아래 그림과 같이 MSN 메신저로 '~
would like to send you the file "sins.exe"~'라는 메시지를 받은 경우 Accept를 눌러 파일을 내려받고
sins.exe 파일을 실행하면 'Access violation error'라는 메시지가 나오는데 이는 트로이목마 신스.28672를 설치하기
위한 위장술이다.
신스.28672 트로이목마가 설치되면 특정 IP(국외에
서버를 두고 있는 한글 성인 사이트)에 접속해 다른 트로이목마인 신스.53248(Win-Trojan/Sins.53248)을 다운로드하고, 이
트로이목마가 다시 신엠에스엔.20480 웜(Win32/Sinmsn.worm.20480)을 다운로드한다. 이 웜은 MSN 메신저에 등록된 주소로
신스.28672 트로이목마를 자동 발송하는 역할을 한다.
결과적으로 두 개의 트로이목마와 한 개의 웜이 설치되는데, 인터넷
익스플로러 실행 속도가 느려지는 것 외에 파일 손상이나 정보 유출 등의 부작용은 없다.
V3 제품군 최신 엔진 및 패치 파일을
업데이트한 후 치료(삭제)하면 된다. 치료 중 'Win-Trojan/Sins.28672'가 실행 중이면 '강제종료후 치료' 버튼을 클릭하고 실행
중이지 않으면 진단 후 '전체목록치료' 버튼을 눌러 치료(삭제)하면 된다.
안철수연구소 조기흠 시큐리티대응센터장은 "MSN
메신저로 퍼지는 악성 프로그램은 이제까지 FunnyFiles, Choke, Newpic, Exploit.Messenger 등이 있었다. 메신저는
대중적으로 사용되고 있어 이를 전파 경로로 이용하는 악성 프로그램의 수는 더욱 증가할 전망이다."라고 설명했다.
|
