Virus Myths!

proset.exe 와 Trojan-Downloader.Win32.Genome.njz 정보

2009-11-21T00:49:02Z

Trojan-Downloader.Win32.Genome.njz

[최종 업데이트 : 2009-11-22]

1. 요약 : 윈도우 기반의 [다운로드형] [트로이목마]

- 코드명 : Trojan-Downloader.Win32.Genome.njz (명명 : Kaspersky, 2009-11-17, GMT+1)

- 다른 이름 : Downloader-BVY, TrojanDownloader:Win32/Troxen!rts,

Trojan-Downloader.Win32.Genome, Win-Trojan/Downloader.8704.ZV

- 감염 경로 : 자체 전파 기능은 없으며, 정확한 경로는 알려지지 않았다.

- 크기 : 8,704 바이트 (MD5 : 9479d40eb3ffc79bf55c7ccfe4c8b9eb)

- 1건의 문의 메일을 받았다.

2. 생성 파일 (%시스템% 란? : 클릭)

- %시스템% 폴더 아래

proset.exe (57,344 바이트, MD5 : 89c976d18814b1b54f7dee16a73a53ab)

- 특정사이트로부터 다운로드 된 악성코드들

ie.exe (54,359 바이트, MD5 : f8650aaa72d2d23313fcca686f4fd012)

b2.exe (57,344 바이트, MD5 : 89c976d18814b1b54f7dee16a73a53ab)

3. 주요 증상 : 다수의 악성코드 다운로드, 사용자의 키 입력을 가로채는 키로거

- 특정사이트로부터 또 다른 악성코드 다운로드 : [http]://w8.[삭제]777.com/

4. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run

Trough = %시스템%PROset.exe 0

5. 다운로드된 악성코드들의 진단 여부 (기준 : 2009-11-22)

1) [무료백신] [V3 Lite]를 이용한 진단 : 2개중 1개 진단

2) [무료백신] [알약]을 이용한 진단 : 2개 모두 진단

6. 진단/치료 (일부 통하기 공개)

- 온라인 게임 트로이목마 전용 제거 도구 : [다운로드]

- 아직도 스파이웨어, 애드웨어를 V3로 치료하는 사람들 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [보기]

tag : ie.exe, proset.exe, b2.exe

가짜 백신 Secure keeper 정보 및 제거

2009-11-19T19:53:34Z

Secure keeper

1. 요약 : 허위 또는 과장된 진단 결과를 출력하고 사용자의 불안 심리를 조장하는

가짜 백신 프로그램

- 코드명 : Secure keeper (명명 : 2009-11-17, GMT+9)

- 다른 이름 : Virus Protector

- 1건의 문의 메일을 받았다.

2. 감염 경로 : 악의적 웹 사이트나 다른 악성코드에 의해 다운로드 예) Mal/FakeAV-BQ

3. 파일정보

1) 설치 파일 정보

- 파일명 : setup.exe

- 크기 : 1,751,490 바이트 (MD5 : 3c20e6c5476cd87e961c3005b258247c)

2) 생성 파일 (%시스템% 란? : 클릭)

- [Program Files] 폴더 아래 [SecureKeeper Software] 폴더 생성 후

[SecureKeeper] 폴더에 파일 생성

SecureKeeper.exe (1,636,864 바이트, MD5 : 08276428e07ef2ddc74cb03f48c4cbf1)

uninstall.exe (92,606 바이트, MD5 : d2f51d86033af4651e5eabc8f47af82b)

- %시스템% 폴더와 %윈도우% 폴더 아래 : [숫자 + 문자]열.exe

예) 4d19do9nlo5der25.exe, 20465zor22d6.exe 등

4. 주요 증상 : 과장된 허위 보안 경고를 출력하고 제품 등록을 유도

- 실제 허위 감염 결과를 출력하지는 않는다.

- 사용자의 동의없이 특정 사이트로부터 또 다른 악성코드 다운로드

(이 문서를 작성하는 현재 특정 사이트로부터 실제 파일을 내려받지는 않았다.)

5. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKCU -> S-1-5-21-746137067-790525478-1417001333-1003 -> Software -> Microsoft ->

Windows -> CurrentVersion -> Run,

SecureKeeper = %Program Files%SecureKeeper Software\SecureKeeper\SecureKeeper.exe -min

- HKLM -> SOFTWARE -> SecureKeeper

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Uninstall -> SecureKeeper

6. 진단/제거 (기준 : 2009-11-19)

1) [무료백신] [V3 Lite]를 이용한 제거 : 진단하지 못함 (2009.11.19.05)

2) [무료백신] [알약]을 이용한 진단/제거 : 진단하지 못함 (2009.11.19.05)

3) 각 보안 제품별 진단 여부

안티바이러스	엔진 버전	정의 날짜	검사 결과
a-squared	4.5.0.41	2009.11.19	-
AhnLab-V3	5.0.0.2	2009.11.19	-
AntiVir	7.9.1.70	2009.11.19	-
Antiy-AVL	2.0.3.7	2009.11.19	-
Authentium	5.2.0.5	2009.11.18	-
Avast	4.8.1351.0	2009.11.18	-
AVG	8.5.0.425	2009.11.18	-
BitDefender	7.2	2009.11.19	-
CAT-QuickHeal	10.00	2009.11.19	-
ClamAV	0.94.1	2009.11.19	-
Comodo	2979	2009.11.18	-
DrWeb	5.0.0.12182	2009.11.19	-
eSafe	7.0.17.0	2009.11.18	-
eTrust-Vet	35.1.7129	2009.11.19	-
F-Prot	4.5.1.85	2009.11.18	-
F-Secure	9.0.15370.0	2009.11.17	-
Fortinet	3.120.0.0	2009.11.19	-
GData	19	2009.11.19	-
Ikarus	T3.1.1.74.0	2009.11.19	-
Jiangmin	11.0.800	2009.11.19	TrojanDropper.Agent.abvu
K7AntiVirus	7.10.899	2009.11.18	-
Kaspersky	7.0.0.125	2009.11.19	-
McAfee	5806	2009.11.18	-
McAfee+Artemis	5806	2009.11.18	-
McAfee-GW-Edition	6.8.5	2009.11.19	-
Microsoft	1.5302	2009.11.19	-
NOD32	4621	2009.11.19	-
Norman	6.03.02	2009.11.18	-
nProtect	2009.1.8.0	2009.11.19	-
Panda	10.0.2.2	2009.11.18	-
PCTools	7.0.3.5	2009.11.19	-
Prevx	3.0	2009.11.19	Medium Risk Malware
Rising	22.22.03.03	2009.11.19	-
Sophos	4.47.0	2009.11.19	-
Sunbelt	3.2.1858.2	2009.11.19	-
Symantec	1.4.4.12	2009.11.19	-
TheHacker	6.5.0.2.073	2009.11.18	-
TrendMicro	9.0.0.1003	2009.11.19	-
VBA32	3.12.12.0	2009.11.19	-
ViRobot	2009.11.19.2044	2009.11.19	-
VirusBuster	5.0.21.0	2009.11.18	-
추가 정보
File size: 1751490 bytes
MD5 : 3c20e6c5476cd87e961c3005b258247c

7. 진단/치료 (일부 통하기 공개)

- 가짜 백신 전용 제거 도구 : [다운로드]

- 가자 백신 변경된 법률을 악용하다. : [보기]

- 아직도 스파이웨어, 애드웨어를 V3로 치료하는 사람들 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

8. 유사 가짜 백신 (2009-2006)

[Total Security], [SysAntivirus 2009], [Express Antivirus 2009], [Spyware Expert],

[Virus Bye], [Antivirus 360], [Perfect Defender 2009], [Antispyware XP 2009],

[PC Defender 2008], [Xp Protector 2009], [Antispyware Pro XP],

[Total Secure2009], [AntiVirus XP 2008], [eAntivirus Pro], [Virus Remover 2008],

[Win AntiSpyware], [AntiSpy Check], [Antivirus Doc], [Antivirus Master],

[Power AntiVirus 2009], [PyroAntiSpy], [AntiSpy Boss], [AntiSpy Zone],

[Spy Spotter], [System Defender], [Smart Antivirus 2009], [디도스클린(DDos)]

[XP Police Antivirus], [Virus Trigger], [System Security], [더 보기]

9. 본 문서의 이용에 관한 조건 : [보기]

불법 펌질은 도둑질이자 명백한 범죄 행위이며, 창작성이 인정되는 게시물을 허락없이

무단으로 스크랩 하거나 원 저작자가 허락한 스크랩 범위를 넘어 게시할 경우,

발생할 수 있는 모든 문제와 법적 책임은 스크랩을 수행한 사람에게 있습니다.

tag : 가짜백신, secure keeper, virus protector, securekeeper.exe

xoxcf.exe 와 Trojan-Downloader.Win32.Murlo.bvb 정보

2009-11-19T18:27:16Z

Trojan-Downloader.Win32.Murlo.bvb

[최종 업데이트 : 2009-11-20]

1. 요약 : 윈도우 기반의 [다운로드형] [트로이목마]

- 코드명 : Trojan-Downloader.Win32.Murlo.bvb (명명 : Kaspersky, 2009-09-05, GMT+1)

- 다른 이름 : Trojan-Downloader.Win32.Perkesh, Downloader-BUO, Troj/Agent-LII,

Win32/Perkesh.K

- 감염 경로 : 자체 전파 기능은 없으며, 정확한 경로는 알려지지 않았다.

