HITEL───────────────────────────────────── SAPDS 전체자료 보기 #4/952 ━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━ 출 처: UPDS 제 목: 바이러스대(大)백과 사전. 저작권: 등록자: 이현로(진정한짱) UP: 1999-03-09 전송: 935 파일명: virus.txt OS환경: 크기: 21K ─────────────────────────────────────── [2] 제목 : [특강]바이러스 특강 바이러스의 정의 : 컴퓨터 바이러스란 '사용자 몰래 다른 프로그램 에 자신을 복사하는 프로그램' 이다. 원리 : 실 행 시 작 | 다른 프로그램 감염여부 자체조사 | 이 미 감 염 ---아니오-> 바이러스 복사 | | | 예 | 원래 프로그램 실행 <-------+ 종류 :국내에서 발견된IBM PC바이러스종류별분포 1. 파일 바이러스 : 69종 2. 부트 바이러스 : 32종 3. 부트 & 파일 : 5종 국내에서 발견된 IBM PC바이러스출처별분포 1. 외국산(수입산) : 64종 2. 국 내(국산??) : 42종 　 파일 바이러스 의 분류 방법 감염 파일에 따른 분류 1. 특정 파일 감염 바이러스 2. COM파일 감영 바이러스 3. EXE파일 감염 바이러스 4. COM∮EXE파일 감염 바이러스 5. COM∮EXE∮SYS파일 감염 바이러스 ＿ 감염 위치에 따른 분류 1. 기생형 바이러스 2. 겹쳐쓰기형 바이러스 3. 산란형 바이러스 4. 연결형 바이러스 �� 동작 원리에 따른 분류 1. 비 상주형 바이러스 2. 상주형 바이러스 �� 변형 바이러스에 대한 판단 기준 1. 원형 컴퓨터 바이러스만으로 분류 2. 변형이 심하게 된것만 다른종으로 분류 3. 증상이 조금만 다른 경우에도 다른 종으로 분류 4. 백신 프로그램 입장에서 분류 5. 모든 변형을 다른 종으로 분류 　 컴퓨터 바이러스의 감염 증상 1. 컴퓨터의 속도 저하. 부팅시간 지연, 프로그램 실행 시간 지연 등 2. 컴퓨터 바이러스의 감염 흔적 기억장소의 크기갑소, 파일길이의 증가, 파일 작성일의 변경등. 3. 파괴 증상 프로그램 실행 중지, 파일 삭제, 하드디스크 인식 불가능 등. 4. 각 컴퓨터의 특징적인 증상. 메세지 출력, 음악 연주, 그림등. 글 백신 프로그램 사용전 알아둘 사항들.... 1. 컴퓨터 바이러스에 대한 예방법을 제대로 실행 2. 최신 버전의 백신 프로그램을 사용 3. 두세개 정도의 백신 프로그램을 함께 사용 4. 백신 프로그램에서 진단하지 못하는 경우도 있음. 5. 백신 프로그램에서 잘못 진단하는 경우도 있음. 6. 백신 프로그램에서 치료해도 완전히 복구가 안될수도 있음 * 안티 CMOS (AntiCMOS) 바이러스 1) 이름: 안티 CMOS (AntiCMOS) 2) 다른이름: Lenart, Lixi 3) 제작지: 외국산 (94년 1월 홍콩 발견) 4) 국내발견: 94년 4월 5) 종류: 부트 (플로피, 하드 디스크: 주부트 섹터) 6) 증상: 가끔 CMOS 자료를 지운다. 7) 내용 :안티 CMOS 바이러스는 외국산 부트 바이러스로 94년 1월 홍콩에 서 최초로 발견되었다.안티 CMOS 라는 이름이 붙은 이유는 가끔 CMOS 자료를 지우기 때문에 붙여 졌다. 감염된 플로피 디스크로 부팅하면 하드 디스크를 사용하지 않았어도 하 드 디스크를 감염시킨다.