| 취약점ID |
24065 |
| 위험도 |
40 |
| 포트 |
707 |
| 프로토콜 |
TCP |
| 분류 |
BackDoor |
| 상세설명 |
해당 Windows 시스템은 Welchia (W32.Welchia.Worm) 웜에 감염된 것으로 보인다.
Welchia 웜은 2003년 7월 16일자로 공시된 "Buffer Overrun In RPC Interface Could Allow Code Execution"라는 제목의 Microsoft 보안 게시판 MS03-026에 설명되어 있는 취약점을 도용함으로써 전파된다. 이 웜은 또한 TCP 80 포트를 이용하여 Microsoft 보안 게시판 MS03-007에 설명된 WebDav 취약점에 대한 버퍼 오버플로우 취약점을 이용하여 전파를 시도하기도 한다.
W32.Welchia.Worm은 다음과 같은 행위들을 한다:
- 마이크로소프트 Windows Update 웹 사이트에서 DCOM RPC 패치를 다운로드하여 설치한다. 그런 다음 컴퓨터를 리부팅시킨다.
- ICMP echo 요청(혹은 PING)을 보냄으로써 감염시킬 살아있는 시스템들을 찾는다. 결과적으로 이는 ICMP 트래픽을 증가시킨다.
- W32.Blaster.Worm의 제거를 시도한다.
- 모든 감염된 시스템들 상에 TFTP 서버를 설치한다.
- 명령을 받아들이기 위해 707/tcp 포트상에 공격하는 컴퓨터로의 재접속을 위해 취약한 호스트상에 Remote Shell을 생성해 놓는다.
* 참고 사이트:
http://www3.ca.com/solutions/collateral.asp?CT=27081&CID=49258
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=WORM_MSBLAST.D
http://www.sophos.com/virusinfo/analyses/w32nachia.html
http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.html
http://home.ahnlab.com/smart2u/virus_detail_1206.html
http://xforce.iss.net/xforce/alerts/id/150
http://www.cert.org/advisories/CA-2003-19.html
http://www.microsoft.com/technet/security/bulletin/MS03-026.asp
* 영향을 받는 플랫폼:
Microsoft Windows Any version |
| 해결책 |
백신 프로그램 (안티바이러스 프로그램)을 이용하여 감염된 컴퓨터로부터 바이러스들을 제거하여야 한다. 만약 안티바이러스 프로그램이 설치되어 있지 않다면 다음 무료 웜 제거기 중의 하나를 다운로드하여 설치한다:
1. Trend Micro Internet Security:
http://downloadcenter.trendmicro.com/index.php?regs=NABU&clk=latest&clkval=280&lang_loc=1
2. Comodo BOClean 4.02: http://www.comodo.com/home/internet-security/anti-malware.php
3. Symantec DCOM Cleaner:
http://securityresponse.symantec.com/avcenter/venc/data/w32.welchia.worm.removal.tool.html
4. SOPHOS W32/Nachi-A Cleaner: http://www.sophos.com/support/disinfection/nachia.html
-- 그리고 --
다음 마이크로소프트의 보안 게시판 MS03-026를 참조하여 시스템에 적절한 패치를 적용하여야 한다:
http://www.microsoft.com/technet/security/bulletin/ms03-026.asp
그리고 IIS 웹 서버가 시스템 상에 가동되고 있고 마이크로소프트 보안 게시물 MS03-007에 설명된 WebDav 취약점에 대한 패치가 적용되지 않았다면 다음 사이트에서 시스템에 적절한 패치를 적용하여야 한다:
http://www.microsoft.com/technet/security/bulletin/ms03-007.asp |
| 관련 URL |
CVE-2003-0109,CVE-2003-0352 (CVE) |
| 관련 URL |
(SecurityFocus) |
| 관련 URL |
(ISS) |
