이름 : Win32/Klez.worm.91978
감염시 위험도 : 1등급(파괴)  
종류 : 웜
유형 : 윈도우파일
최초발견일 : 2001-11-12
특정활동일 : 홀수 달 13일
제작국 : 중국
진단, 치료 가능 엔진 : 2001-11-12

◈증상

- 홀수 달 13일에 파일을 파괴한다. 예) 2001년 11월 13일

◈내용

Win32/Klez.worm.91978은 2001년 11월 12일 발견되었다. 이 정보를 작성하는 현재까지 안철수연구소는 사용자로부터는 다수의 샘플을 중국 사용자로부터는 하나의 샘플을 접수받았다.

원형과 메일 제목은 동일하지만 첨부파일 크기가 90KB로 ( 91,978 바이트 ) 커졌으며 실행시 윈도우 시스템 폴더에( 일반적으로 C:WindowsSystem ) WinSvc.exe 파일이 생성된다. 다른 변형들은 KRN132.EXE 파일을 생성한다. 또한 로컬 드라이브 루트와 네트워크 드라이브 루트에 이중 확장자를 가지는 *.EXE 를 다수 생성하는데 이는 웜 파일이다. 예) *.TXT.EXE, *.JPG.EXE, *.BMP.EXE, *.MPEG.EXE, *.MPG.EXE, *.DOC.EXE, *.XLS.EXE, *.CPP.EXE, *.HTML.EXE



이 웜은 연구소의 바이러스 테스트 컴퓨터에서 다른 변형이 실행시 발생한 "프로그램 시작 오류"가 발생하지 않았다. 따라서 다른 시스템에서도 오류가 발생하지 않거나 가능성이 적을 것으로 생각된다. 그외 윈도우 시스템 폴더에 생성되는 WQK.EXE (11,722바이트)은 다른 변형과 동일하다.

또한 이 웜은 홀수달 13일날 파일을 파괴하는 증상있으며 파괴된 파일은 파괴전의 파일 일때와 그 크기는 동일하지만 내부는 0의 값으로 채워져 복구는 불가능 하다.



위 그림은 연구소에서 테스트시 캡쳐한 그림이며 파일의 앞 부분만을 캡쳐하였다. 실제로 파괴는 파일의 모든 부분이 0으로 채워진다. 위 그림은 파괴된 형태이며 아래의 그림은 정상적인 파일이다. 연구소에서 테스트시에는 11월 13일이 되고 약간의 시간이 경과한 뒤 윈도우가 다운되는 현상이 발생하였고 도스모드로 부팅후 파일을 모두 분석한 결과 윈도우 폴더와 (일반적으로 C:Windows) 그 하위 폴더의 모든 파일이 임의의 값과 0 값으로 모두 채워져 있었다.

여기서 파괴활동이 시작되는 날짜는 정해져 있지만 시간은 꼭 정해져 있지 않은데
즉, 감염된 상태에서 윈도우로 부팅 후 웜이 메모리에 로드 되면 바로 파괴활동을 시작 하기도 한다.

파괴할동이 시작되면 윈도우로 부팅을 하지 못하므로 윈도우를 재설치해야하는 문제점이 있고 데이터도 파괴될 수도 있다. 연구소에서 테스트시에는 윈도우가 웜에 의한 파괴활동이 시작되어 다운되는 현상이 발생하였지만 웜 코드를 분석한 결과 모든 드라이브내 파일을 파괴하는 코드가 포함되어 있었다. 따라서 다른 조건의 시스템에서는 (윈도우 폴더를 포함한)모든 드라이브 파일이 파괴된다.

◈치료방법

업데이트된 2001년 11월 12일자 엔진으로 진단, 치료(삭제)가 가능하며, 이 웜에 의해 감염되는 Win95/Elkern 바이러스는 이전 엔진에서도 진단, 치료가 가능하다.

* Win32/Klez.worm.91978 에 의한 파괴 활동을 예방하려면 다음과 같다. 단, 웜에 의해 파괴된 파일은 0의 값으로 모두 파일이 채워지므로 복구는 불가능 하다.

- 감염된 컴퓨터를 켜둔채 11월 13일이 되었다면 랜덤한 시간에 모든 드라이브내 파일에 대한 파괴활동을 시작하므로 감염된 컴퓨터를 켜둔 사용자들은 예방할 방법이 없다.