기억장소에 바이러스가 상주하면 기본 기억장소의 크기를 2 KB 줄이고 사용되는 플로피 디스크를 감염시킨다.플로피 디스크와 하드 디스크의 주부트섹터에 감염된다. 하지만 바이러스가 정상적인 부트 섹터의 역할을 하므로 원래의 부트 섹터를 따로 보관하지는 않는다.특징적인 증상은 CMOS 자료중 디스크 관련 부분을 지워 버려 마 치 디스크 드라이브가 존재하지 않는것처럼 만드는 것이다. 컴퓨터에서는 디스크 드라이브 (플로피, 하드)가 존재하지 않는 것으로 인식하므로 재설정 해주어야 한다.일부 사용자 사이 에서는 바이러스 이름 때문에 CMOS 에 기생하는 것으로 알려져 있지만 사실과 다른다. 대부분의 백신에서는 AntiCMOS 혹은 AntiCMOS.A 라고 진단한다.CPAV에서는 Lenart로 TBAV에서는 Lixi로 진단한다. 1/4분기에 45종이 발견된 데 비해 97년 동 기간에는 72종이 발견되었다. 이는 지난 한 해 발견된 바이러스 225 종의 1/3에 해당하는 수치로 연초부터 증가세를 과시하는 듯하다. 72종 가운데 국산 바이러스가 49종으로 68.1%를 점유, 바 이러스의 신토불이 바람이 여전한 것으로 나타났으며, 종 류별로는 파일 바이러스가 67종, 부트 바이러스가 4종, 부 트/파일 바이러스가 1종으로 분석됐다. 국산 바이러스는 작년 1/4분기 30종에 비해 올해 동 기간 에 63.3% 증가한 49종이 발견되었다. 한국산 바이러스들의 특징은 변형 바이러스가 대부분을 차지한다는 것. 이미 널리 알려져 있는 '시스터보(SysTurbo)', '한국변형 매독(Pox.Kr)' 바이러스가 각각 4종이 발견되었으며 '회오 리(Eddy)', '한국변형 흡혈귀(Leech.kr)' 바이러스 변형도 각각 1종씩 발견되었다. 외국산 바이러스로 제작 툴키트가 공개된 'NRLG' 바이러스 의 한국산 변형 바이러스는 각 24종이나 발견돼 공개된 툴 키트가 바이러스 제작에 이용되는 정도가 매우 심각한 것 으로 나타났다. 'NRLG' 시리즈와 마찬가지로 제작 툴키트가 공개되어 있는 외국산 'IVP(Instant Virus Production)'의 국산 변형 바 이러스는 13종이 발견되었다. 'IVP'는 외국의 바이러스 제 작 그룹인 YAM(Youngsters Against Mcafee)에서 제작한 바 이러스 제작 툴키트로, 이것이 처음 공개된 것은 95년이 다. 그동안 많이 발견되지 않았던 'IVP' 바이러스 변형이 갑자 기 대량 발견되는 것은 올해 2월 사설 BBS에 툴키트가 올 려졌기 ㎖문이다. 국산 바이러스 중에서는 특히 아직 V3Pro 97, V3+ 이외의 다른 백신으로는 검색조차 되지 않는 새로운 다형성 바이 러스인 'FCL' 바이러스가 등장해 사용자들을 긴장시키고 있다. 1월은 '시스터보' 바이러스가, 2월은 'IVP' 바이러스, 3월 은 '우주여행' 바이러스가 특히 기승을 부렸다. 1월에 발견된 '시스터보.II.2021' 바이러스(다른 백신은 'FCL.1852', 'Systurbo.Nop.2044' 등으로 진단)는 한국산 파일 바이러스로 기존의 '시스터보.1747' 바이러스를 변형 시켰으며 '회오리' 바이러스의 기법을 일부 차용했다. HW, V3, F-, J2, T2, TK, TV, TB, WC, CO, DE, VI, FI, GI, RA, FE, MT, BR, WI 같은 이름으로 시작하는 파일은 감염시키지 않으며 매년 12월 25일 감염된 파일을 실행하 면 CMOS의 데이터를 삭제하고, 1997년 12월 3일에는 CMOS 데이터를 지운다. 