□ 개 요

o MSN 메신져 사용 시 악성코드 감염 피해 주의 필요
o MSN 메신져를 사용하고 있는 대화 상대에게 photo album.zip 파일과 해당 파일 다운로드 및
실행을 유도하는 메세지 전송
※ 대화 상대가 해당파일(photo album.zip)을 다운로드하여 압축해제 후 실행시키면 감염됨
o 감염 시에는 irc 서버에 접속하여 악성코드 제작자로 부터 명령을 전달받아 추가적인 악성기능
수행


□ 악성기능

o MSN 메신져 대상 상대에게 아래와 같은 메세지 및 photo album.zip 파일을 전송하여 실행을 유도

- HEY lol ive done a new photo album !:) Second ill find file and send you it....
- Hey wanna see my new photo album?...Hey accept my photo album,
- Nice new pics of me and my friends and stuff and when i was young lol....
- Hey just finished new photo album! :) might be a few nudes ;)
- lol.......hey you got a photo album? anyways heres my new photo album :) accept k?
- hey man accept my new photo album.. :( made it for yah, been doing picture story of
my life lol

o 특정 IRC 서버에 접속하여 악성코드 제작자로 부터 명령을 전달받아, 특정사이트 추가 접속,
프로그램 실행 등 추가적인 악성기능 수행
※참고: 접속사이트: darkjester.x[생략]irc.net TCP 8080 채널 #test

o %윈도우시스템폴더%에 rdshost.dll 파일생성 및 explorer.exe 프로세스에 인젝션

o %윈도우폴더% 내에 photo album.zip 파일 생성

※ "윈도우시스템폴더" Windows NT/2000 C:\Winnt\System32
Windows XP C:\Windows\System32
"윈도우 폴더" Windows XP C:\Windows
Windows NT/2000 C:\WinNT


o 웜 샘플 내에는 "shadowbot" 라는 웜 이름을 나타내는 문자열이 포함되어 있음

o 재 부팅 시 자신을 재 로딩하기 위하여 아래 레지스트리에 등록

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad
rdshost c:\winnt\system32\rdshost.dll



□ 치료 방법

Step1. 안전모드 부팅





Step2. 레지스트리 편집기 실행





Step3. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\
ShellServiceObjectDelayLoad 내의 rdshost 항목 삭제






Step4. %윈도우시스템 폴더% 내의 rdshost.dll 파일 삭제
※ "윈도우시스템 폴더" Windows NT/2000 C:\Winnt\System32
Windows XP C:\Windows\System32





Step5. %윈도우폴더% 내의 photo album.zip 파일 삭제
※ "윈도우 폴더" Windows XP C:\Windows
Windows NT/2000 C:\WinNT





Step6. 재부팅