Anti-Virus Leader ViRobot

Monitor.007SpySoft.1246154

다른이름	[Kaspersky Lab] not-a-virus:Monitor.Win32.007SpySoft.308
대표적 증상	악의적인 사용가능,재부팅시 자동실행
발견일	국내 : 2009-01-09 해외 : 2009-01-09
분류	Monitor	활동 범위
위험도/확산도	/	특정 활동일	--
제작국가	불분명	암호화 여부	비암호화
감염위치	웹페이지,파일실행	시스템 메모리 상주여부
바이로봇 대응정보	2009-1-9 [진단치료가능]

[Monitor.007SpySoft.1246154] 은 설치된 시스템의 사용 정보의 대부분을 모니터링 하는 프로그램이다. 누가 어떻게 사용하느냐에 따라 심각한 개인정보 유출에 이용 될 수 있어 유해가능 프로그램으로 분류/진단 한다. 이 유해가능 프로그램에 의해 모니터링 되는 내역은 아래 5가지 항목으로 분류되며 특정폴더에 각각 파일 및 사진 파일로 저장된다. - Keystrokes Log (키보드 입력) - WebSites Log (웹사이트 접속) - Application Log (어플리케이션 사용) - Screenshots Log (화면 캡쳐) - File/FolderS Log (파일/폴더 복사, 삭제 등) [007 Spy Software] 는 일반적인 경우에는 사용자의 동의를 통해 정상적인 사용 설명과 함께 설치된다. 하지만, 여러 사람이 하나의 윈도우 계정을 공유하여 사용하는 경우 (PC방, 공공장소에 설치된 PC 등) 에는 설치한 사람의 악의적인 목적에 의해 [Monitor.007SpySoft.1246154]이 설치 된지 모른 채 사용 할 경우 치명적인 개인정보 유출의 도구로 사용 될 수 있다. [그림 1.] [007 Spy Software] 의 설정 창. 1. 키보드 입력 모니터링. [그림 2.] , [그림 3.] 과 같이 사용자가 입력한 모든 키보드 입력에 대한 정보가 파일로 기록 된다. [그림 2.] 키보드 입력 저장 로그. [그림 3.] kys.dat 파일로 저장된 키보드 입력. 2. 웹사이트 접속 모니터링. [그림 4.] , [그림 5.] 와 같이 사용자가 접속한 모든 사이트 URL에 대한 정보가 파일로 기록 된다. [그림 4.] 웹 사이트 접속 로그. [그림 5.] Urls.dat 파일로 저장된 URL 사이트. 3. 어플리케이션 사용 모니터링. [그림 6.] , [그림 7.] 과 같이 사용자가 사용한 모든 프로그램에 대한 정보가 파일로 기록 된다. [그림 6.] 어플리케이션 사용 로그. [그림 7.] Apps.dat 파일로 저장된 프로그램 리스트. 4. 사용 화면 모니터링. [그림 8.] , [그림 9.] , [그림 10.] , [그림 11.] 과 같이 사용자가 보았던 화면들을 캡쳐하여 파일 및 사진으로 기록 된다. [그림 8.] 화면 캡쳐 로그. [그림 9.] scr.dat 파일에 저장된 캡쳐 리스트. [그림 10.] [Monitor.007SpySoft.1246154] 에 의해 캡쳐 된 사용자 화면1. [그림 11.] [Monitor.007SpySoft.1246154] 에 의해 캡쳐 된 사용자 화면2. 5. 파일/폴더 복사, 삭제 등의 모니터링 [그림 12.] , [그림 13.] 과 같이 사용자가 복사/삭제 등의 사용에 대한 정보가 파일로 기록 된다. [그림 12.] 파일 복사/삭제 등의 로그. [그림 13.] Flies.dat 에 저장된 파일 접근 리스트. [Monitor.007SpySoft.1246154] 는 다수의 정상 윈도우 시스템 파일/레지스트리 를 사용하므로 수동 삭제시 유의하여야 한다. < 관련 URL > http://www.(생략)-software.com/spy_software.htm < 파일 > [Monitor.007SpySoft.1246154] 이(가) 생성하는 파일은 아래와 같다. (프로그램 폴더)\Common Files\Microsoft Shared\DAO\ssdata\Apps.dat (프로그램 폴더)\Common Files\Microsoft Shared\DAO\ssdata\kys.dat (프로그램 폴더)\Common Files\Microsoft Shared\DAO\ssdata\lgstat.ini (프로그램 폴더)\Common Files\Microsoft Shared\DAO\ssdata\scr.dat (프로그램 폴더)\Common Files\Microsoft Shared\DAO\svchost.exe (시스템 폴더)\COMCTL32.OCX (시스템 폴더)\ijl11pro.DLL (시스템 폴더)\MSINET.OCX (시스템 폴더)\VB5STKIT.DLL (윈도우 폴더)\winhelp.ini < 레지스트리 > [Monitor.007SpySoft.1246154] 이(가) 생성하는 레지스트리는 아래와 같다. HKLM\SOFTWARE\Classes\CLSID\{0713E8A2-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{0713E8A8-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{0713E8D2-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{0713E8D8-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{373FF7F0-EB8B-11CD-8820-08002B2F4F5A} HKLM\SOFTWARE\Classes\CLSID\{373FF7F4-EB8B-11CD-8820-08002B2F4F5A} HKLM\SOFTWARE\Classes\CLSID\{48E59293-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\CLSID\{48E59294-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\CLSID\{48E59295-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\CLSID\{58DA8D8A-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{58DA8D8F-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{58DA8D93-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{58DA8D96-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{5ACBB955-5C57-11CF-8993-00AA00688B10} HKLM\SOFTWARE\Classes\CLSID\{5ACBB956-5C57-11CF-8993-00AA00688B10} HKLM\SOFTWARE\Classes\CLSID\{5ACBB957-5C57-11CF-8993-00AA00688B10} HKLM\SOFTWARE\Classes\CLSID\{5ACBB958-5C57-11CF-8993-00AA00688B10} HKLM\SOFTWARE\Classes\CLSID\{6027C2D4-FB28-11CD-8820-08002B2F4F5A} HKLM\SOFTWARE\Classes\CLSID\{612A8624-0FB3-11CE-8747-524153480004} HKLM\SOFTWARE\Classes\CLSID\{612A8628-0FB3-11CE-8747-524153480004} HKLM\SOFTWARE\Classes\CLSID\{62823C20-41A3-11CE-9E8B-0020AF039CA3} HKLM\SOFTWARE\Classes\CLSID\{6B7E638F-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{6B7E6393-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{6B7E63A3-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\CLSID\{9ED94440-E5E8-101B-B9B5-444553540000} HKLM\SOFTWARE\Classes\CLSID\{9ED94444-E5E8-101B-B9B5-444553540000} HKLM\SOFTWARE\Classes\CLSID\{B66834C6-2E60-11CE-8748-524153480004} HKLM\SOFTWARE\Classes\Interface\{0713E451-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E791-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A0-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A1-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A3-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A4-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A5-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8A7-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8AE-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8AF-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8B0-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8B1-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8D0-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E8D1-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E944-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{0713E953-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