내부의 암호를 풀어보면 다음과 같은 문 자열이 존재한다. [FCL virus] Nice Meet You See Again No WORK LAW 2월에 발견된 'IVP' 시리즈 중 'IVP.765' 바이러스는 COM. EXE 파일 모두를 감염시키며 파일 크기를 765바이트 증가 시킨다. 감염된 파일을 실행하면 다음과 같은 메시지를 출 력한다. 최근 인기있는 주말 연속극 '첫사랑'의 주인공 이 름들을 출력시켜 '첫사랑' 바이러스라고도 불린다. [First Love MBC Saturday&Sunday PM 7:55] Seong Chan-woo, Seong Chan-hyuk, Seong Chan-ok, Seong Duk-bae, Lee Hyo-kyung, Park Shin-ja, Kang Suk-hee 3월의 '우주여행.1120(Cosmos.1120)' 바이러스는 COM 파일 만 감염시키며, 파일 크기를 1120바이트 증가시키는 외국 산 파일 바이러스이다. 1500 ~ 54000바이트 사이의 COM 파일들을 한 번에 6개씩 감염시키며, 매시 52분 0초에서 52분 20초 사이에 감염된 파일을 실행하면 화면에 많은 별들이 나타내면서 시스템을 다운시킨다. 이때 화면에는 이미 고인이 된 유명한 천문학 자 칼 세이건을 추모하는 것으로 보이는 문자열을 출력한 다. To Carl Sagan, poet and scientist, this little Cosmos.(Spanska 97) 누차 지적한 바이지만, 변형 바이러스가 계속 늘어나는 것 은 바이러스 소스 및 바이러스 제작 프로그램을 아무런 문 제의식 없이 사설 BBS의 자료실이나 서적 등을 통해 무분 별하게 공개하고 있기 때문이다. 바이러스 소스 및 제작 툴키트를 공개하는 행위는 바이러 스 제작을 부추기는 무책임한 행동으로, 많은 사람들의 피 해를 불러온다는 점에서 반드시 근절돼야 할 악행이다. [정보] 몽키 바이러스에 대한... 제 목 : MONKEY바이러스란..... [Monkey] 바이러스 이름: Monkey 별명: Stoned.Empire.Monkey.B, Monkey 2 바이러스 형태: 부트 바이러스 설명: 이 바이러스는 부트섹터에 감염됩니다. 감염방법: 감염된 디스켓으로 부팅되면 메모리에 상주합니다. 이때에 접근되는 모든 디스크의 부트섹터를 감염시킵니다. 도스의 CHKDSK로 검사해보면 전체 메모리가 1,024 바이트 감소 되었을 겁니다. Monkey-1은 MS-Windows 사용시 감염되는 몇 안되는 바이러스 중 하나입니다. 손상: 마스터 부트영역을 암호화하여 부트영역을 깨끗이 하면 파티션테이블이 지워져서 접근할수 없다고 표시됩니다. 주의 : 메모리에서 부트영역에 감염 하려할 때 감염되지 않은 버젼은 다음과 같은 메시지를 표시합니다. Caution: Do not use FDISK /MBR to clean this virus. 치료방법: 킬 몽크 백신 프로그램을 깨끗한 부팅 디스켓에 넣어서 실행을 하시길 바랍니다. [18] 제목 : [정보] SUNDAY 바이러스에 대한... 올린이 : 절망수첩(손명재 ) 97/08/14 14:19 읽음 : 61 관련자료 없음 제 목 : SUNDAY바이러스란 [SUNDAY] 바이러스 이름: Sunday 다른 이름: 없음 바이러스 종류: 부트 스트랩 영역 바이러스 (메모리 상주형) 바이러스 길이: 1636 바이트 피해: 일요일에 이 바이러스는 사용자가 컴퓨터를 사용할 수 없게 만듭니다. 