리눅스

IE080898 분석보고서

웹관리자 작성
작성일 2005.04.02 04:50

4,976 조회
0 추천
목록

글검색

최저가 서버호스팅 제공 : 85,000원/월

IE080898 분석보고서

1998. 9

신 훈/CERTCC-KR, 한국정보보호센터

kadosu@{certcc, kisa}.or.kr

1. 개요

'98년 8월 7일경 마이크로소프트 인터넷 익스플로러 지원센터를 가장한 메시지[첨부1]가 여러뉴스 서버에 보내어졌다. 실제 이 메시지에는 IE080898.EXE라는 실행화일을 첨부하여 보안패치(Security Update)인것처럼 내용을 꾸며놓았으나 실상은 백도어 프로그램으로 임의의 목적지로 메일폭탄을 보내는 기능을 한다. 이 IE080898.EXE란 백도어 프로그램은 "SNAKE"라는 별명을 가지고 있으며 "BAD SECTOR" 라는 익명의 해커에 의해 만들어진 것으로 알려지고 있다. 이 프로그램 자체는 그리 해로운 결과를 미치지 않지만 일련의 수동적 공격과정이 악용된다면 사용자들은 심각한 결과를 초래할 가능성은 충분하다고 할 수 있다.

2. 취약점분석

이 프로그램은 25kb 크기를 가진 윈도우즈용 실행화일이며 이 프로그램 실행시 SHELL32.EXE라는 프로그램을 설치한다. 이 프로그램이 설치된 후 시스템 리부팅 후 SHELL32.EXE는 자동수행되며 숨겨진 프로세스(task)로 윈도우즈 메모리에 상주하여 휴지(Sleep)하다가 정기적으로 임의의 수신자(대부분 불가리아 ISP관련자)에게 메일을 보낸다. 메일의 보내는 주소와 제목, 데이터 모두 임의의 리스트에서 랜덤(random)하게 선택되어져 보내어진다.

[표1] 메일 수신자 목록

gerry@tetra.bg

administrator@tetra.bg

tetranet@tetra.bg

root@vt.bitex.com

peterc@vt.bitex.com

ivanp@vt.bitex.com

root@tarnovo.eunet.bg

master@tarnovo.eunet.bg

webmaster@tarnovo.eunet.bg

root@server.vt.bia-bg.com

webmaster@mail.vt.bia-bg.com

webmaster@tetra.bg

3. 탐지

이 백도어 프로그램설치시 시스템 레지스트리에 KEY_LOCAL_MACHINE 부분에서 SOFTWAREMicrosoftWindowsCurrentVersionRun shell32.exe와 같이 등록되므로 regedit.exe을 이용하여 이 백도어의 설치여부의 확인이 가능하다.

4. 해결책

regedit.exe을 이용하여 상기 레지스트리를 수정한다.

여러 회사에서 제공하는 백신 소프트웨어를 사용하여 제거한다.

Dr.Solomon's Network Associates

[참고문헌]

1. http://www.datafellows.com/v-descs/badsec.htm

2. http://dgl.com/dglinfo/1998/dg980812.html

3. http://www.zdnet.co.uk/news/1998/31/ns-5232.html