KISA는 "사세르 웜바이러스는 켜있는 모든 컴퓨터를 감염시킬 수 있으며 기존 인터넷 웜바이러스와는 달리 이메일을 통해 감염되지 않는 특징이 있다"며 "이 웜바이러스에 감염된 컴퓨터에는 인터넷 사용이 어려워지거나 PC가 재부팅되는 등의 피해가 발생한다"고 밝혔다.
KISA는 현재 피해가 전국적으로 발생하고 있다고 덧붙였다.
KISA는 또 "사세르 웜바이러스가 현재 기간망 트래픽에 미치는 영향은 아주 저조한 것으로 파악되지만 이를 분석해 웜바이러스가 더 이상 확산되지 않도록 ISP들과 함께 노력하고 있다"며 "ISP 사업자들에게 이 웜바이러스가 사용하는 포트(TCP/445, TCP/5554 및 TCP/9996)에 대한 모니터링 강화를 요청했다"고 말했다.
KISA는 이번 웜바이러스 대응과 관련해 기업과 개인들에 대해 최대한 신속한 패치를 당부하고 이와 함께 ▲ 백신과 마이크로소트사의 패치는 항상 최신 버전으로 업그레이드 되도록 조처하고 ▲ 모든 PC에 로그인 패스워드를 만들고 추정하기 어려운 패스워드를 반드시 사용하며 ▲매일 정보보호사이트(http://www.krcert.or.kr)를 방문하여 해킹관련 최신 정보를 확인하고 ▲ 특히 PC방의 경우에 모든 PC에 대하여 위와 같은 조치를 취해 줄 것 등을 거듭 요청했다.
-다른 이름 W32.Sasser.B.Worm, W32/Sasser.worm.b, WORM_SASSER.B, Worm.Win32.Sasser.15872.B
- 감염시위험도 3등급(위해)
-확산위험도 2등급 현재 확산도 3등급
-종류 바이러스 감염 형태 실행파일
-감염 OS 윈도우 감염 경로 네트워크/보안취약점
-최초 발견일 2004.05.02 국내발견일 2004.05.02
-특정 활동일 특정일 활동 없음 제작국 불분명
-진단 가능 엔진 2004.05.02.00 치료 가능 엔진 2004.05.02.00
-증상
원도우즈폴더에 avserve2.exe 파일이 만들어 진다.
TCP 445번 포트 접속 시도가 증가한다.
TCP 1000번~2000번대와 5554번 포트가 LISTENING 상태로 된다.
윈도우시스템 폴더에 파일 이름이 숫자_up.exe로 된 다수의 파일이 만들어 진다.
감염 후 일정 시간이 지나면 CPU 사용이 100%까지 올라가며 컴퓨터 속도가 느려진다.
보안패치가 안 된 시스템이 공격 패킷을 받을 경우 에러가 발생하며 시스템이 자동 종료 될 수 있다.
- 내용
* 요약
Win32/Sasser.worm.15872.B 는 Win32/Sasser.worm.15872 의 변형중에 하나이다. 이 웜은 MS04-011 취약점을 이용해 전파되는 웜이다. 감염된 시스템은 윈도우 폴더에 avserve2.exe 파일과 윈도우 시스템 폴더에 '숫자_up.exe'로 된 파일이 생성된다. 또한 c:\ win2.log 파일을 생성할 수도 있다.
패치가 안 된 시스템이 공격 패킷을 받을 때 시스템이 자동 종료될 수 있다. 동일 취약점을 이용하는 웜과 이상 패킷 공격으로 발생하는 시스템 종료를 예방하기 위해서는 반드시 MS04-011 취약점 패치해 주어야 한다.
- MS04-011 취약점(한글) 정보
- MS04-011 취약점(영문) 정보
* 확산 정도
2004년 5월 2일(외국 시간 기준)에 최초 보고되었으며 한국에는 2004년 5월 2일 최초 보고되었다. 정보를 작성하는 2004년 5월 2일 16시 41분 현재 안철수연구소는 고객으로 부터 1건의 샘플을 접수 받았다.
* 실행후 증상
Win32/Sasser.worm.15872.B 는 Win32/Sasser.worm.15872와 전파방법 및 실행후 증상이 거의 동일하다.
윈도우 폴더(일반적으로 c:\winnt\, c:\windows 폴더)에 다음과 같은 파일이 생성된다.
- avserve2.exe : 15,872 바이트, 비주얼 C++ 로 작성 되었으며 실행압축된 형태이다.
그리고 다음번 부팅시마다 실행되도록 레지스트리에 다음과 같이 등록된다.
HKEY_LOCAL_MACHINE\
SOFTWARE\
Microsoft\
Windows\
CurrentVersion\
Run
avserve2.exe = C:\윈도우 폴더\avserve2.exe
웜은 다음과 같은 Mutex를 생성한다.
- JumpallsNlsTillt
- Jobaka3
위와 같은 Mutex를 통해서 중복실행되는 것을 방지한다.
* 전파 경로
MS04-011 취약점을 이용해 전파된다. 웜은 임의의 IP로 접속을 시도해 상대방이 응답이 있을 경우 이상 패킷을 보낸다. 취약점이 존재하는 시스템일 경우 에러가 발생하거나 감염된다.
취약점이 존재하는 경우 감염대상이 되는 시스템은 다음과 같다.