확인 방법: 일요일에 바이러스는 다음과 같은 메시지를 표시합니다. "Today is Sunday! Why do you work so hard? All work and no play makes you a dull boy! Come on! Let's go out and have some fun!" [정보] VIENNA_II 바이러스에 대한... 바이러스 이름: VIENNA-11 바이러스 종류: File Infector Virus(COM파일 감염) 바이러스 길이: 943 바이트 PC 벡터호출:없음 실행경로: 1)시스템 클락 세컨드( clock seconds)가 SECOND=.0004와 같은지 확인합니다. 만약 같으면, 다음과 같은 메시지가 나타납니다. "Sorry this computer is no longer operational due to an outbreak of Bush is hero, Have a Nice day. . . " 2)다음으로 시간이 TIME=7:45 on 24th,March 와 같은지 확인합니다. 만약 같으면 스크린에 메시지가 나타납니다. "VIPERizer, Strain B (c) 1992, Stin gray/VIPER Happy Valentines Day !" 그리고 나서 하드디스크를 포함한 디스크의 모든 데이타를 파괴시킵니다. 3)만약 아니면, 그것은 현재 디렉터리에 있는 COM 파일을 찾습니다. 4)그것이Vienna-11에 의해 감염되었는지를 확인합니다. 만약 그렇다면, 그것은 감염되지 않은COM파일을 계속 찾습니다. 5)그러면 한번에 한 파일씩 감염시킵니다. 그리고 나서 원래 파일을 실행시킵니다. 피해: 모든 디스크에 있는 데이타를 모두 파괴시킵니다. 주의: 1)메모리 상주형이 아닙니다. 2) Vienna-11 은 바이러스 감염시킬 때 NT 24h를 호출하지 않습니다. 만약 I/O 에러가 있으면 에러 메시지를 나타냅니다. [20] 제목 : [정보] TPVO.3783 바이러스에 대하여... 올린이 : rylqpfhc(장홍재 ) 97/08/19 13:54 읽음 : 62 관련자료 없음 제가 이번에 TPVO.3783 바이러스를 조심하라는 글을 올립니다.. 그럼 본문으로 들어가 보겠습니 다....... 먼저 TPVO.3783 바이러스는 부트/파일 바이러스입니 다... 그래서 파일도 감염시키고 부트섹터도 감염시킵니 다........ 그런데 주 부트섹터를 감염시키기 때문에 보통 FDISK나 FORMAT로는 날라가지가 않습니다.... 그리고..... 도스에서 V3를 실행시키면....V3실행이 멈 춥니다... 그 이유또한 물론 주 부트섹터를 감염시키기 때문입니다... 이럴 때는 ㎖끗한 부팅디스켓으로 부팅을 한후....V3 최신 버전을 받아서 치료를 하면 치료가 됩니다.... 근데....간혹 한번씩 V3RES에서는 바이러스가 발견되어서 V3를 실행시키 라고 하지만....V3를 실행시켜보면 바이러스가 잡히지 않는 경우가 있습니다.... 어쨋든 그 바이러스를 조심하시길....... 바이러스 연구모임을 사랑하는 현승이........... [21] 제목 : [부트] 치료가 안될경우 부트 바이러스에 걸려서 하드디스크가 못쓰게 되었을 경우.... 그럼 본론으로,,,, 부트 바이러스중 신종,,,들은 수가 어없죠... 안철수 씨께 도움을 청하는 방법도 있지만...그것보다는 그냥 자신이 바이러스를 없에버리는 것이 좋을 겁니다 1. 컴퓨터를 켠다 2. DEL 키를 누른다 3. AMBIOS에 들어간다 4. 