본문 바로가기

조치 가이드

PDF 파일을 이용한 악성코드를 예방하자! 최근 Adobe 사의 Adobe Reader 와 Acrobat 관련 취약점이 많이 나오고 있습니다. 위 표는 Adobe 사의 이번 12월에 발표된 보안 취약점 입니다. 이번달에는 유난히 Adobe사의 여러 주요 프로그램에 대한 취약점이 많이 발표되었으며 이 중 Adobe Reader 와 Acrobat은 악성코드에 이용된 취약점 입니다. 해당 취약점을 이용하는 악성코드는 대부분 PDF 파일 내부에 Javascript를 추가하여 동작하도록 구성되어 있습니다. 따라서 예방을 위해서는 우선 보안 취약점에 대한 업데이트를 확인하는 것이 가장 중요합니다. Adobe Reader 혹은 Acrobat을 실행 후 메뉴에서 [Help] - [Check for Updates] 를 눌러 최신버젼 및 업데이트 여부를 확인하시기..
허위 Windows Security Alert 창이 나타나는 경우 최근 아래 화면과 같은 창이 나타나며 해당 창 외에 어떠한 창도 나타나지 않아 시스템 사용을 불능에 빠뜨리는 악성코드가 발견되었습니다. 현재 V3 제품에서 Win-Trojan/Dsaex.169472 진단명으로 치료가 가능하나 이미 감염이 되어 조치가 불가능한 사용자는 아래 안내해 드리는 방법대로 조치하시기 바랍니다. 1. 우선 아래 게시물을 참고하여 안전모드로 부팅을 합니다. 안전모드로 부팅하기 : http://core.ahnlab.com/53 2. V3 제품이 설치되어 있으시다면 스마트 업데이트를 통해 업데이트 하신 후 검사 및 치료를 하시기 바랍니다. 만약 V3 제품이 설치되어 있지 않으시다면 아래 사이트에서 V3 제품을 다운로드 하여 설치하신 후 역시 엔진을 최신버젼으로 업데이트 하시고 검사 및 치..
컴퓨터 부팅 시 특정 사이트로 자동 연결 되는 경우! 1. 개 요 최근 악성코드로 인해 thenewspedia.com, bizromour.com, mainstories.com, cultarts.com 등의 사이트가 나타나는 현상이 있어 해당 증상에 대한 조치가이드를 작성합니다. 2. 증 상 컴퓨터 부팅 후 아래와 같은 주소의 웹페이지로 연결이 되거나 웹서핑 도중 아래의 사이트로 연결이 되는 현상이 나타납니다. 3. 조치 방법 1) [시작] - [실행] 을 선택하여 실행창에 [regedit] 입력 후 [확인] 버튼을 누릅니다. 2) 레지스트리 편집기가 실행이 되면 아래 경로를 찾아 이동합니다. HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows NT\ CurrentVersion\ Winlogon 3) Winlogon 이하에..
Rustock 조치 가이드 (2) 3. 증상 발생 시 조치방법 II : 수동조치 ----------------------------------------------------------------- 제품에서 진단되는 않는 경우, 아래 과정으로 수작업 조치를 통해 해결해야 한다. 1) GMER Download : http://www.gmer.net/gmer.zip 에서 툴을 다운로드 받으신 후, 임의의 폴더에 압축을 해제하여 gmer.exe를 실행한다. 2) GMER 실행 시 은폐형 파일이 존재할 경우 아래와 같이 메시지가 출력되며, hidden으로 표시된 항목을 찾는다. Rustock 의심파일의 특징은 Hidden이면서 파일명이 숫자로 시작하며 영문/숫자 조합으로 생성된다. 3) 여기서는 System32\drivers\7f0ed690.s..
Rustock 조치 가이드 1. 증상 및 진단 확인 ----------------------------------------------------------------- 1) 방화벽 등의 보안장비에서 Remote 25번 포트로 트래픽을 발생시키는 시스템을 찾는다. 2) 감염이 의심되는 시스템에서 [시작] – [실행]에서 cmd.exe 를 실행 후, netstat –ano 명령으로 네트워크 연결을 확인한다. Rustock에 감염된 시스템은 Remote TCP 25번 포트로 SYN_SENT 증상을 발생시킨다. 아래와 같이 Ahnreport의 ‘네트워크 연결’ 항목에서도 확인이 가능하다. 2. 증상 발생 시 조치방법 I : 제품 ------------------------------------------------------------..
Conficker 조치 가이드 (2) 3. Conficker 조치 방법 -------------------------------------------------------------- A. 수동 조치 방법(진단불가능) * Win32/Conflicker.worm 변형 수동조치 법 [1] GMER Download : http://www.gmer.net/gmer.zip 에서 툴을 다운로드 받으신 후, 임의의 폴더에 압축을 해제하여 gmer.exe를 실행합니다. [2] GMER를 실행했을 때 은폐형 파일이 존재할 경우 아래와 같이 메시지가 출력됩니다. 붉은색으로 표시된 부분(svchost.exe에 hidden으로 표시)의 Value 항목에 위치한 값을 확인합니다. (여기서는 Remoteserv) [3] 2번 과정에서 이미 붉은색으로 확인된 내용이 ..
Conficker 조치 가이드 (1) 1. Conficker 개요 ------------------------------------------------------------------------------------------------------- 해당 악성코드는 윈도우 보안 취약점(MS08-067), 관리공유 및 이동디스크를 통해 빠르게 확산되어 네트워크 자원(랜덤 및 B클래스 IP대역을 대상으로 Remote TCP 445포트로 대량의 트래픽 발생)을 소모시킨다. 추가적으로 진단을 어렵게 하는 기법이 사용되었는데, 악성코드 원본을 Svchost.exe에 Remote Handle(원격핸들)로 오픈하여 실행되며, 악성코드가 등록한 레지스트리 서비스 및 악성파일 원본에 Read권한을 없애 파일/레지스트리에 접근을 불가능하게 한다. 2. Co..
Total Security 조치 가이드 1. 개 요 최근 새롭게 변형되어 등장한 허위 안티 바이러스(AV) 프로그램인 Total Security에 대한 피해사례가 다수 보고되어 조치가이드를 작성하게 되었습니다. 2. 주요 증상 1) 바탕화면이 아래와 같이 바뀝니다. 2) 아래의 그림과 같은 “Total Security” 라는 허위 안티바이러스(AV) 프로그램이 실행 됩니다. 3) 증상 발생 시 조치방법 먼저 Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다. 다운로드 : http://asec001.v3webhard.com/IceSword.zip Ice Sword 프로그램을 실행 후 [Process] 메뉴로 가서 [숫자8자리.exe] 프로세스를 찾은 후 아래 그림처럼 마우스 오른 클릭 후 [Termin..