- 크기 : 7,680 바이트 (MD5 : 4970e1600411062c59cd7943866db069)

- 1건의 문의 메일을 받았다.

2. 생성 파일 (%시스템% 란? : 클릭)

- %temp% 폴더 아래 : [임의 이름].exe

- %시스템% 폴더 아래

xoxcf.exe (8,704 바이트, MD5 : aaf5fe71d2a6e050639ebf89440c50de)

122B901E.dll (18,509 바이트, MD5 : 4caf41c8458be27c91da72a9f808c09c)

2exJW3dsaTgWrf5uAPadmHN.inf (226,412 바이트, MD5 : 7d5a415105dccf731d756718e9732bb4)

FsmBY3kmWnAG5gRbwGgU.inf (21,102 바이트, MD5 : 0bc60cb0f8fb49cc2911aa33ab1c3fd1)

- 기타 다수의 inf 파일들이 생성된다.

3. 주요 증상 : 다수의 악성코드 다운로드, [루트킷]을 이용한 자동 은폐 기능

- 특정 중국 사이트로부터 다수의 악성코드 (32개) 다운로드 및 실행

1.exe (13,799 바이트, MD5 : c01fcd69638c3061cc44b8f9983a8625)

2.exe (13,819 바이트, MD5 : cf0c6e0605f467c30a98c7141a5b6d8b)

3.exe (13,737 바이트, MD5 : b1a02db5c924b93931b7606c4dc28f75)

4.exe (31,248 바이트, MD5 : bb09cc6632e574a8f5ab7bcf61991117)

5.exe (14,482 바이트, MD5 : 633c276e89a7c33391e37b4890fa8310)

6.exe (13,738 바이트, MD5 : dfb6ebdfac9ae2adf7c76ca0cf9c34e1)

7.exe (27,141 바이트, MD5 : 8b8ad5b6c98e93eaef5844cf1084158c)

8.exe (11,757 바이트, MD5 : 3996b17e2436d02eed88e07c810865d6)

9.exe (30,340 바이트, MD5 : 31cea7510216a06472cc87a9455d5cd7)

10.exe (26,242 바이트, MD5 : df799447a57db92bba8b3005c38acc63)

11.exe (12,767 바이트, MD5 : f690996ba1fce317a2332d777b6ad73a)

12.exe (27,237 바이트, MD5 : 912071f42de4b031532472cf9c80643c)

13.exe (27,237 바이트, MD5 : aa408efe6fd035ee782dbb2434f1bb4e)

14.exe (27,249 바이트, MD5 : 6e543c04c661c170d0ba2afde5938b71)

15.exe (24,178 바이트, MD5 : e400bd6c026373607469b251f5042304)

16.exe (27,782 바이트, MD5 : 25ce636e88c348c061f7c45732e60ef8)

17.exe (21,520 바이트, MD5 : c36761021bd33871a5e87b68467f35fc)

18.exe (27,251 바이트, MD5 : 52243baf03781bdd3fe18b40ea3739bf)

19.exe (24,690 바이트, MD5 : 6fad418f0e9c0ec7047580c3d3c57058)

20.exe (27,152 바이트, MD5 : a4801df1a13d59f1c037ea8662f93cd9)

21.exe (5,367 바이트, MD5 : 82a7681f8d24b5590417823ae8f1d2ce)

22.exe (23,663 바이트, MD5 : b663b4f389c5fb0e81e30d5372585be7)

23.exe (25,776 바이트, MD5 : 332a2568d2ea6bbb21d432c1cdfe37a8)

24.exe (26,726 바이트, MD5 : 4383849a1a1c7148c162d86c92ab2208)

25.exe (28,778 바이트, MD5 : f64e6daec8616500eface8b50852e876)

26.exe (27,242 바이트, MD5 : 05471e3545b268b5a41e68ad60953214)

27.exe (24,592 바이트, MD5 : f9baa602423ee0f15562cf83cc63f630)

28.exe (66,225 바이트, MD5 : eae9ab28c459d5454be0b7bce8d24c98)

29.exe (73,371 바이트, MD5 : 7c5f73ce1467f667456089dcaa175c2d)

30.exe (139,777 바이트, MD5 : 0dc1fb8df6d69c89c97a34b0fafb1670)

xx.exe (31,232 바이트, MD5 : a4beed7b388cecb9573cc9367fde9691)

