1. 감염/전파 패턴
1) MSN에 등록된 ID로 파일전송으로 웜 전송
2) 파일 수신, 실행하면 감염
1) 웜에서 msnus.exe(188928byte)파일 추출, 이동(\\windows\system32\), 메모리 상주
2) C:\sexy.jpg 생성
3) IE를 이용 sexy.jpg를 표시
4) winhost.exe(124416byte : hidden) 파일 추출, 이동(\\windows\system32\)
5) 레지스트리 등록
(\\HKCU\Software\Microsoft\Windows\OLE,
\\HKLM\Software\Microsoft\Windows\Current\Run,
\\HKLM\Software\Microsoft\Windows\Current\RunService) win32 : winhost.exe
3) 감염 PC의 MSN에 등록된 ID에 웜 전송

2. 삭제방법
1) winhost.exe : 타 사용자에게로 전파 시키는 웜
- system32 폴더에 숨김파일로 존재, 일반사용자 검색이 어려움.
- 작업관리자에서 winhost.exe 를 찾아서 프로세스 종료
- \\windows\system32에서 winhost.exe 삭제 (숨김파일)
2) msnus.exe : 웜을 복사, 이동하는 중간 파일
- system32 폴더에 존재
- 작업관리자에서 msnus.exe 를 찾아서 프로세스 종료
- \\windows\system32에서 msnus.exe 삭제
3) C:\sexy.jpg : 웜이 IE를 통하여 보여지게 하는 파일
- C:\에서 삭제
4) 레지스트리 정리
-\\HKCU\Software\Microsoft\Windows\OLE,
\\HKLM\Software\Microsoft\Windows\Current\Run,
\\HKLM\Software\Microsoft\Windows\Current\RunService
에서 win32 : winhost.exe 를 삭제.