하드디스크 유틸리티에 들어간다 5. 하드 포맷에서 포맷을하면 부트바이러스는 <<< 싸그리 물러간다 >>>> WHY!!! : 부트를 모두 밀어버린다... [강좌] 백신제작 및 바이러스변형 하하.. 제가 드디어... 어셉을 구입했습니다.. 다음부터 강좌를 열겠습니다.. 목표는 백신제작 및 바이러스 변형입니다.. 관심있으신 분은 제게 메일을.. 그러면 유용한 프로그램하나와 어셈을 드리겠습니다. 아! 그리고 제가 하련느 어셈은 터보어셈블리입니다.. 이름하여 TASM 2.5 정도로 하죠.. 그럼 이만... 바이러스 연구모임을 사랑하는 현승이.... 21번 글 에서는 처음 부팅을 한 후, Del을 눌러 하드 디스크 유틸리티.. 에 가서 하드 포맷을 하면 부트 바이러스가 날라 갑니다.. 그러나 제가 해보니 저희 컴퓨터의 하드디스크 유틸리티에는 하드포맷을 하는 것이 없었습니다.. 근데.. 시삽은.. .. 시삽이 생각하는 게 아닌 건...서럼\군요.. 바이러스도 못날리고... [29] 제목 : [정보] 부트 바이러스 100% 없애기.. FDISK /MBR 을 해주세요.. 그러면..마스터 부트 섹터가 초기화 됩니다.. 메모리에 있는 바이러스는 백신 가지고 치료하세요.. 그럼 이만.. 제가 하려고 하는 바이러스 강좌는 시삽꺼랑은 약간 다릅니다.. 저는 바이러스 내부 문자열과 행동사항.... 바이러스 제작쪽으로 할 예정입 니다... [42] 제목 : ?7m[강좌]?0m1~4세대 바이러스 백신 프로그램을 만들기 위해..분석을 배우려고..이 모임에 들어왔죠.. 지금 제가 쓴 이글은 빼긴 것임니다.. 제가 쓴글이 아니고.. 어느 책을 배낀것입니다..(철수님의 ?책) 진우님이 질문에.. 답변을 하는 사람이 없는것 같아서.. 바이러스 관련책을 가지고 있는제가 빼긴것입니다.. 이걸 다 읽으시려면.. 힘드니깐.. 지금 갈무리 해놓으시고.. 나중에 보세요.. 통신 상에서 이걸 다읽는 것은 무리라고 봄.. (자기 마음데로..) 바이러스 발전 단계.. 제 1세대 원시형 바이러스. 제 2세대 암호화 바이러스. 제 3세대 은페형 바이러스. 제 4세대 갑옷형 바이러스. 각 바이러스에 대한 설명.. 제 1세대 바이러스는 원시형 바이러스(primitive virus)다. 이것은 실력이 뛰어나지 않은 아마추어 프로그래머들에 의해 만들어졌으며, 컴퓨터 바이러스라는 것이 실제로 존재할 수 있다는 가능성을 증명하는 수준이었다. 원시 바이러스는 분석하기도 쉬우 며, 백신 프로그램을 제작하기도 쉽다. 돌 바이러스(Stoned virus), 예류살렘 바이러 스 등 대부분의 컴퓨터 바이러스들이 여기에 속한다. 다음에 출현한 제 2세대 바이러스는 암호화 바이러스(encryption virus)다. 이것은 어느 정도 실력을 갖춘 프로그래머들에 의해 만들어졌으며, 백신 프로그램이 진단하기 어렵게 하기 위해 프로그래의 일부 또는 대부분을 암호화시켜 저장한다. 그러나 실행 이 시작되는 부분에 존재하는 암호를 푸는 부분은 항상 일정하므로 실효를 거두지 못 했다. 폭포 바이러스(Cascade virus), 느림보 바이러스(Slow virus) 등이 좋은 예다. 제 3세대 바이러스는 은폐형 바이러스(stealth virus)다. 여기서 "stealth"라는 말은 스텔스 비행기에서 유래된,것이다. 즉, 스텔스 비행기가 레이다에 걸리지 않게 자신을 은폐하는 방법을 사용하는 것과 마찬가지로, 은폐형 바이러스도 사용자나 백신 프로그 램의 진단 과정을 방해하는 기법을 사용하기 때문에 붙여진 이름이다. 