- 생성된 dll 파일은 [explorer.exe]에 삽입되어 실행

- 윈도우 보안 센터 및 보안 관련 서비스 중지

- 특정 프로세스의 실행 중지 및 종료

avp.exe, 360tray.exe, safeboxtray.exe, ras.exe, ravmond.exe

4. [무료백신] [V3 Lite] vs. [알약] (기준 : 2009-11-19)

1) [V3 Lite]를 이용한 제거 : 31개중 28개 진단 (미진단 : 4.exe, 20.exe, xx.exe)

-> 2009.11.20 기준 : 31개 모두 진단 가능

      xx.exe -> Dropper/Downloader.31232.Q (추가 : 2009.11.20.06)
      20.exe -> Win-Trojan/OnlineGameHack.27152.M (추가 : 2009.11.19.05)
      4.exe -> Win-Trojan/OnlineGameHack.31248.J (추가 : 2009.11.19.05)

2) [알약]을 이용한 진단/제거 : 31개중 31개 진단

5. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKCU -> Software -> Microsoft -> Windows -> CurrentVersion -> Run

msconfigs = %시스템%XoxCF.exe

- HKLM -> SYSTEM -> ControlSet001 -> Enum -> Root -> LEGACY_XX

- HKLM -> SYSTEM -> ControlSet001 -> Services -> bv

- HKLM -> SYSTEM -> ControlSet001 -> Services -> xx

- HKLM -> SOFTWARE -> Classes -> CLSID -> {32D1A17C-A0E9-4B05-AD83-A292B98CD824}

- HKLM -> SOFTWARE -> Classes -> CLSID -> {526EB425-7F56-4773-8D70-B8E45AA8E2B6}

- HKLM -> SOFTWARE -> Classes -> CLSID -> {7198F428-77AC-4837-AFBE-1E0393575935}

- HKLM -> SOFTWARE -> Classes -> CLSID -> {73208305-2703-405b-8721-27645ac9a140}

- HKLM -> SOFTWARE -> Classes -> CLSID -> {74DA2FEC-F68F-4DC7-9A45-9174AC044427}

- HKLM -> SOFTWARE -> Classes -> CLSID -> {122B901E-493F-4AD9-BC69-7DE8C3E52FCC}

- HKLM -> SOFTWARE -> Microsoft -> Windows NT -> CurrentVersion ->

Image File Execution Options -> egui.exe, Debugger = services.exe

- 기타 다수의 레지스트리 키 값이 추가된다.

6. 진단/치료 (일부 통하기 공개)

- 루트킷 진단 도구 9개 : [다운로드]

- 아직도 스파이웨어, 애드웨어를 V3로 치료하는 사람들 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [보기]

tag : xoxcf.exe, 122b901e.dll, 2exjw3dsatgwrf5uapadmhn.inf, fsmby3kmwnag5grbwggu.inf

행안부, 정보시스템 감리제도 공청회 개최

2009-11-17T18:32:40Z

행정안전부가 오는 11월 18일, 오후 2시 한국정보화진흥원 지하 대회의실에서

정보시스템 감리제도 개선(안)에 대한 공청회를 개최한다고 한다.

주요 공청회 내용으로는
▲ 감리의 권한과 책임 동시 강화로 부실감리 예방
▲ 품질 위주의 감리수행 방식 개선
▲ 신기술에 대한 감리 적응력 강화 등 핵심적인 이슈들이 심층 토의될 예정이라고...

[관련 기사]

- 행안부, 18일 ‘정보시스템 감리제도 개선 공청회’ 개최 : [ 관련 기사 보기] (보안뉴스)

[주의] 신용카드로 위장한 악성코드 유입 중.. balancechecker.zip

2009-11-16T23:18:53Z

[최종 업데이트 : 2009-11-17]

신용카드의 유효 기간이 만료되었음을 알리는 메일로 위장한 악성코드가 국내에도 유입되고

있어 사용자의 주의가 요망된다.

참고로 해당 악성코드는 지난 5월말 이후 국내에 꾸준히 유입되고 있으며 신종은 아니다.

1. 감염 경로 : E-mail 첨부 파일

2. E-mail 정보

- 편지 제목 : Your credit balance is over its limit

- 첨부 파일명 : balancechecker.zip

- 편지 본문

Dear Verizon Wireless customer,

Your credit balance is over its limit.

Please use the attached Verizon Wireless Balance Checker Tool

to review and analyze your payments.

