[Not_a_virus:PSWTool.MessenPack.852992] 는 사용자의 계정 및 개인 정보를 탈취하는 Not_a_virus:PSWTool.Messen.60928 과 SMTP 프로토콜을 이용하여, 사용자 모르게 BackGround 로 E-Mail 을 전송하는 Not_a_virus:Mailer.Blat.115200, 그리고 이 두 유해가능 프로그램이 유연하게 동작되도록 짜여진 Batch 파일 Not_a_virus:PSWTool.Component.531 로 구성되어 있다. 이 유해가능 프로그램 들은 악의적인 목적에 의해 사용 될 경우, 본래의 취지를 잃고 사용자의 정보보안에 치명적인 악영향을 미칠 수 있으므로, 유해가능 프로그램 으로 진단한다.

[Not_a_virus:PSWTool.MessenPack.852992]  의 감염은, 다른 악성코드 / 사용자에 의해 실행 되어 감염된다. 감염 및 개인 정보 유출과정은 BackGround 로 동작되어 특별한 증상이 발견되진 않는다. 아래 Batch 파일을 통해 감염과정을 확인 해 볼 수 있다.

[그림 1.] 유해가능 프로그램 구동을 위한 batch 파일 내용.

[그림 2.] Text 파일로 저장된 사용자 정보.

< 관련 악성코드 >

Not_a_virus:PSWTool.Messen.60928
Not_a_virus:Mailer.Blat.115200
Not_a_virus:PSWTool.Component.531

< 관련 URL >

http://out.*****.it/
http://*****.it/

< 파일 >

[Not_a_virus:PSWTool.MessenPack.852992] 이(가) 생성하는 파일은 아래와 같다.

blat.exe
lancia.bat
mspass.cfg
mspass.exe
Psw.txt
trendy.jpg
TRENDY~1.JPG
TRENDY~2.JPG

< 표기법 >

"(모든 사용자계정 폴더)" 란 사용자 설정에 따라 다를 수 있으며 일반적으로
C:\Documents and Settings\(모든 사용자계정) 이다

"(바탕화면 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로
C:\Documents and Settings\(사용자계정)\바탕 화면 이다.

"(빠른실행 폴더)" 란 운영체제(혹은 사용자)마다 다를 수 있으며 일반적으로
C:\Documents and Settings\(사용자계정)\Application Data\Microsoft\Internet Explorer\Quick Launch 이다.

"(임시 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로
C:\Documents and Settings\(사용자계정)\Local Settings\Temp 이다.

"(프로그램 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로
C:\Program Files 이다.

“(윈도우 폴더)” 란 운영체제마다 다를 수 있으며 일반적으로
C:\Windows 이다.

“(시스템 폴더)” 란 운영체제마다 다를 수 있으며 일반적으로
C:\Windows\System32 이다.

[그림 1.] MessenPass 프로그램 실행 화면.

[그림 2.] blat 실행화면.