네트워크 트래픽 유발 Win32/Palevo.worm 조치가이드

1. 개 요 Win32/Palevo.worm(원본파일명 ; sysdate.exe) 악성코드 관련하여 UDP/5907, UDP/80 등 다수 트래픽을 유발하는 현상이 발생하여 긴급 조치를 위한 가이드를 작성/배포합니다. [그림 1. 관련 트래픽 차단 현황] 2. 주요 증상 주요증상은 다음과 같습니다. 1) 시스템 루트RECYCLERs-1-5-21-[숫자]에 sysdate.exe, Desktop.ini 파일을 생성. 2) 레지스트리 추가를 통해 시작프로그램에 등록. HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonTaskman “C:RECYCLERS-1-5-21-[숫자]sysdate.exe” HKEY_USERSS-1-5-21-[숫자]SoftwareMicrosoftWindows NTCurrentVersionWinlogonshell explorer.exe,C:RECYCLERS-1-5-21-[숫자]sysdate.exe 3) 외부 사이트 접속시도 b***erfly.***Money.biz  9*.9.1*0.**3 bu****fly.s***p.es  8*.1*6.1**.7* q***asdfg.sinip.es 7*.2**.1*2.1*2 unk****.w*  7*.*0.2*.1** 3. 증상 발생 시 조치방법 1) 긴급 수동조치  추가 감염을 예방하기 위해 시스템루트RECYCLER 폴더 이하에 생성된 sysdate.exe 파일을 삭제 합니다. 삭제하는 방법은 아래와 같습니다. 먼저 Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip 다운로드 받은 프로그램을 실행하면 위와 같은 프로그램이 실행이 됩니다. 이제 해당 파일을 삭제하기 위해 File 탭으로…

필요한 파일만 바로바로 검사하자!

전체 시스템을 검사하기 보다는 가끔은 사용자가 원하는 파일만 선택하여 (또는 파일 하나) 검사를 하고 싶을 때가 있습니다. 사용자가 검사하고 싶은 파일만 따로 검사할 수 있는 방법은, V3의(IS 7.0을 기준으로 설명드립니다.) 환경설정에 보시면 아래 그림과 같이 [기타 설정]에서 “탐색기 설정” 부분에 “Windows 탐색기 메뉴 사용하기” – “통합 검사하기”를 체크합니다. 위와 같이 환경설정을 해 두시면 사용자가 검사하고 싶은 파일만(폴더도 가능) 우클릭한 후 아래 그림과 같이 편리하게 검사를(7.0의 경우 바이러스, 스파이웨어 모두) 할 수 있습니다.

Possible Policies Hijack 해결 방법

사용자의 시스템의 주요 설정과 관련된 레지스트리를 변경하였을 경우 Possible Policies Hijack 진단명으로 V3에서 진단을 하게 됩니다. 악성코드들은 주로 레지스트리 편집기를 실행하지 못하게 하거나 제어판을 사용하지 못하게 합니다. 아래 그림은 V3에서 Possible Policies Hijack으로 진단된 그림입니다. 그런데 PC방 또는 기업에서 자원관리 프로그램에서 정상적인 목적으로 변경된 시스템 정책이 Possible Policies Hijack 으로 진단되는 경우 아래 그림처럼 V3 환경설정에서 허용할 스파이웨어 목록에 진단명을 추가하여 해결할 것을 권장드립니다.

Autorun 계열 악성코드를 예방해 보자!

이번 포스팅에는 Autorun 계열 악성코드의 감염을 처음부터 예방하는 방법을 소개해 드리도록 하겠습니다. Autorun 계열 악성코드는 이동형 디스크 장치를 통해 주로 전파가 됩니다. 이미 감염이 된 이동형 디스크 장치를 컴퓨터에 연결을 하게 되면 자동으로 감염이 되게 됩니다. 이러한 Autorun 계열 악성코드를 예방할수는 없을까요? Autorun 계열 악성코드를 예방하는 방법으로 autorun.ini 파일을 자동으로 읽어 실행되는 기능을 꺼버리면 더이상 감염이 되지 않을 것입니다. 하지만 해당 기능을 끄는 방법이 일반인들이 하기에는 어려운 부분이 많아 안철수연구소에서는 이러한 설정을 한번에 할 수 있는 툴을 만들어 배포하고 있습니다. Autorun 실행 방지 툴 다운로드 (클릭) 위에 안내해 드린 프로그램을 다운로드 받으면 위와 같이 파일을 하나 받게 될 것입니다. 위 파일을 실행하게 되면 아무런 창이 나타나지 않지만 이미 설정이 다 된 것입니다. 이제는 더이상 이동형 디스크 장치를 통한 Autorun 계열…

Suspicious BHO 진단명 해결 방법

BHO는 (Browser Helper Object) Internet Explorer 의 추가적인 기능을 제공하는데 사용됩니다. 스파이웨어는 BHO를 이용하여 DLL 형태로 IE에 의하여 실행되기 때문에 윈도우 작업관리자에서 확인이 되지 않으며 Internet Explorer 7.0 기준으로 [도구]-[추가 기능 관리] 옵션을 통하여 확인할 수 있습니다. 스파이웨어나 애드웨어는 BHO를 이용하여 시작페이지를 사용자가 원하지 않는 페이지로 변경을 하거나 광고 등을 띄우며 또한 시스템 장애나 Internet Explorer 오류의 원인이 되기도 합니다. 아래 그림은 안리포트에서 BHO를 확인할 수 있는 그림입니다. 상기의 그림에서처럼 BHO로 등록된 스파이웨어가 V3에서 진단이 될 경우 “Suspicious BHO”라는 진단명으로 아래 그림처럼 진단되게 됩니다. “Suspicious BHO” 진단명을 해결하기 위해서는 툴바와 같은  불필요한 프로그램들을 [시작]-[제어판]-[프로그램 추가/제거]에서 삭제를 해 주시면 되겠습니다.