- Windows XP Professional
- Windows 2000 Professional
- Windows 2000 Advanced Server
MS04-011 취약점을 패치하면 이 웜뿐 아니라 MS04-011 취약점을 이용한 유사 웜으로 부터 예방된다.
* LSASS 취약점 (LSASS Vulnerability - MS04-011)
MS04-011 취약점이 패치되지 않은 시스템이 공격 패킷을 받을 경우 다음과 같은 오류가 발생하며 시스템이 종료 될 수 있다.
예)
'시스템 종료
시스템을 종료하고 있습니다. 진행 중인 모든 작업을 저장하고 로그오프하십시오. 저장하지 않은 모든 변경된 내용은 손실됩니다. 시스템 종료는 NT Authority\SYSTEM에 의해 시작되었습니다.
시스템 종료 전 대기 시간 : 00:00:60
-메시지-----
시스템 프로세스
'C:\WINNT\system32\lsass.exe'이(가) 예상하지 않게 상태 코드 128(으)로 종료되었습니다. 지금 시스템을 종료하고 다시 시작할 것입니다.'
관련 취약점을 이용한 웜을 예방하기 위해서는 반드시 패치를 해야하며 패치는 다음 웹 사이트를 참고 하기 바란다.
- MS04-011 취약점(한글) 정보 및 패치 방법
- MS04-011 취약점(영문) 정보 및 패치 방법
* 사용포트
이 웜에 감염되면 TCP 1000번~2000번대 포트를 'LISTENING' 상태로 열어두며 임의로 선택된 IP의 TCP 455번 포트로 접속을 시도한다. TCP 5554번, 9996번 포트도 사용된다.
이 정보는 2004년 5월 2일 14시 59분에 최초작성 되었으며 2004년 5월 2일 16시 55분에
최종 수정 되었다.
치료방법 * V3Pro 2002 Deluxe / V3Pro 2004 / V3Net for Windows Server 사용자
1. 사용 제품을 실행 후 [업데이트] 버튼이나 업데이트 파일을 통해 최신 엔진 및 패치 파일로
업데이트 한다.
4. 프로세스 검사와 지정 드라이브 검사가 끝나면 치료창이 보여진다. 여기서 '전체목록치료'
버튼을 눌러 진단된 악성코드를 치료(삭제)한다.
5. 필요시 추가/변경 된 레지스트리 값은 자동수정된다.
- 참고사항
* 취약점 검사
마이크로소프트사는 MBSA(Microsoft Baseline Security Analyzer)를 통해 시스템 혹은 내부 네트웍에 접속된 시스템의 취약점을 검사해주는 프로그램을 제공하고 있다.
시스템에 어떤 취약점이 있는지 확인해 적절한 조치를 취해 해킹 및 악성코드를 예방 할 수 있다.
윈도우 취약점을 이용해 전파되는 바이러스, 웜, 트로이목마 등을 예방하기 위해서는 최신 윈도우 업데이트를 해야한다.
- 윈도우 업데이트 사이트 바로가기
1. 인터넷이 연결이 되어있는 상태에서 'Windows Update' 사이트에 접속한다.
(윈도우 98/2000 의 경우 [시작] → [Windows Update], 윈도우 XP의 경우 [시작] -> [모든 프로그램(P) -> [Windows Update]]
혹은 인터넷 익스플로러 실행 -> 메뉴에서 '도구' -> 'Windows Update(U)'나 인터넷 익스플로어에서 http://windowsupdate.microsoft.com로 직접 접속 가능)
2. 윈도우 업데이트 페이지로 연결 후 [보안경고] 창이 뜨면 [예] 버튼을 선택한다. 단, 한번이라도 윈도우를 업데이트 한 사용자는 [보안경고] 창이 뜨지 않는다.
3. [업데이트 검색]을 선택해 필요한 업데이트를 찾는다.
4. [업데이트 검색]이 완료되면 업데이트 가능한 "중요 업데이트 및 서비스 팩", 사용 윈도우용 업데이트, "드라이버 업데이트" 수가 출력된다.
5. 업데이트를 위해 [업데이트 검토 및 설치]를 선택 하면 전체 업데이트 목록이 나온다. [지금 설치]를 눌러 업데이트를 시작한다.
6. 서비스 팩 등은 다른 업데이트와 동시에 설치 할 수 없다. 서비스 팩 등을 설치 후 반드시 다른 업데이트도 설치해야 한다. [확인]을 선택해 계속 진행한다
7. 사용자 동의를 구하는 창이 뜰 경우 [확인]을 눌러 진행한다.
8. 설치가 완료되면 시스템을 재시작 해야 하는 경우가 있다. [확인]을 눌러 시스템을 재부팅 한다.
9. 재부팅 후 1번 과정을 반복해 [업데이트 검색] 후 현재 사용 가능한 중요 업데이트가 없을 때까지 업데이트를 반복한다
* MS04-011 취약점 공격 패킷 차단 전용 백신
안철수연구소는 MS04-011 취약점 공격 패킷을 차단하는 전용 백신을 제공하고 있다. 패치를 적용할 수 없는 시스템이나 패치 중 이상 패킷 공격으로 시스템이 종료 되는 경우 사용할 수 있다.
주의 : 전용백신으로 차단할 수 없는 취약점 공격 패킷이 존재할 수 있다. 이 경우 예방 할 수 없다.
2004/05/03 00:35:09
6662
0
사세르(Sasser) 웜바이러스 패치 시급 
