| 저자 |
웜 바이러스.. |
Anonymous (0)
비회원
|  게시일: 2004-03-13 19:33| |
여기 있는 글을 다 읽어 보았구요...다 해보았는데 계~속 뜨더군요...일단 60초 후에 다운 되는건 안뜨는데 svchost.exe가 바이러스라고 해킹툴이 뜨는 게임이면 실행이 안되더군요... 아 그리고 저걸 프로세스끝내기 눌리면 웜 바이러스 60초후 다운이 실행 되구요 svchost.exe<-- 이게 4개나 존재 합니다....마지막으로..게임 실행 하면 뜬다는 바이러스가...
[감염파일]c:\windows\system\svchost.exe
[악성코드]
worm.win32.Raleka.14880.B 라고 뜨네요... 안철수나 백신 프로그렘 웜 바이러스 치료 하는거 까지 다써봤지만 안되더군요...가르쳐 주세요..;ㅅ;
|
|
|
Anonymous (0)
비회원
| 게시일: 2004-03-13 21:54||
svchost.exe 파일은 정상적인 파일이구요.
이 파일이 하는 일은 Svchost.exe는 무었일까?: http://qaos.com/article.php?sid=1042 라는 기사에 보면 잘 나와 있습니다. 또한 이 기사에 그림에 보면 여기도 역시 svchost프로세서가 4개나 있는것을 확인할수 있습니다. 저도 작업관리자 띄워보니 4개의 svchost 프로세스가 실행중이었습니다.
님이 말씀하신 바이러스 정보 info.ahnlab.com/smart2u/virus_detail_1219.html를 보니 변형 파일명이 svchost32.exe 등 변형에 따라서 다양하다네요. 그리고 백도어 프로그램을 받아온다는데 http://info.ahnlab.com/smart2u/virus_detail_1222.html 여기를 참고하세요.
또 해킹툴이 뜨는 게임이면 실행이 안되신다고 했는데 그럼 http://qaos.com/article.php?sid=1065 여기 나와 있는 것처럼 하셔서
의심되는 파일을 찾아보세요.
그런데 여기 있는 글을 다 읽어보셨고 해보셨다니 이것도 해보셨을것 같은데 그래도 안되신다니 제 생각에는 이게 아닐수도 있지만 agobot변형 웜 바이러스 일수도 있다고 생각 되네요. 왜냐하면 이 바이러스의 파일명이 svchost.exe와 유사한 scvhost.exe 이고 이용하는 취약점도 worm.win32.Raleka.14880.B 이 바이러스와 같이 RPC DCOM 취약점을 이용하기 때문입니다. agobot 웜 바이러스가 자신을 서비스에 등록한다고 알고 있고 또,
- winhlpp32.exe
- tftpd.exe
- dllhost.exe
- winppr32.exe
- mspatch.exe
- penis32.exe
- msblast.exe
라는 이름을 가진 파일이 실행중이면 강제로 종료시킨다고 합니다. 이 중 msblast.exe 는 블레스터 웜의 원형파일 이름이고 penis32.exe 는 변형파일의 이름입니다.
따라서, 제 추측컨데, scvhost.exe 파일이 svchost.exe파일에 그룹화 되있고 svchost.exe 파일이 종료되면서 scvhost.exe 파일에 의해 강제 종료되있던
블레스터 웜 관련 파일들의 프로세스가 다시 되살아나면서 60초 카운드다운창이 다시 뜨는것이 아닌가 생각됩니다. 물론 이것도 블레스터 웜 패치가 안되어 있을때의 애기입니다. 그런데 한가지 의심스러운 점은, svchost.exe는 dll로 실행되는 서비스를 그룹화 한다고 했는데, scvhost.exe는 dll이 아닌 exe로 실행되는 서비스라는 점입니다. 아무튼 저도 잘 모르겠고요. 제가 해드릴수 있는 말은 발견된 바이러스들이 이용하는 취약점을 보안패치를 설치하셔서 제거하시구요.
worm.win32.Raleka.14880.B 는 RPC 취약점을 agobot웜은 이 취약점 외에도 두가지 취약점을 더 이용합니다. 그러므로 링크해드리는 다음 3가지의 보안패치를 설치해보시기 바랍니다.
MS03-039: http://www.microsoft.com/korea/technet/security/bulletin/MS03-039.asp
MS03-001: http://www.microsoft.com/korea/technet/security/bulletin/MS03-001.asp
MS-03-013: http://www.microsoft.com/korea/technet/security/bulletin/MS03-013.asp
그리고 http://qaos.com/article.php?sid=1065 여기에 나와 있는것처럼 검사하셔서 의심되는 파일이 있다면 모두 삭제해보시기 바랍니다.
그리고 위의 3가지 보안패치 말고도 나머지 보안패치들도 모두 설치해보시기 바랍니다.
이 방법들을 모두 해봤지만 그래도 안된다면 어쩔수 없죠.
* 참고- Win32/AgoBot.worm.64000 바이러스 정보: http://info.ahnlab.com/smart2u/virus_detail_1248.html |
Anonymous (0)
비회원
|  게시일: 2004-03-13 22:14||
지 성 하 지 만 패 치 파 일 을 받 아
설 치 를 하 면 update.inf의 무 결 성 을
확 인 하 지 못 했 다 고 나 옵 니다.
그 리 고 여 기 나 온 데 로 하 려 고 하
는 데 이 바 이 러 스 걸 리 면 링 크 도
안 열 리 고 복 사 도 안 되 고 소 리 도
안 납 니 다 아 시 는 거 있 으 심
[email protected]으로 메일
점 보 내 주 십 시 오 |
Anonymous (0)
비회원
| 게시일: 2004-03-14 01:14||
답변 메일 보내 드렸습니다. 확인해 보세요. |
Anonymous (0)
비회원
| 게시일: 2004-03-15 01:27||
시스템 구성 유틸리티나 레지스토리 편집기가 종료되신다면 이 글을 참고하시기 바랍니다. Win32.HLLW.Agobot 바이러스라네요.
msconfig나 regedit가 실행뒤 자동 종료되는 경우:
http://manian.intizen.com/board/view.asp?bid=a020104&no=4598&page=1&cate=0
출처-매니안닷컴
[ 메시지수정: weppy1004 일시: 2004-03-15 01:30 ] |
|
|
|
|
(