자료저장 11

20) 에이즈(AIDS)Ⅱ 바이러스 [AIDS]

o 동명: 친구(Companion) 바이러스

(1) 1990년 4월에 처음 발견되었고, 국내에서는 1991년 8월에 그 존재가 확인

되었다.

(2) 비상주형, 산란형 바이러스이다.

(3) 검색은 V3V63 이상이나 SCAN V80 이상으로 가능하나 현재로서는 치료가 불

가능하며 감염된 파일을 삭제하는 방법밖에 없다.

(4) 같은 이름의 COM 파일과 EXE 파일이 동시에 같은 디렉토리내에 존재할 때

파일 이름을 입력시키면 COM 파일이 우선적으로 실행되는 성질을 이용한 바

이러스이다. 즉 산란형 바이러스는 EXE 파일에 직접 감염되지 않고 같은

이름의 COM 파일을 만들어서 여기에 바이러스 프로그램을 넣어두는 방법을

사용한다. 그 후에 사용자가 EXE 파일을 실행시키려 하면 COM 파일 형태의

바이러스가 먼저 실행되는 다음에 원래의 EXE 파일이 실행되는 것이다.

(5) 감염된 파일을 실행시키면 음악을 연주하고 다음과 같은 말을 출력한다.

" Your computer is infected with ...

* Aids Virus II *

- Signed WOP & PGT of DutchCrack - "

(6) 8064 byte의 크기를 가지며 감염될 당시의 날짜를 가진다. 또한 프로그램

의 실행이 끝나면 [ Getting used to me? Next time , use a Condom .... ]

이라는 말이 음악과 함께 출력된다.

21) 베베(BeBe) 바이러스 [Be ]

(1) 1990년 12월에 소련에서 처음으로 발견되었으며, 국내에서는 1991년 8월에

그 존재가 확인되었다.

(2) 비상주형, 기생형 바이러스이다.

(3) 감염된 파일의 크기는 1004-1019 byte 증가하게 되며, 파일의 작성일이 감

염된 때로 바뀌어 버린다. 그러나 읽기전용 파일은 감염시킬 수 없다.

(4) 이 바이러스는 내용의 일부분은 기억장소에 상주하는 특징을 가지고 있으

며, 다른 파일을 감염시키는 기능은 갖고 있지 않다.

(5) VIRX에서는 BeBe2 바이러스라고 진단하며, SCAN과 CPAV에서는 기억장소에

존재하는 베베 바이러스를 인식하지 못한다.

(6) 컬러 모니터를 가진 컴퓨터에서는 10분 간격으로 [삑]하는 소리와 함께

[ VIRUS skagi 'bebe' ]라는 말을 출력시키고, 사용자가 [bebe]를 입력할

때까지 기다린다. 사용자가 [bebe]라고 정확하게 입력하면 [삑]하는 소리

와 함께 [skagi bebe]라는 말이 [Fig Tebe]로 바뀌며, ENTER키를 누르면 원

래의 화면으로 돌아간다.

(7) 진단은 V3V74 이상이나 SCAN V84 이상으로 가능하며, 치료는 V3V74 이상으

로 가능하다.

22) 파괴자(Destructor) 바이러스

o 동명: 파괴자 V4.00(Destructor V4.00) 바이러스

(1) 1990년 12월에 불가리아에서 처음 발견되었으며, 국내에서는 1991년 8월에

그 존재가 확인되었다.

(2) 상주형, 기생형 바이러스이다.

(3) 50 byte 이상의 길이를 가지는 COM 파일과 EXE 파일을 감염시킬 수 있다.

COM 파일에 감염될 때는 길이가 1150 byte 증가하며, EXE 파일에 감염될 때

는 1150-1165 byte 증가하게 된다.

(4) 읽기전용 파일도 감염시킬 수 있으며, 감염된 파일의 작성일과 속성은 바뀌

지 않는다.

(5) 파일 바이러스 임에도 불구하고 기억장소(total system memory)의 크기를

2 KB 줄인다.

(6) 진단은 V3V74 이상이나 SCAN V84 이상으로 가능하며, 치료는 V3V74 이상으

로 가능하다.

23) 새해 인사(Happy New Year) 바이러스

o 동명: V1600, 니나에게(Dear Nina) 바이러스

(1) 1990년 12월에 불가리아에서 처음 발견되었으며, 국내에서는 1991년 8월에

그 존재가 확인되었다.

(2) 상주형, 기생형 바이러스이다.

(3) COM 파일과 EXE 파일을 감염시킬 수 있으며, 감염된 파일은 1600 byte 증가

한다. 단, COMMAND.COM의 길이는 증가하지 않는다.

(4) 진단은 V3V74 이상이나 SCAN V84 이상으로 가능하며, 치료는 V3V74 이상으

로 가능하다.

24) 점제거(Dot Killer, Point Killer) 바이러스

o 동명: 944, 점먹기(Dot Eater) 바이러스

(1) 1990년 10월 폴란드에서 처음 발견되었으며, 국내에서는 1991년 8월에 그

존재가 확인된 상주형 및 기생형 바이러스이다.

