본문 바로가기

조치 가이드

작업표시줄이 나타나지 않는 증상 최근 악성코드 치료 후 시스템 재부팅 시 백신 제품의 작동 방해 및 윈도우 작업 표시줄이 한참동안 나타나지 않는 증상이 있는 시스템이 있어 안내 드립니다. 해당 악성코드는 다수의 드라이버 파일을 생성 및 패치 시켜 국내 백신 제품의 작동을 방해하게 됩니다. 현재 V3 제품은 엔진 업데이트 시 주요 파일이 변조되면 복구를 하므로 걱정하지 않으셔도 됩니다. 그리고 작업표시줄이 나타나지 않는 현상은 악성코드가 등록한 드라이버가 정상적으로 로드되지 않아 나타나는 증상으로 추측되며 조치는 아래와 같이 하시기 바랍니다. 1. 작업표시줄이 나타나지 않으므로 [윈도우키 + R키]를 눌러 실행창을 엽니다. 2. 실행창에 "control"을 입력 후 [확인] 버튼을 누릅니다. 3. 제어판이 나타나면 [시스템] 항목으로 이..
폴더가 바로가기 아이콘으로 : ADS 형태로 실행되는 VBS/Autorun 최근 ADS(Alternate Data Stream)의 형태로 실행되는 VBS/Autorun 악성코드의 감염에 의한 피해가 꾸준히 발생되고 있습니다. ADS(Alternate Data Stream)에 대한 정보는 아래의 링크를 참조하시기 바랍니다. 링크 : NTFS 파일 시스템의 숨겨진 영역 1. 감염증상 - 각 루트 드라이브(C:\, D:\, …)의 폴더들이 ‘바로가기’ 파일의 형태로 확인 - 바탕화면의 [내 컴퓨터]를 실행하여도 반응이 없음 - 레지스트리 편집기(Regedit.exe) 툴이 실행 후 바로 종료되는 등의 증상 발생 2. 생성파일 및 레지스트리 정보 - 아래의 파일이 생성 각 루트 드라이브에 [10자리 숫자].vbs, autorun.inf %Windir%\explorer.exe:[10자리..
Win32/Bredolab 류로 인한 네트워크 트레픽 유발 가이드 1. 서론 최근 다수의 시스템에서 네트워크 트래픽을 유발하는 악성코드가 확인 되어 가이드를 작성합니다. 2. 악성코드 감염 증상 해당 악성코드에 감염이 되면 다수의 파일을 다운로드 및 드랍하여 지속적인 재감염 및 네트워크 트래픽을 유발하여 네트워크 장애 및 시스템 리소스를 고갈 시킵니다. 네트워크 트래픽의 대부분은 스팸메일 발송으로 V3 제품이 설치된 시스템이라면 아래와 같은 메시지를 확인할 수 있습니다. 3. 악성코드 감염 시 생성되는 파일 및 레지스트리 3. 1 파일 대표적으로 아래와 같은 파일을 생성하며 해당 파일 외 다수의 파일이 있습니다. C:\RECYCLER\S-1-5-21-4023274132-7382142363-650398018-2867(임의의 폴더명)\wnzip32.exe C:\RECYCL..
로그인, 로그오프 무한 반복 증상! 악성코드 감염 혹은 치료 후 윈도우 로그인 시 암호를 입력하여 로그인 하거나 암호 입력 없이 로그인 중 계속해서 시스템이 정상적으로 부팅이 되지 않고 로그오프이 되는 증상이 있는 경우 해당 포스팅을 참고하시기 바랍니다. 최근 악성코드 중 아래의 윈도우 레지스트리 값을 변경하는 악성코드가 많이 있습니다. 기본값은 아래값과 같습니다. 하지만 악성코드로 인해 아래 값이 아닌 엉뚱한 값으로 변경이 되는 경우 윈도우가 정상적인 진입이 불가능한 경우가 종종 생깁니다. [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] "Userinit"="C:\\Windows\\system32\\userinit.exe," 이러한 증상은 해당 레지스트..