Yours sincerely,

Verizon Wireless Customer Services

3. 첨부 파일 정보

- balancechecker.zip (21,934 바이트, MD5 : 527ba2c5ee66475bf41bfb512b815434)

- balancechecker.exe (25,088 바이트, MD5 : 7e5d06846f4f1bab66cb8c4a225441e7)

4. balancechecker.exe 에 대한 보안 제품별 진단 (기준 : 2009-11-17)

안티바이러스	엔진 버전	정의 날짜	검사 결과
a-squared	4.5.0.41	2009.11.17	Trojan-Spy.Win32.Zbot!IK
AhnLab-V3	5.0.0.2	2009.11.16	Win-Trojan/Zbot.25088
AntiVir	7.9.1.65	2009.11.16	TR/Crypt.XPACK.Gen
Antiy-AVL	2.0.3.7	2009.11.17	-
Authentium	5.2.0.5	2009.11.17	W32/Heuristic-CO2!Eldorado
Avast	4.8.1351.0	2009.11.16	Win32:Zbot-LWF
AVG	8.5.0.425	2009.11.16	Pakes.EIA
BitDefender	7.2	2009.11.17	Trojan.Generic.2670908
CAT-QuickHeal	10.00	2009.11.16	-
ClamAV	0.94.1	2009.11.17	Trojan.Zbot-6437
Comodo	2962	2009.11.17	Heur.Suspicious
DrWeb	5.0.0.12182	2009.11.17	Trojan.Siggen.18256
eSafe	7.0.17.0	2009.11.16	Win32.TRCrypt.XPACK
eTrust-Vet	35.1.7123	2009.11.16	Win32/Oficla.AJ
F-Prot	4.5.1.85	2009.11.16	W32/Heuristic-CO2!Eldorado
F-Secure	9.0.15370.0	2009.11.11	Suspicious:W32/Riskware!Online
Fortinet	3.120.0.0	2009.11.16	W32/Zbot.P!tr
GData	19	2009.11.17	Trojan.Generic.2670908
Ikarus	T3.1.1.74.0	2009.11.17	Trojan-Spy.Win32.Zbot
Jiangmin	11.0.800	2009.11.16	-
K7AntiVirus	7.10.897	2009.11.16	-
Kaspersky	7.0.0.125	2009.11.17	Trojan-Spy.Win32.Zbot.aczc
McAfee	5804	2009.11.16	Generic PWS.y!bfb
McAfee+Artemis	5804	2009.11.16	Generic PWS.y!bfb
McAfee-GW-Edition	6.8.5	2009.11.17	Heuristic.LooksLike.Win32.Suspicious.A
Microsoft	1.5202	2009.11.16	Trojan:Win32/Oficla.G
NOD32	4613	2009.11.16	a variant of Win32/Kryptik.YV
Norman	6.03.02	2009.11.16	-
nProtect	2009.1.8.0	2009.11.16	-
Panda	10.0.2.2	2009.11.16	Trj/CI.A
PCTools	7.0.3.5	2009.11.16	Downloader.Ergrun
Prevx	3.0	2009.11.17	-
Rising	22.22.01.01	2009.11.17	Trojan.Spy.Win32.Zbot.fqe
Sophos	4.47.0	2009.11.17	Mal/Zbot-P
Sunbelt	3.2.1858.2	2009.11.12	Trojan-Downloader.Win32.Reipym.a (v)
Symantec	1.4.4.12	2009.11.17	Downloader.Ergrun
TheHacker	6.5.0.2.071	2009.11.16	-
TrendMicro	9.0.0.1003	2009.11.16	TROJ_MALWARE.VTG
VBA32	3.12.10.11	2009.11.15	-
ViRobot	2009.11.17.2040	2009.11.17	-
VirusBuster	4.6.5.0	2009.11.16	Trojan.Comrerop.Gen!Pac
추가 정보
File size: 25088 bytes
MD5 : 7e5d06846f4f1bab66cb8c4a225441e7

5. 무료 백신 V3lite 와 알약 진단명

1) [무료백신] [V3 Lite]를 이용한 제거

2) [무료백신] [알약]을 이용한 진단/제거

tag : balancechecker.exe, balancechecker.zip

winsccoo.exe,smss.exe 와 Trojan.Win32.Agent.dcdv 정보

2009-11-16T23:18:44Z

Trojan.Win32.Agent.dcdv

1. 요약 : 윈도우 기반의 [다운로드형] [트로이목마]

- 코드명 : Trojan.Win32.Agent.dcdv (명명 : Kaspersky, 2009-11-16, GMT+1)

- 다른 이름 : Dropper/Malware.139777.B, Troj/Bnksa-Fam

- 감염 경로 : 자체 전파 기능은 없으며, 정확한 경로는 알려지지 않았다.

