러스 감염을 의미하지는 않는다고 지적한다.
코드레드1 바이러스는 한번의 자기복제로 약 100여 개의 시스템을 위협할 수 있지만, 코드레드2 바이러스는 약 300여 개 혹은 600여 개(Win2K 중국어버전의 경우) 의 시스템을 공격할 수 있다. eEye는 코드레드2 바이러스가 코드레드1 바이러스 보다 빠른 확산을 위해 난수발생 IP 어드레스를 더욱더 효과적으로 이용한다고 밝혔다.
마지막으로 코드레드2 바이러스는 한시적 활동을 위한 날짜검색 기능을 포함하고 있으며, 현재 바이러스의 변종이 없을 경우, 2001년 9월 이후에 그 활동이 중단 될 것으로 보인다.
|
|
|
|