MTX 웜바이러스 분석 보고서

전완근 연구원 wkjeon@certcc.or.kr

□ 개 요

악성프로그램(악성코드)이라고 하면 일반적으로 컴퓨터바이러스, 웜, 트로이목마을 일컬어 말한다. 악성프로그램으로 인한 파괴력측면에서 본다면 바이러스가 데이터 및 시스템 파괴하는 정도가 가장 크다. 전파속도면에서 보면 웜이 메일 등에 첨부되어 인터넷 환경의 개인이나 기업사용자들에게 전달이 되기 때문에 가장 빠르다. 또한 백도어와 같은 트로이목마를 보면 비밀채널을 이용하여 시스템에 숨어들어와서 사용자들이 모르게 사용자 혹은 시스템 정보를 유출하거나 원하지 않은 피해를 입힐 수가 있어 피해 형태을 예측하는 것이 거의 불가능하다.

현재 악성프로그램의 제작 추세를 보면 다양한 기능이 혼합된 형태 즉 파일을 감염시키는 등의 순수한 바이러스로서 기능을 하면서, 웜처럼 빨리 전파 되고 사용자 몰래 원하는 기능을 할 수 있는 바이러스들이 만들어지고 있는데 MTX 웜바이러스가 바로 웜과 바이러스, 백도어기능을 함께 가지는 실제 예이다.

□ 구 조

MTX 웜바이러스의 구조를 살펴보면 바이러스, 웜, 백도어로 3개의 콤퍼넌트로 구성되어있다. 웜부분과 백도어부분은 처음에는 압축된 형태로 있다가 시스템을 감염시킬 때 압축이 풀리면서 설치가 된 후 단독으로 활동을 하게 된다. 또한, 각각의 콤퍼넌트를 이루고 있는 부분에는 특징적인 문자열을 가지고 있다. Windows 95/98/ME/2000과 같은 Win32 시스템을 감염대상으로 하고 메일을 통하여 전파가 되는 특징을 가지고 있다.

Top

□ 콤퍼넌트의 기능

MTX웜바이러스의 구조에서 주요부분을 차지하고 있는 바이러스코드 부분은 Win32 실행화일을 감염시키며 웜부분에서는 전자우편을 통하여 보내지는 메시지에 감염된 첨부화일을 보내도록 하고, 설치된 백도어를 통하여 감염이 된 시스템에 플러그인을 다운로드받아 자체의 기능을 업그레이드하거나 시스템 정보를 외부로 유출한다.

■ 바이러스(Virus) 콤퍼넌트

보통 일반적인 바이러스의 경우에는 파일의 엔트리 코드 부분을 감염을 시키지만 MTX웜바이러스는 지능적으로 파일의 중간 부분에 "Jump-to-Virus" 명령어를 심어 놓고 실행하였을 경우에만 바이러스가 실행하도록 하는 EPO (Entry Point Obscuring)이라고 하는 암호화기법을 이용한다. 바이러스코드는 암호화가 되기 때문에 제어권을 바이러스 코드가 얻을 경우에는 제일 먼저 암호를 풀도록 되어있다.

그 다음에는 바이러스는 Win9x, WinNT, Win2000와 같은 Win32 Kernel을 스캐닝하여 현재디렉토리와 임시디렉토리(temporary), 윈도우(Windows)디렉토리에 있는 PE형태의 Win32 실행화일을 감염을 시킨다. 만약에 아래와 같은 백신 프로그램들이 실행 중에 있다며 바로 감염을 중단한다.

IE_PACK.EXE - 바이러스로부터 감염이 되지 않은 웜 코드

WIN32.DLL - 바이러스에 감염이 된 웜코드

MTX_.EXE - 백도어 코드

NUL=C:WINDOWSSYSTEMWSOCK32.DLL C:WINDOWSSYSTEMWSOCK32.DLL=D:WINDOWSSYSTEMWSOCK32.MTX

nii. nai. avp. f-se mapl pand soph ndmi afee yenn lywa tbav yman

wildlist.o* il.esafe.c* perfectsup* complex.is* HiServ.com* hiserv.com*

metro.ch* beyond.com* mcafee.com* pandasoftw* earthlink.* inexar.com* comkom.co.* meditrade.* mabex.com * cellco.com* symantec.c* successful* inforamp.n* newell.com* singnet.co* bmcd.com.a* bca.com.nz* trendmicro* sophos.com* maple.com.* netsales.n* f-secure.c*

README.TXT.pif I_wanna_see_YOU.TXT.pif MATRiX_Screen_Saver.SCR

LOVE_LETTER_FOR_YOU.TXT.pif NEW_playboy_Screen_saver.SCR

BILL_GATES_PIECE.JPG.pif TIAZINHA.JPG.pif FEITICEIRA_NUA.JPG.pif

Geocities_Free_sites.TXT.pif NEW_NAPSTER_site.TXT.pif METALLICA_SONG.MP3.pif

ANTI_CIH.EXE INTERNET_SECURITY_FORUM.DOC.pif ALANIS_Screen_Saver.SCR

READER_DIGEST_LETTER.TXT.pif WIN_$100_NOW.DOC.pif IS_LINUX_GOOD_ENOUGH!.TXT.pif QI_TEST.EXE AVP_Updates.EXE SEICHO-NO-IE.EXE YOU_are_FAT!.TXT.pif FREE_xxx_sites.TXT.pif I_am_sorry.DOC.pif Me_nude.AVI.pif Sorry_about_yesterday.DOC.pif

Protect_your_credit.HTML.pif JIMI_HMNDRIX.MP3.pif HANSON.SCR FUCKING_WITH_DOGS.SCR MATRiX_2_is_OUT.SCR zipped_files.EXE BLINK_182.MP3.pif