은폐형 바이러스는 어느 정도 실력을 갖춘 프로그래머들에 의해 만들어졌으며, 자신 을 은폐할 뿐만 아니라 사용자느 백신 프로그램에게 거짓 정보를 제공하기 위해 다양 한 기법을 사용하고 있다. 즉, 은폐형 바이러스는 기억장소에 존재하면서, 감염된 파 일을 길이가 증가하지 않은 것처럼 보이게 하고, 백신 프로그램에서 감염된 부분을 읽 으려고 하면 감염 되기 전의 내용을 대신 보여줌으로써 컴퓨터 바이러스가 존재하지 않는 것처럼 백신 프로그래머나 사용자를 속이는 것이다. 브레인 바이럿, 조쉬 바이러 스(Joshi virus), 512 바이러스, 4096 바이러스 등이 좋은 예다. 그러나 은폐형 바이러스라도 기억장소를 먼저 검사해 은폐기능을 무력화 시키면 쉽게 진달할 수 있다. 일부 매스컴이나 광고에서 은폐형 바이러스는 대부분의 백신 프로그 램으로 진단되지 않는 최첨단 기술을 사용하는 일부 백신 프로그램만 이들을 진단할 수 있다는 말도 잘못된 것이다. 제 4세대 바이러스는 갑엇형 바이러스(armour virus)다. 제 2세대 암호화 바이러스와 제 3세대 은폐형 바이러스들은 백신 프로그램 자체가 공격 목표였다, 즉, 백신 프로그 램이 컴퓨터 바이러스들을 진단하기 어렵게 하기 위해 암호화나 은폐 기법을 사용했 다. 그러나 이 시도가 무력화되자, 컴퓨터 바이러스 제작자들은 백신 프로그래머에게 공격을 화살을 돌리기 시작했다. 즉, 백신 프로그램으로부터 숨으려는 노력보다는 여 러단계의 암호화와 고도의 자체수정 기법 등을 동원하으로써, 백신 프로그래머가 컴퓨 터 바이러스를 분석 백신 프로그램을 만들기가 까다롭게 만듦으로써 백신 프로그램 개 발을 지연시키는 방법을 사용한 것이다. 이 것이 갑옷형 바이러스다. 갑옷형 바이러스의 일종으로 다형성 바이러스(polymorphic viurs)가 있다. 이것은 암 호화 바이러스의 일종이지만, 암호화를 푸는 부분이 항상 일정한 단순 암호화 암호화 바이러스와는 달리 암호화를 푸는 부분조차도 감염될 때마다 달라진다. 다형성 바이러 스 중에는 한 바이러스가 100만 가지 이상의 변형을 만드는 경우도 있다. 따라서 백신 프로그램에서 단순히 문자열을 비교하는 방법만으로는 진단하기 불가능하며, 바이러스 의 암호화 알고리즘(algorithm)을 내장하면 진단할 수 있지만 백신 프로그램 자체의 속도를 현저하게 저하시키는 점이 문제점으로 지적된다. 갑옷형 바이러스들은 최상을 실력을 가진 전문 프로그래머가 개인 혹은 단체로 만들 어낸 것이라고 생각된다. 갑옷형 바이러스의 대표적인 예인 고래 바이러스(Whale viru s)의 경우 여러명의 전문가들이 모여 겨우 분석을 마칠 수 있었다고 한다. 현재로서는 갑옷형 바이러스에 속하는 것들이 많지 않지만, 장래에 많은 문제를 일으킬 소지가 충 분하다. 그러나 은폐형 바이러스와 마찬가지로 다형성 바이러스들도 진단이나 치료가 불가능 한 것은 아니며, 실제로 대부분의 백신 프로그램들을 사용하면 진단과 치료가 가능하 다. 따라서 이 경우에도 역시 갑옷형 바이러스또는 다형성 바이러스가 대부분의 백신 프로그램으로 진단되지 않은 최첨단 기술을 사용하고 있다는 말은 잘못된 것이며, 최 첨단 기술을 사용하는 일부의 백신 프로그램에서만 이들을 진단할 수 있다고 선전하느 것도 잘못된 것임을 알아두어야 한다. -바이러스 분석 강좌- 안녕하세요.. 키콤백신 제작자 최원혁입니다. 