{2334D2B1-713E-11CF-8AE5-00AA00C00905} HKLM\SOFTWARE\Classes\Interface\{2334D2B3-713E-11CF-8AE5-00AA00C00905} HKLM\SOFTWARE\Classes\Interface\{2C787A50-E01C-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{2C787A52-E01C-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{373FF7F1-EB8B-11CD-8820-08002B2F4F5A} HKLM\SOFTWARE\Classes\Interface\{373FF7F2-EB8B-11CD-8820-08002B2F4F5A} HKLM\SOFTWARE\Classes\Interface\{48E59291-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\Interface\{48E59292-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\Interface\{58DA8D8B-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{58DA8D8C-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{58DA8D90-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{58DA8D91-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{58DA8D94-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{58DA8D95-9D6A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{612A8625-0FB3-11CE-8747-524153480004} HKLM\SOFTWARE\Classes\Interface\{612A8626-0FB3-11CE-8747-524153480004} HKLM\SOFTWARE\Classes\Interface\{6B7E6390-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{6B7E6391-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\Interface\{6E1B5150-DB62-11D0-A0D8-0080C7E7B78D} HKLM\SOFTWARE\Classes\Interface\{7791BA40-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{7791BA42-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{7791BA50-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{7791BA52-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{7791BA60-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{7791BA62-E020-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{8556BCD0-E01E-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{8556BCD2-E01E-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{9ED94441-E5E8-101B-B9B5-444553540000} HKLM\SOFTWARE\Classes\Interface\{9ED94442-E5E8-101B-B9B5-444553540000} HKLM\SOFTWARE\Classes\Interface\{BF877890-E026-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{BF877892-E026-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{BF877894-E026-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{BF877896-E026-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E80-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E82-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E84-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E86-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E88-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E8A-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E8C-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{E6E17E8E-DF38-11CF-8E74-00A0C90F26F8} HKLM\SOFTWARE\Classes\Interface\{EC0AB1C0-6CAB-11CF-8998-00AA00688B10} HKLM\SOFTWARE\Classes\Interface\{F4D83600-895E-11D0-B0A6-000000000000} HKLM\SOFTWARE\Classes\Interface\{F4D83601-895E-11D0-B0A6-000000000000} HKLM\SOFTWARE\Classes\Interface\{F4D83602-895E-11D0-B0A6-000000000000} HKLM\SOFTWARE\Classes\Interface\{F4D83603-895E-11D0-B0A6-000000000000} HKLM\SOFTWARE\Classes\Interface\{F4D83604-895E-11D0-B0A6-000000000000} HKLM\SOFTWARE\Classes\TypeLib\{48E59290-9880-11CF-9754-00AA00C00908} HKLM\SOFTWARE\Classes\TypeLib\{6B7E6392-850A-101B-AFC0-4210102A8DA7} HKLM\SOFTWARE\Classes\COMCTL.ImageListCtrl HKLM\SOFTWARE\Classes\COMCTL.ImageListCtrl.1 HKLM\SOFTWARE\Classes\COMCTL.ListViewCtrl HKLM\SOFTWARE\Classes\COMCTL.ListViewCtrl.1 HKLM\SOFTWARE\Classes\COMCTL.ProgCtrl HKLM\SOFTWARE\Classes\COMCTL.ProgCtrl.1 HKLM\SOFTWARE\Classes\COMCTL.SBarCtrl HKLM\SOFTWARE\Classes\COMCTL.SBarCtrl.1 HKLM\SOFTWARE\Classes\COMCTL.Slider HKLM\SOFTWARE\Classes\COMCTL.Slider.1 HKLM\SOFTWARE\Classes\COMCTL.TabStrip HKLM\SOFTWARE\Classes\COMCTL.TabStrip.1 HKLM\SOFTWARE\Classes\COMCTL.Toolbar HKLM\SOFTWARE\Classes\COMCTL.Toolbar.1 HKLM\SOFTWARE\Classes\COMCTL.TreeCtrl HKLM\SOFTWARE\Classes\COMCTL.TreeCtrl.1 HKLM\SOFTWARE\Classes\InetCtls.Inet HKLM\SOFTWARE\Classes\InetCtls.Inet.1 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Windows LSASS Service: "(프로그램 폴더)\Common Files\Microsoft Shared\DAO\svchost.exe" HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls\C:\WINDOWS\system32\ijl11pro.DLL: 0x00000001 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDlls\C:\WINDOWS\system32\VB5STKIT.DLL: 0x00000001 < 표기법 > "(모든 사용자계정 폴더)" 란 사용자 설정에 따라 다를 수 있으며 일반적으로 C:\Documents and Settings\(모든 사용자계정) 이다 "(바탕화면 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로 C:\Documents and Settings\(사용자계정)\바탕 화면 이다. "(빠른실행 폴더)" 란 운영체제(혹은 사용자)마다 다를 수 있으며 일반적으로 C:\Documents and Settings\(사용자계정)\Application Data\Microsoft\Internet Explorer\Quick Launch 이다. "(임시 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로 C:\Documents and Settings\(사용자계정)\Local Settings\Temp 이다. "(프로그램 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로 C:\Program Files 이다. “(윈도우 폴더)” 란 운영체제마다 다를 수 있으며 일반적으로 C:\Windows 이다. “(시스템 폴더)” 란 운영체제마다 다를 수 있으며 일반적으로 C:\Windows\System32 이다.
< 007 Spy Software 설치 절차. > [그림 14.] 설치 절차1. [그림 15.] 설치 절차2. [그림 16.] 설치 절차3. [그림 17.] 설치 절차4. [그림 18.]사용 방법 및 경고 메시지1. [그림 19.] 사용 방법 및 경고 메시지2.

