| 저자 |
regsvr32.exe에 대한 질문입니다. |
Anonymous (0)
비회원
|  게시일: 2005-11-21 23:50| |
안녕하세요.
윈XP가 가끔 프로그램을 새로 설치할때나, 키스트로크 보안이 있는 사이트를 들어갈때면..
매우 느려집니다. 그래서 Windows 작업관리자를 열어보면 regsvr32.exe가
7개에서 12어개로 늘어나 있고 왔다갔다 합니다.
왜 이런 현상이 발생할까요.
강제종료를 시키려 해도 종료되지 않고 에러메시지를 발생합니다. 하지만...그래도 하나씩 작업관리자창에서
사라져 가기는 합니다.
검색도 했지만...저와 같은 경우는 없어서 질문합니다.
|
Anonymous (0)
비회원
| 게시일: 2005-11-22 00:02||
다른 백신으로 바이러스 검사를 해보세요.
regsvr32도 매우 의심이 가고 특히 dllhost는 예전 웜바이러스 같은데요.
|
Anonymous (0)
비회원
| 게시일: 2005-11-22 08:51||
일단 실행 파일의 경로를 확인할 수 있는 작업 관리자(Process Explorer, Taskinfo)로 실제 regsvr32가 어떤 경로를 통해 실행되는 지 확인하기 바랍니다. %SystemRoot%\System32 폴더에 존재하지 않는다면 찾아서 모두 삭제하기바랍니다.
님이 직접 실행한 것이 아니라면 regsvr32는 하나도 없어야 정상입니다.
아울러 바이러스나 웜에 걸렸을 가능성이 있으므로 백신 프로그램으로 먼저 검사하는 것이 좋을 듯합니다.
|
Anonymous (0)
비회원
| 게시일: 2005-11-23 11:38||
답변주신 artech님과 timebombapple님께 감사드립니다.
중간 결과를 보고하자면,
인용 일단 실행 파일의 경로를 확인할 수 있는 작업 관리자(Process Explorer, Taskinfo)로 실제 regsvr32가 어떤 경로를 통해 실행되는 지 확인하기 바랍니다. %SystemRoot%System32 폴더에 존재하지 않는다면 찾아서 모두 삭제하기바랍니다.
Taskinfo를 실행해서 regsvr32.exe의 경로를 찾아 보았습니다. 그러나, regsvr32.exe는 처음 Taskinfo에 regsvr32.exe로 나타나다가 다시 Microsoft Register Sever로 이름을 바꾼후 Process ID가 1~2초 단위로 계속 바뀌어 가다가 한 30초정도 후 작업관리자 창에서 사라집니다. 이때 Process ID를 계속 바뀌는 관계로 Taskinfo에서 자세한 정보를 읽기 힘듭니다. general을 클릭해 정보를 보다가 Modules나 Files로 넘어 갈려면..
Process Id가 변경되면서 정보창에 정보가 없어 지기 때문입니다.
인용 아울러 바이러스나 웜에 걸렸을 가능성이 있으므로 백신 프로그램으로 먼저 검사하는 것이 좋을 듯합니다.
저는 평소 백신프로그램을 사용하지 않기는 하지만, 바이러스가 의심스러울때는
안철수 연구소의 인터넷 검사를 실시합니다. 물론 치료는 되지 않고 검사만 가능합니다.
그래서 바이러스 감염이 확인 되었을시는 그 대상 파일을 삭제하는 방법을 쓰죠..
그리고 설치된 프로그램이 감염되었을 경우는..치료할수 있는 프로그램을 설치한후 실행해서 치료하고...정 복잡하면...컴을 갈아 엎습니다..(고스트 애용)
하지만..이번에 V3인터넷용으로 검사했을시..실행화일이나 상주메모리등에서 바이러스를 검색하지 못했습니다. 단지 다운받은 프로그램중 설치하지 않고 압축되어있는 Arm이란 프로그램에만 트로이 바이러스에 감염되었다는 보고만 있어서 그 파일을 삭제하기는 했습니다.
