Conficker 조치 가이드 (1) Posted By ASEC , 2009년 10월 13일 1. Conficker 개요 ——————————————————————————————————- 해당 악성코드는 윈도우 보안 취약점(MS08-067), 관리공유 및 이동디스크를 통해 빠르게 확산되어 네트워크 자원(랜덤 및 B클래스 IP대역을 대상으로 Remote TCP 445포트로 대량의 트래픽 발생)을 소모시킨다. 추가적으로 진단을 어렵게 하는 기법이 사용되었는데, 악성코드 원본을 Svchost.exe에 Remote Handle(원격핸들)로 오픈하여 실행되며, 악성코드가 등록한 레지스트리 서비스 및 악성파일 원본에 Read권한을 없애 파일/레지스트리에 접근을 불가능하게 한다. 2. Conficker 증상 확인 방법 ——————————————————————————————————- A. 네트워크를 통한 확인 방법 [주요 증상] – TCP 445 포트로 다량의 트래픽을 발생 – DNS 쿼리를 후킹하여 보안 사이트만 접속되지 않도록 하는 증상 발생 (ex) MS 사이트, ahnlab.com 등 [의심 증상] – 랜덤 및 B클래스 IP대역을 대상으로 Remote TCP 445포트를 통한 대량의 트래픽 발생시키는 시스템 존재 [세부 확인] – 의심 증상이 발생되는 시스템에서 패킷 덤프를 저장한 후…
