안철수연구소

You have received an eCard 악성코드 스팸메일 주의!

eCard, christmas card 등등.. 이제 이런 스팸메일들은 제목만 봐도 느낌이 오실거라 생각합니다^^; 이번에 소개드리는 악성코드 유포 스팸메일은 본문에 포함된 링크를 통해 악성코드를 다운받게끔 유도하므로, 메일에 포함된 링크는 절대 클릭하지 마세요! 아래는 메일의 내용입니다. 메일 제목 You have received an eCard  본문 내용 Good day. You have received an eCard To pick up your eCard, click on the following link (or copy & paste it into your web browser): http://micro.[삭제].com/ecard.zip Your card will be aviailable for pick-up beginning for the next 30 days. Please be sure to view your eCard before the days are up! We hope you enjoy you eCard. Thank You 링크를 통해 받은 파일의 압축을 해제하면 ecard.exe 가 나옵니다. 이번에도 ini 파일 아이콘으로 위장했네요. 위 파일은 V3에서 Win-Trojan/Agent.145920.AE(V3,…

Please attention! – DHL 메일로 위장한 스팸메일 주의!

악성코드를 퍼뜨리는 스팸메일의 대명사, DHL 이 다시 등장했습니다. 이번 스팸메일에 사용된 제목은 Please attention!  입니다. 아래의 메일 본문을 확인해보시고 비슷한 유형의 메일 첨부파일은 절대로 실행하지 마세요! Dear customer! The courier company was not able to deliver your parcel by your address. Cause: Error in shipping address. You may pickup the parcel at our post office personaly. Please attention! The shipping label is attached to this e-mail. Print this label to get this package at our post office. Please do not reply to this e-mail, it is an unmonitored mailbox! Thank you, DHL Delivery Services. 첨부된 압축파일을 해제하면 아래의 파일이 나옵니다.   이번에는 ini 파일 아이콘으로 위장하여 실행을 유도하고 있습니다. 위 스팸메일의 첨부파일은 V3에서 Win-Trojan/Downloader.135680.U 로 진단가능합니다.     항상 아래와…

악성코드에 감염되어 인터넷이 안됩니다. 어떻게 최신엔진으로 업데이트하나요?

악성코드에 감염되어 인터넷이 안되면 참 난감해집니다. 현재 버젼의 V3에서 인터넷을 못하게 하는 악성코드가 제거가 된다면 좋겠지만, 만약 최신엔진에서만 치료되는 변종 악성코드일 경우는 어떻게 해야 될까요? 엔진은 인터넷으로 업데이트 받는데 말이죠. 이제부터 엔진 업데이트가 불가한 상황(인터넷이 안되는 이유 등으로)에서 엔진을 최신버젼으로 업데이트 하는 방법을 소개하겠습니다. 1. 인터넷이 되는 PC에서 www.ahnlab.com 에 접속 2. 홈페이지 상단의 다운로드 –> 제품관련 파일 클릭   3. 윈도우즈용 클라이언트 및 서버 제품군 엔진을 다운받습니다. (우측 디스켓 모양 클릭)   4. 파일을 USB와 같은 이동식디스크에 저장합니다   5. 저장이 완료되면, 인터넷이 되지 않는 PC로 파일을 복사하고 설치합니다.                                               [ 압축이 풀리고.. ]                                                               [ 업데이트 시작을 눌러주세요 ]   5. 작업이 끝난 후 V3 가 제대로 업데이트되었는지 확인합니다. 6. 정밀(수동)검사를 통해 시스템 전체를 스캔하여 발견되는…

컴퓨터 부팅 시 특정 사이트로 자동 연결 되는 경우!

1. 개 요 최근 악성코드로 인해 thenewspedia.com, bizromour.com, mainstories.com, cultarts.com 등의 사이트가 나타나는 현상이 있어 해당 증상에 대한 조치가이드를 작성합니다. 2. 증 상 컴퓨터 부팅 후 아래와 같은 주소의 웹페이지로 연결이 되거나 웹서핑 도중 아래의 사이트로 연결이 되는 현상이 나타납니다. 3. 조치 방법 1) [시작] – [실행] 을 선택하여 실행창에 [regedit] 입력 후 [확인] 버튼을 누릅니다. 2) 레지스트리 편집기가 실행이 되면 아래 경로를 찾아 이동합니다. HKEY_LOCAL_MACHINE                          SOFTWARE                                     Microsoft                                            Windows NT                                                        CurrentVersion                                                                           Winlogon 3) Winlogon 이하에 Taskman 이라는 값을 확인 후 해당 값에 쓰여진 경로를 기억합니다. 대부분 C:RECYCLER 경로 이하의 폴더가 기록되어 있습니다. 그리고 해당 Taskman 값을 선택하여 마우스 오른클릭 후 삭제를 합니다. 4) Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다….

Conficker 조치 가이드 (2)

3.    Conficker 조치 방법 ————————————————————–   A.    수동 조치 방법(진단불가능) * Win32/Conflicker.worm 변형 수동조치 법   [1] GMER Download : http://www.gmer.net/gmer.zip 에서 툴을 다운로드 받으신 후, 임의의 폴더에 압축을 해제하여 gmer.exe를 실행합니다.   [2] GMER를 실행했을 때 은폐형 파일이 존재할 경우 아래와 같이 메시지가 출력됩니다. 붉은색으로 표시된 부분(svchost.exe에 hidden으로 표시)의 Value 항목에 위치한 값을 확인합니다. (여기서는 Remoteserv) [3] 2번 과정에서 이미 붉은색으로 확인된 내용이 존재하므로, ‘아니오’를 선택합니다.(‘예’를 선택할 경우 Full Scan을 시작하며 많은 시간이 소모됩니다.) 물론 은폐형 파일이라고 해서 모두 악성은 아니며 아래 경우와 동일한 경우에만 수동조치가 필요합니다.   [4] >>> 탭을 클릭하면 숨어있던 탭이 보이게 됩니다.   [5] Registry 탭을 클릭한 후, 아래의 경로를 따라 Services 항목의 하위 키값를 확인합니다. [6] 2번에서 확인된 Value값과 동일한 서비스명을 찾아 하위 Parameter 위치로…