(2) 어떤 프로그램에서 다른 프로그램을 호출해서 사용하는 경우에 사용자가

" . "키를 누르면 시끄러운 소리와 함께 사람의 웃는 얼굴이 화면에 나타나

서 왼쪽으로 이동하여 점을 없애버린 후에 다시 처음 나타난 위치로 가서

없어져 버리는 것이다. 이러한 증상은 사용자가 " ^ "키를 누르면 없어진

다.

(3) 현재에 감염되지 않은 1개의 COM 파일을 찾아서 감염시킨다. 단, 읽기 전

용 파일(read only file)은 감염시키지 못한다. 감염된 COM 파일은 길이가

944 byte 증가한다.

(4) COM 파일만 감염시킬 수 있으며, 감염된 파일은 길이가 1242 bye 증가한다.

단, 주 디렉토리(root directory)에 존재하는 COMMAND.COM에 감염될 때는

프로그램 내부의 사용하지 않는 영역을 사용하기 때문에 길이가 증가하지

않는 특징을 가지고 있다.

(5) 검진은 V3V74 이상이나 SCAN V84 이상으로 가능하며, 치료는 V3V74 이상의

버전을 사용해야 한다.

25) 정의(Justice) 바이러스

(1) 1991년 8월에 국내에서 그 존재가 확인되었다.

(2) 특이하게도 도스 버전 3.1과 도스 버전 3.3을 사용할 때만 다른 파일을 감

염시킨다.

(3) 상주형, 기생형 바이러스이다.

(4) 이 바이러스가 상주한 다음에는 실행되는 프로그램 뿐만 아니라 오픈

(open), 이름 바꾸기(rename), 파일 속성(attribute) 변경 등 일련의 명령

으로도 감염이 된다.

(5) 바이러스 내부에 "AND JUSTICE FOR ALL"이라는 말이 존재한다.

(6) COM 파일에만 감염되며, 감염된 파일의 길이를 1242 byte 증가시킨다. 단,

COMMAND.COM의 길이는 증가하지 않는다.

(7) 가끔 자료가 제대로 저장되지 않고, 프로그램이나 자료가 파괴되는 일이 발

생한다.

(8) 진단하기 위해서는 V3V74 이상이나 SCAN V84를 사용해야 하며, 치료는

V3V74 이상의 버전을 사용해야 한다.

26) 키누르기(Keypress) 바이러스

o 동명: 키 조작 바이러스

(1) 1990년 10월 미국에서 처음 발견되었으며, 국내에서는 1991년 10월에 그

존재가 확인된 상주형 및 기생형 바이러스이다.

(2) 이 바이러스가 기억장소에 상주하고 있을 때 10분 간격으로 사용자가 한번

누른 키가 5번 반복해서 눌러진 것 같은 현상이 발생한다.

(3) 1217 byte 이상의 길이를 가지는 COM 파일과 모든 EXE 파일을 감염시킬 수

있으며, 읽기 전용 파일(read only file)은 감염되지 않는다. 감염된 COM

파일은 길이가 1232-1248 byte 증가하며, EXE 파일은 1472-1487 byte 증가

하게 된다. 감염된 COM 파일과 EXE 파일은 작성일이 감염된 때로 바뀐다.

(4) 특이하게도 도스 버전에 따라서 다른 감염방법을 사용한다. 즉, 도스 버전

2.xx에서 파일이 오픈될 때 감염되고, 도스 버전이 3.xx 이상에서는 실행될

때 감염된다. 따라서 도스 버전 2.xx일 때는 파일을 복사할 때 감염되고

실행시킬 때는 감염되지 않는다.

(5) 진단하기 위해서는 V3V74 이상이나 SCAN V84를 사용해야 하며, 치료는

V3V74 이상의 버전을 사용해야 한다.

27) 로진스키(Lozinsky) 바이러스

(1) 1990년 12월 소련에서 처음 발견되었으며, 국내에서는 1991년 8월에 그 존

재가 확인된 상주형 및 기생형 바이러스이다.

(2) 4511 byte이하의 COM 파일만 감염시킬 수 있으며, 감염된 파일의 길이를 10

23 byte 증가시키고, 파일의 작성일을 감염된 때로 바뀐다. 감염되면 기억

장소의 크기를 2 KB 줄어든다.

(3) AIDSTEST.EXE라는 프로그램을 실행시키려고 하면 대신에 이 프로그램을 지

워버리고 "Welcome to demo version (C) Zherkov"라는 말을 출력시킨다.

(4) 진단하기 위해서는 V3V74 이상이나 SCAN V84를 사용해야 하며, 치료는

V3V74 이상의 버전을 사용해야 한다.

28) MG 바이러스

o 변형:

① MG-2 바이러스

② MG-3 바이러스 : 1990년 12월에 발견

(1) 1990년 9월 불가리아의 수학훈련원(Matematicheska Gimnazia)에서 처음 발

견되었으며, 국내에서는 1991년 8월에 그 존재가 확인된 상주형 및 기생형

바이러스이다.

(2) COM 파일만 감염시킬 수 있으며, 감염된 COM 파일은 길이가 500 byte 증가

된다.

(3) 진단하기 위해서는 V3V74 이상이나 SCAN V84를 사용해야 하며, 치료는

V3V74 이상의 버전을 사용해야 한다.