이번 악성코드 역시 rar 로 위장하고 있는 변종 Dropper 를 다운로드 하도록 제작되어 있습니다.

http://www.baiduqxt.생략/1h생략/ah1.rar
http://www.baiduqxt.생략/1h생략/ah.rar

암호화되어 있는 ah.rar 파일은 Temp 폴더에 ah.exe 이름으로 설치됩니다.
ah.exe 와 시스템 폴더에 생성되는 cyabc.exe 는 동일합니다.

암호화 되어 있는 파일은 바이로봇이 거의 모든 변종을 일괄(Generic) 진단하는 것 같습니다.^^b

초기 10바이트 Cut 하고 첫 번째와 두 번째 두 바이트가 반복되는 2 코드로 Hex - 계산해서 MZ 가 나오면 진단하도록 만든게 아닌가 생각되네요.

http://www.virustotal.com/ko/analisis/8e3d7c2a70598dd156b32f77dfd37b80e809ecffcb11949f3b7891aec30ac0f4-1274753183