Total Security 조치 가이드 Posted By ASEC , 2009년 9월 29일 1. 개 요 최근 새롭게 변형되어 등장한 허위 안티 바이러스(AV) 프로그램인 Total Security에 대한 피해사례가 다수 보고되어 조치가이드를 작성하게 되었습니다. 2. 주요 증상 1) 바탕화면이 아래와 같이 바뀝니다. 2) 아래의 그림과 같은 “Total Security” 라는 허위 안티바이러스(AV) 프로그램이 실행 됩니다. 3) 증상 발생 시 조치방법 먼저 Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip Ice Sword 프로그램을 실행 후 [Process] 메뉴로 가서 [숫자8자리.exe] 프로세스를 찾은 후 아래 그림처럼 마우스 오른 클릭 후 [Terminate Process]를 선택합니다. 이제 Ice Sword 에서 [File] 메뉴를 선택을 합니다. 선택 후 아래의 경로로 이동합니다. C:Documents and SettingsAll UsersApplication Data 해당 경로로 이동을 하면 [숫자8자리] 이름으로 된 폴더가 있습니다. 해당 폴더를 역시 마우스 오른클릭 후 [Force Delete]를 누릅니다….
_Restore 폴더 치료 불가에 대한 조치 방법 Posted By ASEC , 2009년 9월 26일 _Restore 폴더는 Windows Me/XP에서 사용되는 시스템 복원 폴더로서 윈도우 환경에서는 해당 폴더내 파일을 삭제할 수 없도록 윈도우에서 쓰기금지되어 있습니다. 따라서 해당 폴더에서 진단되는 경우 치료실패로 나타나게 됩니다. 해당 폴더에서 바이러스나 트로이 목마가 발견되는 것은 사용자 백신 프로그램을 사용하여 치료나 삭제한 파일이 해당 폴더에 백업된 것 입니다. 따라서 해당 폴더내에서 바이러스나 트로이 목마등이 발견 되어도 사용자가 어느 시점으로 시스템을 복원하지 않는 이상 해당 파일이 사용되지 않으므로 그대로 두셔도 무방합니다. 또한 요즘의 최신 백신들은 해당 폴더를 기본적으로 검사대상에서 제외하였습니다. 아래 V3 제품의 [환경설정]을 확인하시면 더 이상 해당 폴더는 검사하지 않습니다. V3 Pro 2002 Deluxe 경우 1. V3를 실행하여 환경설정을 클릭합니다. 2. [고급설정]-> “시스템 복원 폴더 검사” 부분을 체크 해제합니다. V3 Pro 2004 경우 1. V3를 실행하여 환경설정을 클릭합니다. 2. [비검사영역]-> “시스템 복원…
네트워크 트래픽 유발 Win32/Palevo.worm 조치가이드 Posted By ASEC , 2009년 9월 22일 1. 개 요 Win32/Palevo.worm(원본파일명 ; sysdate.exe) 악성코드 관련하여 UDP/5907, UDP/80 등 다수 트래픽을 유발하는 현상이 발생하여 긴급 조치를 위한 가이드를 작성/배포합니다. [그림 1. 관련 트래픽 차단 현황] 2. 주요 증상 주요증상은 다음과 같습니다. 1) 시스템 루트RECYCLERs-1-5-21-[숫자]에 sysdate.exe, Desktop.ini 파일을 생성. 2) 레지스트리 추가를 통해 시작프로그램에 등록. HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonTaskman “C:RECYCLERS-1-5-21-[숫자]sysdate.exe” HKEY_USERSS-1-5-21-[숫자]SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell explorer.exe,C:RECYCLERS-1-5-21-[숫자]sysdate.exe 3) 외부 사이트 접속시도 b***erfly.***Money.biz 9*.9.1*0.**3 bu****fly.s***p.es 8*.1*6.1**.7* q***asdfg.sinip.es 7*.2**.1*2.1*2 unk****.w* 7*.*0.2*.1** 3. 증상 발생 시 조치방법 1) 긴급 수동조치 추가 감염을 예방하기 위해 시스템루트RECYCLER 폴더 이하에 생성된 sysdate.exe 파일을 삭제 합니다. 삭제하는 방법은 아래와 같습니다. 먼저 Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip 다운로드 받은 프로그램을 실행하면 위와 같은 프로그램이 실행이 됩니다. 이제 해당 파일을 삭제하기 위해 File 탭으로…
Autorun 계열 악성코드를 예방해 보자! Posted By ASEC , 2009년 9월 17일 이번 포스팅에는 Autorun 계열 악성코드의 감염을 처음부터 예방하는 방법을 소개해 드리도록 하겠습니다. Autorun 계열 악성코드는 이동형 디스크 장치를 통해 주로 전파가 됩니다. 이미 감염이 된 이동형 디스크 장치를 컴퓨터에 연결을 하게 되면 자동으로 감염이 되게 됩니다. 이러한 Autorun 계열 악성코드를 예방할수는 없을까요? Autorun 계열 악성코드를 예방하는 방법으로 autorun.ini 파일을 자동으로 읽어 실행되는 기능을 꺼버리면 더이상 감염이 되지 않을 것입니다. 하지만 해당 기능을 끄는 방법이 일반인들이 하기에는 어려운 부분이 많아 안철수연구소에서는 이러한 설정을 한번에 할 수 있는 툴을 만들어 배포하고 있습니다. Autorun 실행 방지 툴 다운로드 (클릭) 위에 안내해 드린 프로그램을 다운로드 받으면 위와 같이 파일을 하나 받게 될 것입니다. 위 파일을 실행하게 되면 아무런 창이 나타나지 않지만 이미 설정이 다 된 것입니다. 이제는 더이상 이동형 디스크 장치를 통한 Autorun 계열…
Win32/Induc 안내 및 조치 가이드 Posted By ASEC , 2009년 8월 25일 1. 개 요 Win32/Induc 바이러스는 볼랜드사에서 제작한 델파이 프로그램의 일부 버전(Delphi4~7)에서 사용하는 특정 라이브러리(Sysconst)가 감염된 후 컴파일 과정에서 생성되는 EXE, DLL 등에 바이러스 코드를 삽입하는 기법을 사용하는 피라미드형 바이러스 입니다. 현재 국내에서 델파이로 제작된 다양한 프로그램들이 해당 악성코드에 감염된 상태로 배포되고 있으므로 주의가 필요합니다. 2. 분석 정보 2.1 감염방법 Win32/Induc 바이러스는 델파이로 제작된 파일에 악성코드 소스가 삽입된 형태로 동작합니다. 그러나 일반적인 파일 바이러스와 달리 델파이 프로그램만을 대상으로 공격을 시도하고 실행 파일을 감염시키는 행위를 하지는 않습니다. 따라서 개발프로그램이 설치되어있지 않은 사용자들의 경우 감염 증상이 나타나지 않습니다. 감염 방식 또한 일반적인 파일 바이러스와 차이가 있습니다. 일반적인 파일 바이러스는 공격 대상 파일에 직접 악성코드 소스를 삽입하는 형태로 감염을 시키지만 Win32/Induc 바이러스는 델파이 프로그램에서 사용하는 DCU(Delphi Compiled Unit) 중 Sysconst.dcu 파일에 악성코드 소스를 삽입해두고 개발자가…