이야기가 옆길로 좀 새는듯 하지만, 제가 요즘 오토 바이크를 타고 싶은 열망에 2종소형을 준비하고 있습니다. 그래서 운전면허시험관리단 홈페이지에서 인터넷 응시를 하는데
자꾸 그 홈페이지에 들어가면...CPU사용량이 99이상이 되면서 마우스포인터가 모래시계가 항상 붙어다니며..전체적인 시스템이 느려집니다. 창하나 뜨기까지 30초 이상 소요됩니다. 제가 어느쪽으로 방향을 잡아 가야 할까요? |
Anonymous (0)
비회원
| 게시일: 2005-11-23 11:57||
바이러스나 웜이 의심이 되는 상황이면..
HiJack 로그 작성하기
를 보시고 로그를 함 올려주시는 센스~ 
문제 해결에 도움이 되지 않을까 하네요. |
Anonymous (0)
비회원
| 게시일: 2005-11-23 19:38||
윤상팬님의 "센스"라는 말에 혹해서, HiJack로그를 올렸다가 삭제 했습니다.
왜냐면, 바이러스나 웜이 의심되는 상황은 아니라는 판단에서 입니다.
로그내용을 살펴보면, 별다른 의심되는 웹이나, 프로그램은 없는 상황입니다.
웹페이지에서 설치한 ActiveX관한 정보들과 신뢰하는 사이트 정보등을 생략했습니다.
Logfile of HijackThis v1.99.1
Scan saved at 오후 5:06:36, on 2005-11-23
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
D:\Program Files2\D-Tools\daemon.exe
D:\Program Files2\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Program Files\Shock Utility\ShockSticker\ShockSticker.exe
D:\Program Files2\NATEON\BIN\NATEONMain.exe
D:\Program Files\Iarsn\TaskInfo 6.x\TaskInfo.exe
D:\totalcmd\TOTALCMD.EXE
D:\Program Files\Internet Explorer\IEXPLORE.EXE
C:\WINDOWS\system32\npkagt.exe
E:\Documents and Settings\Administrator\바탕 화면\HijackThis.exe
C:\WINDOWS\system32\regsvr32.exe
C:\WINDOWS\system32\regsvr32.exe
C:\WINDOWS\system32\regsvr32.exe
C:\WINDOWS\system32\regsvr32.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files2\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - D:\Program Files2\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - D:\Program Files2\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [imekrmig7.0] "D:\Program Files\CommonFiles\Microsoft Shared\IME\IMKR7\IMEKRMIG.EXE"
O4 - HKLM\..\Run: [DAEMON Tools-1033] "D:\Program Files2\D-Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "D:\Program Files2\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [HncUpdate] C:\WINDOWS\system32\HncUpdate.exe /A
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ShockSticker] D:\Program Files\Shock Utility\ShockSticker\ShockSticker.exe
O4 - HKCU\..\Run: [Sticky Pad] D:\Program Files\StickyPad\StickyPad.exe |
Anonymous (0)
비회원
| 게시일: 2005-11-23 22:21||
의..의심이 많이 가는 로그인데요-_-
C:\WINDOWS\system32\dllhost.exe
여기 dllhost는 예전 웰시아웜 같기도 하고요.
역시 다른 백신과 외산 스파이웨어 제거 프로그램을 돌려보길 권장합니다.
C:\WINDOWS\system32\regsvr32.exe
이것도 원래 로그에는 나올 이유가 없는 파일 같습니다. 파일명이 계속 바뀐다면
tasklist /m 으로 몇번 시도하면 로드된 dll을 확인이 될 것으로 보구요.
iris나 tcpviewer 같은 툴로 나가는 패킷을 모니터링 해보는 것도 좋을 것 같습니다.
|
Anonymous (0)
비회원
| 게시일: 2005-11-23 23:23||
인용 C:WINDOWSsystem32dllhost.exe
여기 dllhost는 예전 웰시아웜 같기도 하고요.
역시 다른 백신과 외산 스파이웨어 제거 프로그램을 돌려보길 권장합니다.
dllhost.exe는 서비스에서 COM+ System Application을 자동실행으로 했을때 나타나는 것으로 보입니다.
위 서비스의 경로가 C:\WINDOWS\system32\dllhost.exe /Processid:{02D4B3F1-FD88-11D1-960D-00805FC79235} 이렇게 되어 있습니다. 그래서 이 서비스를 사용안함으로 설정하면, 더이상 나타나지는 않습니다.