_ 감염되었지만 11월 13일 컴퓨터를 켠 경우에는 윈도우로 부팅하지말고 우선 CMOS 등으로 들어가 날짜를 변경하는 것이 좋으며 이 방법이 어려우며 플로피 디스켓으로 부팅후 date 명령을 주어 날짜를 바꾸도록 한 후 V3를 최신엔진으로 업데이트 하여 진단된 웜과 바이러스를 치료및 삭제하면 된다. V3는 이미 이 웜에 대한 엔진을 제공하고 있다. 치료가 모두 끝나면 날짜를 정상적으로 되돌려도 무방하다.

* Win32/Klez.worm, Win95/Elkern 전용백신을 이용한 치료방법(윈도우 9x/Me 전용백신)

* V3 제품의 시스템감시 기능이 실행되어 있을 경우 시스템감시를 '일시중지'한 후 전용백신을 실행해야한다

* 전용백신 실행전 "시스템 감시"가 실행중이라면 일시 중지한다.

1. 전용백신을 실행후 프로세스에 웜이 존재하지 않을 경우 다음과 같은 메시지가 보여진다.



2. 프로세스에 웜이 존재하는 (현재 웜이 실행중인) 경우 다음과 같은 메시지가 보여진다.



"예"를 눌러 현재 실행중인 웜을 종료하도록 한다.

3. "검사시작" 시작 버튼을 눌러 검사를 진행하도록 한다.



4. 발견된 웜과 바이러스가 있는지 확인하고 검사가 끝날때까지 기다린다.



5. "전체치료" 치료버튼을 눌러 진단된 웜과 바이러스를 삭제및 치료하도록 한다.



6. 시스템을 재부팅 한 뒤 최신엔진으로 업데이트 하였는지 확인하고 "시스템 감시"를 반드시 실행해두고 "참고사항"의 보안패치를 적용하였는지 확인한다. 또한 받은 편지함에서 웜이 첨부된 메일은 모두 삭제하도록 한다.

◈참고사항

아웃룩(익스프레스)의 보안패치 정보와 파일은 다음의 내용을 참고한다.

일반적으로 인터넷 익스플로러에 포함된 아웃룩 익스프레스만을 사용하는 사용자는 인터넷 익스플로러를 6.0으로 업데이트하면 보안패치가 적용되 있으므로 아래 아웃룩 익스프레스 패치를 할 필요가 없다.

1. 아웃룩(익스프레스)

http://www.microsoft.com/windows/ie/downloads/critical/q290108/default.asp

2. 아웃룩 2000

http://office.microsoft.com/korea/downloads/2000/outlctlx.aspx

3. 아웃룩 2002 (오피스 XP)

http://office.microsoft.com/korea/downloads/2002/OLK1003.aspx

이름 : O97M/Jerk
감염시 위험도 : 미정 
종류 : 바이러스
유형 : 윈도우파일
최초발견일 : 2000-02-01
국내발견일 : 2000-02-25
특정활동일 : 5월 이후 매달 14일
제작국 : 외국
진단, 치료 가능 엔진 : 2000-02-25

◈증상

5월 이후의 매달 14일 다음과 같은 문자열을 출력한다.

"Class.Poppy"

"I think [사용자이름] is a big stipid jerk!"

◈내용

-5월 이후 매달 14일 메시지 출력
-특징 : 엑셀 문서에 감염될 때 바이러스가 제대로 실행되지 않을 수 있다.

O97M/Jerk는 외국산 매크로 바이러스로 워드 97 문서와 엑셀 97 문서 모두를
감염시킬 수 있다. 단, 바이러스 버그로 엑셀 97에 감염될 때 바이러스가 제대로 실행되지 않는 경우가 있다. 다형성 바이러스에 속해, 감염될 때마다 자신을 변경해 진단을 어렵게 한다.

변형인 O97M/Jerk.B는 외국에선 1999년 2월경 발견되었고 국내에는 1999년 12월 들어왔다. 화면에 출력되는 메시지는 다음과 같다.

"www.all.net

V guvax [사용자이름] vf n ovt fghcvq wrex!"

특히 바이러스 끝부분에 지금까지 감염된 문서의 감염날짜와 사용자가 기록된다.

◈치료방법

V3로 치료 가능합니다.