아래의 강좌 내용을 주욱~ 보다가.. 준영님이 잘 모르시는 부분을 답변해드릴려고.. 몇자 적습니다. 1. 바이러스 진단 문자열 선별법 실제 바이러스 진단 문자열을 선별할때에는 가장 신중을 기해야하는 부분 입니다.. 무조건 감염된 파일들에게서 똑같은 부분이 있다고 하여.. 그부 분을 진단 문자열로 선정을 해서는 안된다는 뜻이지요.. 저의 경우 바이러스 진단 문자열을 선정할때.. 몇가지 규칙을 두고 있습니다. 가장 큰 비중을 차지하는 것이 바로 선정한 진단문자열에 CMP 명령어가 있는부분은 가감히 진단 문자열 선택에서 제외해야 합니다. 그렇지 못한다면.. 간단하게 바꾼 변형 바이러스를 진단 못한다는 단점이 생기게 되는거죠. 두번째로 가능한 바이러스 진단 문자열은 두개 정도를 선택해야 합니다. 역시 바이러스 오진을 막기 위함입니다. 바이러스 특유의 부분을 진단 문자열로 선정하는 것이 가장 좋습니다. 이 바이러스가 아니면 이러한 진단 문자열은 다른 바이러스에서 찾아볼수가 없는 그러한 문자열을 선정하는것이 가장 중요합니다. 2. 바이러스 코드 내부에 CS, IP, SS, SP를 저장하는 이유. 바이러스 코드 내부에 원래의 CS, IP, SS, SP를 저장하지 않으면.. 바이러스에 감염된 파일을 실행 시켰을때 바이러스 코드가 실행된 후에 원래 감염 이전의 프로그램을 실행하기 위해서는 꼭 필요하기 때문입니다. 아무리 좋은 바이러스라고 해도.. 원래 프로그램을 실행시키지 않는다면 금방 바이러스라는것이 들통이 나기 때문이죠. 그렇기 때문에 감염 이전의 CS, IP, SS, SP의 저장이 바이러스에 있어서는 중요하다고 할수 있습니다. 백신을 이를 노리고 이 값들의 저장 위치를 알아내서 복구하게 되는겁니다. 어떻게 도움이 되었는지 모르겠습니다. 아참... 한가지 더.. 지적을 한다면.. 준영님이 분석하시는 방법은 간단한 1세대 바이러스 분석시 빠르게 백신을 만드는 방법중에 하나입니다. 하지만 준영님이 하신 방법이 전혀 통용되지 않는 바이러스도 많음을 명심 하십시요... 가능하다면.. 여러개의 파일을 비교해서.. CS, IP, SS, SP의 위치를 찾아내는게 아니라.. 직접 하나의 파일을 역어셈블 해서.. 코드를 해석해 나가면서.. 이러한 값들을 찾아내는게 더 현명하리라 봅니다. 그럼.. [제가 바이러스 강좌를 시작하엿는데.] [강좌] 바이러스 강좌 #1. 이번에는 좀 길듯...언제 끝날지 모르겠군요... 그럼 시작... 1. 컴퓨터 바이러스의 개념 '컴퓨터 바이러스'라늘 말이 신문이나 TV 등의 각종 매스컴을 통해 널리 알려지면서 여러가지 잘못된 개념들이 일반인들과 컴퓨터 사용자들 사이에서 통용되는 것 같다. 어떤 사람은 '컴퓨터를 사용하는 사람들에게 감염되는 신종바이러스성 질환이 발견되었나 보다' 라고 생각하는 경우도 있으며, 또 다른 사람은 '컴퓨터 기계자체에서 서식하는 바이러스가 있어서 전원을 끄더라도 없어지지 않으며, 이것이 디스켓에 묻어서 다른 컴퓨터로 옮겨갈 것이다'라고 생각하는 경우도 있다. 이렇게 잘못된 생각을 하게 된 데는 여러가지 원인이 있을 수 있겠지만 가장 큰 이유 중의 하나는 '바이러스'라는 명칭 때문일 것이다... 이 강좌에서는 컴퓨터 바이러스의 정확한 개념을 설명하고, 컴퓨터 바이러스의 개념에 개한 이해를 돕기 위해 컴퓨터 바이러스의 간단한 동작 원리와 컴퓨터 바이러스가 실제로 다른 프로그램에 감염되는 과정을 보여드리겠습니다.. 