1. WinXP / ME 사용자라면 시스템 복원 기능을 비활성화 한다. a. 시스템 복원 비활성화 방법 (WInXP) b. 시스템 복원 비활성화 방법 (WinME) 시스템 복원 기능을 비활성화 하는 이유는 깨끗하게 바이러스를 치료하기 위해서이다. 관련 정보는 MS 홈페이지 기술문서(Q263455) 에서 확인 할 수 있다. 2. 백신 엔진을 최신으로 업데이트 한다. 이 바이러스를 치료하기 위해서는 최신의 백신 엔진이 필요하다. a. 바이로봇 정식 사용자의 경우 : - 홈페이지를 통해 업데이트 - 제품군을 통해 업데이트 b. 바이로봇을 사용하지 않는 일반 고객 - 라이브콜(무료검사) 사이트를 이용한 바이러스 검사 - 바이로봇 30일 평가판 설치 후 바이러스 검사 3. 스파이웨어 검사를 한다. a. 바이로봇을 실행하여, 환경 설정에서 스파이 / 애드웨어 검사를 한다. - Desktop 5.X : [도구]-[환경설정]-[스파이웨어 검사] 모든 파일 체크 - 라이브콜(무료검사) : [고급검사] 체크 b. 발견되는 모든 스파이웨어에 대해서 치료한다. c. [재부팅 후 자동 치료] 메시지가 나타났다면 재부팅을 한 후에 다시 검사한다.

  
                               World 
                                Wide
                            
                               North 
                                America
                            
                               Mexico/Chile
                            
                               Brazil
                            
                               India
                            
                               Others
                            
                               LiveCall(라이브콜)