| 저자 |
16비트 MS-DOS 하위시스템 오류 관련 질문입니다. |
Anonymous (0)
비회원
|  게시일: 2007-12-04 13:16| |
안녕하세요. 오랫만입니다.
그간 회사일이 너무 바빠서 인터넷을 할 시간도 별로 없었습니다. ㅜ.ㅜ
그래도 눈팅은 계속 했습니다. ㅎㅎ
다름이 아니라 얼마전에 제 컴퓨터를 회사에서 교체해줬는데요. 한 두달동안 멀쩡하다가 갑자기 어제부터 이상한 일이 발생했습니다.
그리고 C:\ 아래에 Xpsp2update.exe 란 파일이 생겼습니다.
지워도 인터넷을 좀 하면 다시 위와 같은 메세지가 뜨고, 위의 파일이 다시 생기더라구요..
그러면서 NTVDM 의 CPU 점유율이 50%까지 상승을 합니다.
파일 링크
문제의 Xpsp2update.exe : 압축파일
또한 FileMon을 통해 이 파일이 생성될 시점의 기록을 살펴봤는데요..
정확하게는 모르겠으나 C에 있는 모든 폴더를 들락날락 하는 것 같았습니다.
파일 링크
FileMon 로그
일단 검색을 해보면서 제가 조치한 것들은 다음과 같습니다.
16비트 프로그램의 하위 시스템 오류
불필요한 프로그램의 자동 실행 막기
Autoruns를 이용한 알 수 없는 악성 프로그램 제거하기
그럼에도 불구하고 부족한 저의 실력으로는 도저히 알 수가 없었습니다.
hijackThis 로 살펴보아도 모르겠구요....
회사에 기본적으로 Symantec AntiVirus 가 깔려있어서 그것으로 체크를 해봐도 이상이 없다고 나왔습니다.
네이버 툴바에서 제공하는 악성코드 프로그램으로도 아무이상이 없다고 그랬구요.
결국 마지막에 spyZero 에서 온라인검사를 해보니까
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
에 Win-Spyware/LowZones 가 있다고 나왔습니다.
결국 유료결제를 하고 치료를 하니까 지금은 아무 이상이 없습니다.
하지만 여전히 궁금한게 있어서 이렇게 글을 올립니다.
위와 같은 경우는 무슨 경우인지 알수 있을까요..?
|
|
|
Anonymous (0)
비회원
| 게시일: 2007-12-04 13:33||
파일을 열어보니 페이지를 찾을 수 없을 때 나오는 것이군요.
아마도...실시간 감시로 인해 해당 악성코드의 다운로드가 차단되어 파일이름만 기록이 되어서 일 것이라 생각됩니다. 최근에 유행했던 윈도우의 취약점을 이용한 악성코드가 숨겨진 웹페이지를 볼 때 생겼을 것이라 봅니다.
저는 존알람프로버젼에서 스크립트를 제어하고 사용할 때 저런 오류의 경우 해당파일을 열어보면 "스크립트를 제한 했다" 라는 짤막한 내용이 있었습니다.
윈도우 업데이트를 해주셨는지 궁금하군요. |
Anonymous (0)
비회원
| 게시일: 2007-12-04 14:14||
내용을 보면 악성 스크립트 또는 바이러스에 걸린 것 같습니다. 악성 스크립트를 배포한 사이트가 Zone에 추가됐고 따라서 인터넷 탐색기만 실행하면 자동적으로 Xpsp2update.exe를 내려받게 됩니다.
악성 바이러스를 배포한 사이트도 바이러스에 걸려 바이러스를 배포하다가 치료가 된 듯합니다. 따라서 myblade님이 받은 파일, Xpsp2update.exe은 확장자는 .exe로 되어 있지만 텍스트 편집기로 열어보면 파일이 없다는 오류 메시지를 담고 있는 HMTL 파일입니다.
그런데 IE는 이 파일이 HTML 파일인 줄 모르고 확장자가 .exe이기 때문에 실행시켰고 그 결과 그림처럼 NTVDM 오류가 뜨는 것입니다.
즉, 이 문제는 16비트 MS-DOS 하위 시스템과는 무관한 악성 바이러스 때문에 발생한 현상으로 보입니다. |
|
|
|
|
(