- 크기 : 139,777 바이트 (MD5 : 0dc1fb8df6d69c89c97a34b0fafb1670)

2. 생성 파일 (%시스템% 란? : 클릭)

- %윈도우% 폴더

[smss.exe] (270,336 바이트, MD5 : d744403b08e69df4321aec26fe48d527),

winsccoo.exe (139,776 바이트, MD5 : cfab22a1cc4b2d24438432f6102240c9)

3. 주요 증상 : 또 다른 악성코드 다운로드, [루트킷] 은폐 기능

4. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SYSTEM -> ControlSet001 -> Services -> WinSCCOM

- HKLM -> SYSTEM -> ControlSet001 -> Enum -> Root -> LEGACY_WINSCCOM

5. 진단/치료 (일부 통하기 공개)

- 루트킷 진단 도구 9개 : [다운로드]

- 아직도 스파이웨어, 애드웨어를 V3로 치료하는 사람들 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [보기]

tag : smss.exe, winsccoo.exe

보안패치 설치 후 부팅장애와 해결책..

2009-11-16T17:24:36Z

지난 2009년 11월 11일 제공된 보안패치 설치 후 부팅 장애가 발생하는 사건이 있었다고 한다.

문제를 일으킨 보안 패치는 '윈도 커널 모드 드라이버의 취약점으로 인해 발생한

원격 코드 실행 문제점(MS09-065)’을 해결하기 위해 제공한 보안패치 ‘KB969947’로

특정 업체의 일부 그래픽 카드 등과 충돌이 발생했기 때문이라고 한다.

[해결책]

안전모드 부팅 -> 제어판 -> 프로그램 추가/제거 에서 '업데이트 표시' 체크 후,

'Windows XP용 보안 업데이트 (KB969947)'을 찾아 제거 후 재부팅!

[관련 기사]

- MS 보안패치 오류로 'PC 먹통 사태' : [보기] (전자신문, 2009/11/16)

tag : 보안패치, kb969947, ms09-065

[주의] 윈도우7, 제로데이 DoS 보안 취약점 보고

2009-11-15T20:26:27Z

1. 개요

- 윈도우 7 및 윈도우 서버 2008 R2의 SMB(Server Message Block)가
SMB 요청을 처리하는 과정에서 시스템이 비정상적으로 종료되는 취약점
- 특수하게 조작된 SMB 패킷을 전송하여 대상 시스템에 대해 서비스 거부 공격 [DoS] 실행 가능

2. 영향을 받는 시스템
- Windows 7 for 32-bit Systems
- Windows 7 for x64-based Systems
- Windows Server 2008 R2 for x64-based Systems
- Windows Server 2008 R2 for Itanium-based Systems

3. 보안 패치 제공 여부 : 제공 안됨

4. 공격 코드 : 보고됨

(그림 출처 : Fortinet)

5. 해결책 (임시)
- TCP 139/445 포트를 방화벽에서 필터링
- 파일공유 기능 등을 비활성화하고 방화벽을 반드시 사용할 것
- 검증되지 않은 웹 사이트의 방문 자제
- 출처가 불분명한 이메일의 첨부파일을 열어보지 말 것
- 사용하고 있는 백신프로그램의 최신 업데이트를 유지하고, 실시간 감시기능을 활성화

- http://www.microsoft.com/technet/security/advisory/977544.mspx

tag : 윈도우7

csrcs.exe, nebtfs.exe 와 W32.SillyFDC.BDF 정보

2009-11-15T20:26:19Z

W32.SillyFDC.BDF

1. 요약 : 윈도우 기반의 웜

- 코드명 : W32.SillyFDC.BDF (명명 : Symantec, 2009-11-12, GMT+1)

- 다른 이름 : W32/Autorun-AVB

- 감염 경로 : [이동식 저장 장치] 예) USB, 외장하드

2. 감염 예방

- USB & Autorun 웜 감염 예방 도구 2개 : [다운로드]

- USB로 감염되는 악성코드 분석 및 감염 예방 : [보기]

- Autorun.inf 파일은 악성코드가 아니다. : [보기]

3. 생성 파일 (%시스템% 란? : 클릭)

- %시스템% 폴더 : [autorun.inf], csrcs.exe

- 이동식 디스크의 루트 : [autorun.inf], nebtfs.exe

- %temp% 폴더 : suicide.bat

3. 주요 증상 : 웜 복사본 생성, [폴더옵션] 속성 변경, 특정 사이트 접속 시도 등

- 폴더옵션 메뉴 숨기거나, 숨김 파일이 보이지 않게 설정 : [해결책]

4. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run

csrcs = %시스템%csrcs.exe

- HKLM -> SOFTWARE -> Microsoft -> Windows NT -> CurrentVersion -> Winlogon

Shell = Explorer.exe csrcs.exe

- HKLM -> SOFTWARE -> Microsoft -> DRM -> amty

- HKCU -> Software -> Microsoft -> Windows -> CurrentVersion -> Explorer ->

Advanced -> Hidden = 2

- HKCU -> Software -> Microsoft -> Windows -> CurrentVersion -> Explorer ->

Advanced -> ShowSuperHidden = 1

- HKCU -> Software -> Microsoft -> Windows -> CurrentVersion -> Explorer ->

Advanced -> SuperHidden = 1

5. 진단/치료 (일부 통하기 공개)

- Autorun 웜 전용 제거 도구 : [다운로드]

- 아직도 스파이웨어, 애드웨어를 V3로 치료하는 사람들 : [내용보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [보기]

tag : autorun.inf, csrcs.exe, suicide.bat, nebtfs.exe

ld15.exe, freddy73.exe, pp12.exe 와 Net-Worm.Win32.Koobface.cjz 정보

2009-11-15T20:26:10Z

Net-Worm.Win32.Koobface.cjz

1. 요약 : 윈도우 기반의 웜

- 코드명 : Net-Worm.Win32.Koobface.cjz (명명 : Kaspersky, 2009-11-12, GMT+1)

- 다른 이름 : W32.Koobface!gen

- 감염 경로 : 유튜브(YouTube) 동영상 관련 코덱으로 위장

- 크기 : 111,949 바이트 (MD5 : cf8cc0373e58cf710e2171579f57a09)

- 1건의 문의 메일을 받았다.

2. 생성 파일 (%시스템% 란? : 클릭)

- %윈도우% 폴더 아래

freddy73.exe (55,808 바이트, MD5 : 95c4c6864b233db4173c0b72781494b0)

pp12.exe (36,352 바이트, MD5 : e5775ee4f18d390f4d9aa57964b8047)

ld15.exe (40,960 바이트, MD5 : 10803d6e7f1d62625cb0e0d7c931f1f4)

- %temp% 폴더 아래

ld15.exe (40,960 바이트, MD5 : 10803d6e7f1d62625cb0e0d7c931f1f4)

3. 주요 증상 : 다른 악성코드 다운로드, 민감한 정보의 외부 유출

4. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run

sysldtray = %윈도우%ld15.exe

5. 진단/치료 (일부 통하기 공개)

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [보기]

tag : ld15.exe, pp12.exe, freddy73.exe

winscrs.exe 와 Backdoor.Win32.VB.kvi 정보

2009-11-15T20:25:53Z

Backdoor.Win32.VB.kvi

1. 요약 : 윈도우 기반의 [백도어] [트로이목마]

- 코드명 : Backdoor.Win32.VB.kvi (명명 : Kaspersky, 2009-11-12, GMT+1)

- 다른 이름 : 알려지지 않음

- 크기 : 156,754 바이트 (MD5 : 5a8343b3d523e4b83363aca705fcc125)

- 감염 경로 : 자체 전파 기능은 없으며, 정확한 경로는 알려지지 않았다.

- [포트] : 1039 ~ 1042 (TCP)

2. 생성 파일 (%시스템% 란? : 클릭)

- %윈도우% 폴더 아래 : winscrs.exe (163,840 바이트)

3. 주요 증상 : [백도어] 생성 후 악의적 명령 수행

4. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run

Winlogons = %윈도우%\winscrs.exe

5. 진단/치료 (일부 통하기 공개)

- 열려진 포트의 위험성과 포트 점검 요령 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

6. 본 문서의 이용에 관한 조건 : [내용보기]

tag : winscrs.exe

보안패치 개별 다운로드 (2009년 11월 11일자)

2009-11-12T15:46:56Z

2009년 11월 11일자 윈도우 보안패치
[최종 업데이트 : 2009-11-16] 1. 윈도우 업데이트 및 보안 업데이트 - MS 윈도우 업데이트 하기 : [바로가기] - MS 오피스 업데이트 하기 : [바로가기] - 보안패치와 서비스팩의 차이 : [보기] 2. 보안 패치 모음 - 2009-2008 보안 패치 모음 : [다운로드] - 윈도우XP 서비스팩3 (SP3) : [다운로드] - 윈도우 비스타 서비스팩1 (SP1) : [다운로드] - 악성코드 차단을 위한 필수 보안 취약점 패치 설치 : [다운로드] - MS 악성 소프트웨어 제거 도구 버전 업데이트 : [다운로드] (2009-11-10, Ver 3.1) 3. 설치 전 주의 사항 - MS09-065 설치 후 부팅 불능 및 장애 발생 : [해결책]
공지번호	위험 등급	대체	상세정보 및 다운로드
MS09-068	중요	MS09-027	[내용보기]
MS09-067	중요	MS09-021	[내용보기]
MS09-066	중요	MS09-018	[내용보기]
MS09-065	긴급	MS09-025	[내용보기]
MS09-064	긴급	-	[내용보기]
MS09-063	긴급	-	[내용보기]

tag : 보안패치

Facebook 웜, 국내에 꾸준히 유입 중...