인용 C:WINDOWSsystem32regsvr32.exe
이것도 원래 로그에는 나올 이유가 없는 파일 같습니다. 파일명이 계속 바뀐다면
tasklist /m 으로 몇번 시도하면 로드된 dll을 확인이 될 것으로 보구요.
tasklist로 시도 했더니, 다른것은 dll이 확인되는데 regsvr32.exe는 N/A으로 나오네요.
[ 메시지수정: mikawang 일시: 2005-11-23 23:28 ] |
Anonymous (0)
비회원
| 게시일: 2005-11-23 23:33||
특별히 의심가는 로그는 없습니다. 다만 초기에 실행되는 프로그램이 많으므로 이 들중 하나가 그 원인 일 수 있습니다. 일단 다음 항목을 RUN 레지스트리에서 제거한 후 확인해보기 바랍니다.
인용 O2 - BHO: (no name) - {A5366673-E8CA-11D3-9CD9-0090271D075B} - (no file)
O4 - HKLM..Run: [IMJPMIG8.1] "C:WINDOWSIMEimjp8_1IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM..Run: [PHIME2002ASync] C:WINDOWSsystem32IMETINTLGNTTINTSETP.EXE /SYNC
O4 - HKLM..Run: [PHIME2002A] C:WINDOWSsystem32IMETINTLGNTTINTSETP.EXE /IMEName
O4 - HKLM..Run: [imekrmig7.0] "D:Program FilesCommonFilesMicrosoft SharedIMEIMKR7IMEKRMIG.EXE"
O4 - HKLM..Run: [Acrobat Assistant 7.0] "D:Program Files2AdobeAcrobat 7.0DistillrAcrotray.exe"
O4 - HKLM..Run: [HncUpdate] C:WINDOWSsystem32HncUpdate.exe /A
O4 - HKCU..Run: [ShockSticker] D:Program FilesShock UtilityShockStickerShockSticker.exe
O4 - HKCU..Run: [Sticky Pad] D:Program FilesStickyPadStickyPad.exe
IME에 관련된 RUN 레지스트리는 모두 삭제해도 됩니다. |
Anonymous (0)
비회원
| 게시일: 2005-11-24 00:40||
artech님 말대로 삭제하였습니다. 하지만, regsvr32.exe의 실행은 막을 수가 없네요.
아마도 제가 무모한 실험정신으로 이것 저것 설치한 프로그램을 삭제하면서 문제가 생겼거나,
oracle9이 필요한 적이 있어 오라클을 설치후 삭제한것,
서비스의 임의적인 중지나, 삭제등등이 이런문제의 원인이지 않을까 추측해 봅니다.
...여담으로 옛날 리셋증후군이라는 말을 들었는데...저도 그 중 하나인지...
윈도우95부터 운영체제의 말썽이 나면.....그냥 밀고 새로 깔았던 기억이 납니다.
윈XP가 안정적이기도 하지만, qaos에서 많은 도움을 받아 이제는 운영체제 설치후 거의 포맷하는일이
없어졌습니다. 그만큼 안정적으로 쓴다는 이야기죠. 하지만, 제가 하는일이 좀 잡스러워서..
오토캐드, 3D맥스, 카티아(기계설계툴)에 adobe 크리에티브팩(포토샵,일러스트,프리미어,등등), 드림위버와 플래쉬제작툴...그리고 한글2005, 마소 오피스...이렇게 기본으로 설치한 데다가...그때그때...이것저것 설치하고 지우고 하다보니...사실 운영체제 깔고 이렇게 오래 써본적이 없네요...
언제든 그냥 포맷하고 고스트로 복구하면 그냥 간단히 할수 있는 문제일것 같지만, 리셋하면 다시 원점에서
시작할수도 있겠지만...qaos에서 여러가지 배우면서...리셋..포맷보다는 보다 연구하고..실험정신을 갖게 된것 같아요...이번에는 아마도 그냥 밀어버리고 복원해야 겠지만...다음에는 더 끈질기게 물고 늘어지고 싶네요..^^
또다른 문제나 현상이 생기면 다실 질문하겠습니다...^^ |
|
|
|
|
(