또, 컴퓨터 바이러스와 혼동하기 쉬운 트로이 목마 프로그램에 대해서도 자세하게 다루겠습니다.. 2. 컴퓨터 바이러스의 정의 컴퓨터 바이러스란 컴퓨터를 다루는 사용자나 컴퓨터 자체에 감염되는 바이러스가 아니라, 컴퓨터에서 실행되는 프로그램의 일종이다. 그러나 이 프로그램은 다른 프로그램들과는 달리 사용자 몰래 자신을 복사하는 명령어들을 가지고 있다.. 바이러스란 이름이 붙은 이유는 생물학적인 바이러스가 자신을 복제하는 유전인자를 가지고 있는 것 처럼 컴퓨터 바이러스도 자신을 복사하는 명령어들을 가지고 있기 때문이다.. 따라서 컴퓨터 바이러스라는 말보다는 바이러스 프로그램이라는 말이 더 정확한 표현이라고 할 수 있다... �ど�������������������������������������������������■ 　 　 �㉸ΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙΙⅵ� 　 새파두목 조재혁입니다. 이 아이디는 빌린 아이디! 　 �㈘�������������������������������������������������■ 현재 바이러스 종류는 상당히 많지만 MINY1바이러스처럼 가장 원시적인 바이러스는 없네요 자기자신을 근처에 있는 파일들을 찾아서 복사하고 그냥 끝이 나느 식입니다. 코드가 매우 단순해서 분석하기 제일 쉽습니다. 내부에 문자열중에서 MINY1이라는 문자열이 들어 있구요. 이러한 MINY1바이러스의 형태가 상당히 많습니다. 오버랩 방식으로 자기 복제를 하지만 같은 디렉토리 내에서만 복제가 가능하면 한순간에 모든 파일을 사용할수 없게 되버립니다. 보기까 인터럽트 21h의 복사루틴을 간단히 사용해서 Read-Only속성이 걸린 파일은 감염시키지 못하는 약점도 가지고 있습니다. 바이러스의 크기는 정확히 100바이트인데 코드를 보면 일부러 100바이트를 맞추려고 한 흔적이 많이 보입니다. 원래 코드를 추려내보니까 64바이트면 되더군요. 또한 백신으로는 이렇게 64바이트로 추려낸 변종 MINY1에 대해서는 찾아내질 못합니다. 그래서 그런지 MINY1바이러스의 변종이 상당히 종류가 많다고 들었습니다. 백신 제작할때는 이러한 변종 바이러스의 탄생도 고려해야 좋은 백신이 될거 같군요. 이상 저의 바이러스 분석 결과 입니다. 현재 DOOM-II바이러스를 분석중인데 암호화가 되어있어서 풀기가 곤란하더군요. 분석도 꽤 어렵네요. 쩝~~~~~~~~~~~~~~~~ LBC 바이러스는 국산 바이러스로서 '이병철 바이러스' 라고도 불립니다... 이 바이러스 는 디스크의 마지막 FAT 를 파괴시킵니다.... 그리고.. 플로피에 감염되었다면.... 플로피에서 하드 디스크로 넘어올때, 에러가 발생합니다... etext down page
Downloading ETEXT


  etext를 이용해 주셔서 감사합니다. 저희 etext는 아직은 많이 모자라지만, 계속해서 업데이트 되고 만들어가는 공간이니 자주 들려 주시기 바랍니다.
 Palm사용자 여러분이 경우엔, .prc 파일의 다운로드 창이 뜨면 적절히 저장위치를 선택하시면 됩니다.
  셀비안(Cellvic) 여러분, 그리고 WindowsCE계열, 또는 Newton이나 Psion 사용자 여러분들은 .ZIP 파일 형태로 제공되는 etext를 압축을 풀어서 저장하시면 됩니다.
 다 받으신 다음에는 아래의 버튼을 클릭하시면 계속해서 etext를 여행하실 수 있습니다.

  http://www.dlife.co.kr