인터넷 페이지를 표시할 수 없습니다. :: Internet Security 2010 최근 DHL메일을 가장한 스팸메일이 지속적으로 유포되고 있습니다. 이 스팸메일에는 DHL로 시작하는 악성파일이 첨부되어 있으며 주로 문서파일 아이콘으로 보여 사용자를 속이고 실행시키도록 유도를 합니다. 자세한 내용은 "악성 스팸 경고" 카테고리에 관련 글들이 많으니 참조해 주세요. Internet Security 2010 은 다른 FakeAV와 유사한 동작을 하는데 한가지 특이점이 있어 알려드리겠습니다. < Fig 2. Internet Security 2010 > 생성되는 악성파일 중 C:\winodows\system32\helper32.dll 파일을 삭제한 후 레지스트리 값을 수정하지 않았을 경우 아래와 같이 인터넷 페이지 오류가 발생하게 됩니다. < Fig 2. 인터넷 페이지 오류 > Internet..
게임 계정 탈취. OnlineGameHack [Cyban] 조치가이드 이번 포스트에서는 최근들어 급증하고 있는 온라인게임핵(Cyban) 의 증상과 조치방법에 대해 살펴보겠습니다. ◆ 증 상 특정 사이트에서 악성코드를 다운로드+드랍하고 아래와 같은 동작들을 수행합니다. < 캡쳐된 패킷 > 1. 온라인게임사이트 계정정보 탈취 - 악성코드는 인터넷익스플로러에 인젝션되어 아래 그림과 같이 하드코딩된 특정 게임사이트의 목록에서 쿠키값(ID,PW 등)을 노립니다. < 게임사이트 목록 > .... .... var b=LOGIN.getCookieValue("CAT");if(b.length>0){var a=b.split("+");if(a.length>1){return a[1];}}return"2"; .... .... < 쿠키값 탈취하는 코드의 일부 > 2. 키보드로깅 - 악성코드는 실행중..
허위 안티바이러스 "Antivirus Live" 조치가이드 1. 서론 최근 허위 안티바이러스 프로그램인 Antivirus Live 가 유포되고 있습니다. 해당 악성코드에 감염시 대부분의 프로세스가 실행되지 않는 어려움이 있어, 감염 증상 및 조치 방법의 안내를 위해 조치 가이드를 작성합니다. 2. 감염 증상 2.1 허위 악성코드 감염 경고 해당 악성코드에 감염되면 아래 그림들과 같이 허위 안티바이러스 프로그램의 실행 창 및 허위 진단 내용이 출력됩니다. [그림 1] 허위 안티바이러스 프로그램 실행 화면 [그림 2] 허위 경고창 [그림 3] 허위 Tray 경고창 2.2 광고 페이지 연결 특정 사이트를 사용자의 동의 없이 지속적으로 띄웁니다. 2.3 대부분의 프로그램 실행 불가 해당 프로그램이 실행중인 경우, 허용된 프로세스 외에 프로세스의 실행이 불가하여 다른 프..
Privacy Center 허위 안티바이러스(백신) 제거 가이드 1. 증상 및 설명 최근 허위 안티바이러스(백신)으로 보이는 Privacy Center 라는 프로그램이 유포되고 있습니다. 해당 프로그램이 설치가 되면 컴퓨터 부팅 시 아래와 같은 프로그램이 실행되며 다른 작업을 할 수 없도록 만듭니다. 2. 조치 방법 이러한 프로그램이 나타나 시스템 사용을 방해한다면 아래와 같이 조치하시기 바랍니다. 1. Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip 2. Ice Sword 에서 [File] 메뉴를 선택을 합니다. 선택 후 아래의 경로로 이동합니다. C:\Documents and Settings\사용자계정\Application Data..