2009-11-10T19:29:41Z

소셜 네트워킹의 하나인 '페이스북'에서 보낸 E-mail 로 위장한 악성코드가 해외 뿐만 아니라

국내에도 꾸준히 유입되고 있어 사용자들의 주의가 요망된다.

주로 E-maiㅣ 첨부 파일로 유포되며, 알려진 E-mail 정보는 아래와 같다.

1. 알려진 메일 제목

- Facebook updated account agreement

- new Facebook account agreement

- updated account agreement

- new account agreement

- Facebook Password Reset Confirmation!

- Facebook Password Reset Confirmation. Support Message

2. 알려진 첨부 파일명

- agreement.zip

- Facebook_Details_[임의 숫자 + 영문].zip

- Facebook_Password_[임의 숫자 + 영문].zip

- agreement.zip (24,024 바이트 바이트, MD5 : bf0232164a4191f933c68c3b031b6857)

agreement.exe (57,344 바이트, MD5 : 7841b73f2ba4d23cb4acee53db089493)

-----> [Trojan.Win32.Buzus.clys]로 진단

[관련 포스트]

- [주의] 페이스북 악성코드, 동영상으로 유포 : [보기] (09/10/31)

- [주의] Facebook 웜 : [보기] (09/10/29)

tag : 페이스북, facebook, agreement.zip

dumpprep.exe 와 Backdoor.Win32.DSNX.05.a 정보

2009-11-10T19:20:03Z

Backdoor.Win32.DSNX.05.a

1. 요약 : IRC [백도어] 기능을 가진 윈도우 기반의 네트워크 웜

- 코드명 : Backdoor.Win32.DSNX.05.a (명명 : Kaspersky)

- 다른 이름 : W32.Spybot.Worm, Backdoor:Win32/Rbot.gen

- 감염 경로 : MS04-012, MS04-011 + [취약한 패스워드]의 네트워크 [공유폴더]

- 크기 : 236,544 바이트 (MD5 : b00792df7cc9519c3b9319e8d5a72f44)

2. 생성 파일 (%시스템% 란? : 클릭)

- %시스템% 폴더 : dumpprep.exe (1,298,432 바이트)

3. 감염 예방 및 관련 정보

- MS04-012, MS04-011 보안 취약점 패치 설치 : [다운로드]

- 악성코드 차단을 위한 관리목적 공유폴더 및 공유폴더 관리법 : [내용보기]

- [취약한 패스워드]를 가진 계정 패스워드 변경 : [내용보기]

- 열려진 포트의 위험성과 포트 점검 요령 : [내용보기]

4. 주요 증상 : IRC [백도어] 생성 후 악의적 명령 수행

- 보안 및 AV 관련 프로그램 종료 및 실행 방해

5. 레지스트리 추가/변경 (HKLM 이란? : 클릭)

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> Run

dumprep = dumpprep.exe

- HKLM -> SOFTWARE -> Microsoft -> Windows -> CurrentVersion -> RunServices

dumprep = dumpprep.exe

- HKCU -> Software -> Microsoft -> OLE, dumprep = dumpprep.exe

6. 진단/치료 (일부 통하기 공개)

- IRCbot 웜 전용 치료 백신 다운로드 및 감염 경로 차단 : [보기]

- 자주 감염되는 악성코드 전용 제거/치료 도구 (80 종류) : [다운로드]

- 무료 온라인/오프라인 악성코드 검사/치료 도구 모음 : [다운로드]

- 무료 온라인 검사 도구 모음 (국내 6개 제품) : [바로가기]

7. 본 문서의 이용에 관한 조건 : [보기]

tag : dumpprep.exe

최초의 iPhone 웜 Ikee 등장

2009-11-10T14:35:31Z

해외 보안 업체 [Sophos]에 따르면 iPhone 을 감염시키는 최초의 웜이 등장했다고 한다.

감염될 경우 폰의 배경 사진을 팝 가수 Rick Astley 로 변경한다고 한다.

(그림 출처 : Sophos)

[관련 포스트]

- First iPhone worm discovered - ikee changes wallpaper to Rick Astley photo : [보러가기 (영문)]

tag : iphone, Ikee