'My story'에 해당되는 글 40건

HOSTS 파일안에는 내용이 "127.0.0.1 Localhost" 라는 문구만 있어야 하는데 저렇게 엄한주소로 가득차있다.
V3는 더이상의 감염파일을 찾지못햇다.
분명 HOSTS 파일이 변형됬다면 그걸 변형시킨 악성코드가 존재할건데 그걸 못잡아내는것이었다.
그래서 이번엔 정밀검사를 실행해보니 여러가지 악성코드/바이러스들이 검색되었다.

V3검사 로그
V3로 감염파일 치료후 리부팅 하였으나 똑같은 현상이 다시 발생, 이건 뭔가 있다 싶어서 MSCONFIG 명령어로 시작파일 리스트를 보니 이상한 프로그램들이 있었다.

제일먼저 찾아 제거한건 umdmgr.exe
그다음은 addrive32.exe <--- 이넘은 교묘하게 히든속성으로 숨겨져 있었다.
그리고 User setting 폴더의 잡다한 파일들 모조리 삭제

다시 리부팅  --> 똑같은 증상 및 전에 삭제한 파일들 다시 설치

그리고 msconfig 의 리스트에 vse432, vsbntlo 파일 등록
그런데 웃긴게 저 두파일은 recycle(휴지통)안에 있다

휴지통을 열어보니 히든속성으로 위의 경로상 폴더가 존재하였다.
분명 휴지통 비우기를 했지만 저 2폴더외에 1개폴더 포함 3개폴더는 지워지지 않았다.

위 목록의 2개 폴더는 실행프로그램 강제종료후 삭제하였으나
3번째 폴더는 프로그램이 실행중이라며 삭제되지 않았다. (파일명 :csvcs.exe) 그러나 프로세스목록엔 그 파일이없었다.
직감상 요놈이 숙주 대장이란걸 직감햇다.

컴터를 리붓하니 아까 삭제했던 파일들이 다시 깔려있고 위 스샷처럼 목록에 등록이 되어있었다.

히든속성 파일보기로도 보이지 않는다. 프로세스목록에도 안보이고...

백신도 잡아내질 못한다. 속수무책이다. 보여야 잡던가 말던가 하지

할수없이  안전모드로 부팅을 시도해보았다. 그러나 안전모드 부팅시 계속 다운현상 발생

다른방법으로 안전모드(콘솔명령창) 모드로 부팅

-

이제 엣날 고딩때 배웠던 MS-DOS 명령어를 기억속에서 끄집어 낼때이다.

CD 명령어로 해당폴더를 찾아간후 (휴지통폴더안의 저 긴 폴더이름을 치느라 시껍했다)

 DIR /A 명령어로 파일의 존재를 확인할수 있었다.

ATTRIB CSVCS.EXE -H -S -R 로 히든,시스템,읽기전용 속성을 해제하였고 다시 깔렸던 2파일도 같은 방식으로 속성해제한후 DEL 명령으로 모두 삭제해 버렸다.

그리고 다시 부팅후 다시 깔린 잡다한 파일들을 V3와 알약으로 모두삭제

그 뒤로는 증상이 재발하지 않았다.

아마 휴지통의 숨겨져있던 CSVCS.EXE가 Downloader (다른 악성코드를 자동으로 설치하는 악성코드)이고 downloader에 의해 설치된 umdmgr.exe 와 avdriver32.exe 가 hosts 파일을 변형시킨게 아닌가 생각된다.

그 외 Documents & Settings\admin...\Local Settings\Temp 폴더의 잡다한 파일들은 뭐하는넘들인지...

일단 치료하긴 했지만 그 사이 내 개인정보가 새 나갔을지 무척 찜찜하다.