Adware.XP2010.R.345088
| 다른이름 | |||
|---|---|---|---|
| 대표적 증상 | 시스템 오류발생,악의적인 사용가능,재부팅시 자동실행,정상 프로그램 설치/운영 방해,특정 웹사이트 이동,파일 삭제불가,팝업창 출력,프로그램 삭제 불가 | ||
| 발견일 | 국내 : 2010-02-02 해외 : 2010-02-02 | ||
| 분류 | Adware | 활동 범위 | |
| 위험도/확산도 |  /  |
특정 활동일 | -- |
| 제작국가 | 불분명 | 암호화 여부 | 비암호화 |
| 감염위치 | 웹페이지,응용프로그램과 함께 설치,파일실행 | 시스템 메모리 상주여부 |
|
| 바이로봇 대응정보 |
2010-02-03 [진단치료가능]
|
||
> [동영상 리뷰] 탭으로 이동하여 확인 할 수 있으며, 약 8분 41초의 영상입니다. <
[Adware.XP2010.R.345088] 은(는) 방화벽을 사용하지 않도록 설정을 변경하고, 윈도우 업데이트 화면과 유사한 UI를 통해 설치된다.
- 다량의 경고문구와 함께 허위 감염로그를 보여주며 등록/결제를 요구한다. 또한, Internet Explorer 실행 시 무조건 등록/결제를 요구하고, 등록/결제를 취소할 경우 Internet Explorer를 이용할 수 없다. - 허위백신의 이름은 XP (백신과 유사한 이름 = 랜덤명) 2010 이다. - 해당 프로그램을 삭제 시 exe 관련 파일을 정상적으로 이용할 수 없다. [그림 1.] 방화벽 변경 화면 – 실행 시 방화벽을 비활성화 시킨다.
[그림 2.] 설치 화면 – 완벽 재현을 통해 설치 시 의심을 사지 않는다.
[그림 3.] 스캔 화면 – 99% 한글화가 되어있다.
[그림 4.] 허위 시스템 보안 경고 – 스캔이 끝나자 활성화를 요구한다.
[그림 5.] 등록요구 화면 – 현혹된 문구로 등록을 요구한다.
[그림 6.] 결제요구 화면 - 6개월에 $49.95이다. (2/3일 환율로는 약 57,500원)
[그림 7.] 일정시간마다 나타나는 경보 화면 – 랜덤한 IP주소/포트를 띄우며 다시 한 번 결제를 요구한다.
[그림 8.] Internet Explorer 실행 시 화면 – 또!! 결제를 요구한다.
[그림 9.] Internet Explorer 오류 – 결제를 거부하면… 무섭게도 인터넷을 이용할 수 없다.
[그림 10.] 다양한 경고 화면 1
[그림 11.] 다양한 경고 화면 2
[그림 12.] 다양한 경고 화면 3
[그림 13.] 다양한 경고 화면 4
[그림 14.] 다양한 경고 화면 5
[그림 15.] 다양한 경고 화면 6
< 관련 URL > hxxp://(생략).com/1054001112 < 파일 > [Adware.XP2010.R.345088] 이(가) 생성하는 파일은 아래와 같다. (사용자계정 폴더)\Local Settings\Application Data\av.exe (사용자계정 폴더)\Local Settings\Application Data\PQyt < 레지스트리 > [Adware.XP2010.R.345088] 이(가) 생성하는 레지스트리는 아래와 같다. HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile 이름 : EnableFirewall 값 : 0x00000000 HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile 이름 : EnableFirewall 값 : 0x00000000 HKCU\Software\Classes\.exe\shell\open\command 값 : ""(사용자계정 폴더)\Local Settings\Application Data\av.exe" /START "%1" %*" HKCU\Software\Classes\.exe\shell\open\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\.exe\shell\runas\command 값 : ""%1" %*" HKCU\Software\Classes\.exe\shell\runas\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\.exe\shell\start\command 값 : ""%1" %*" HKCU\Software\Classes\.exe\shell\start\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\.exe\DefaultIcon 값 : "%1"
이름 : Content Type 값 : "application/x-msdownload" HKCU\Software\Classes\secfile\shell\open\command 값 : ""(사용자계정 폴더)\Local Settings\Application Data\av.exe" /START "%1" %*" HKCU\Software\Classes\secfile\shell\open\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\secfile\shell\runas\command 값 : ""%1" %*" HKCU\Software\Classes\secfile\shell\runas\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\secfile\shell\start\command 값 : ""%1" %*" HKCU\Software\Classes\secfile\shell\start\command 이름 : IsolatedCommand 값 : ""%1" %*" HKCU\Software\Classes\secfile\DefaultIcon 값 : "%1" HKCU\Software\Classes\secfile 값 : "Application" HKCU\Software\Classes\secfile 이름 : Content Type 값 : "application/x-msdownload" - 변경 전 레지스트리 – HKCU\Software\Classes\.exe 값 : "exefile" HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command 값 : ""(프로그램 폴더)\Internet Explorer\iexplore.exe"" - 변경 후 레지스트리 – HKCU\Software\Classes\.exe 값 : "secfile" HKLM\SOFTWARE\Clients\StartMenuInternet\IEXPLORE.EXE\shell\open\command 값 : ""(사용자계정 폴더)\Local Settings\Application Data\av.exe" /START "(프로그램폴더)\Internet Explorer\iexplore.exe"" < 표기법 > "(사용자계정 폴더)" 란 사용자 설정에 따라 다를 수 있으며 일반적으로 C:\Documents and Settings\(사용자계정) 이다. "(프로그램 폴더)" 란 운영체제마다 다를 수 있으며 일반적으로 C:\Program Files 이다.
|
|||
|
|||
|
|||
1. WinXP / ME 사용자라면 시스템 복원 기능을 비활성화 한다. a. 시스템 복원 비활성화 방법 (WInXP) b. 시스템 복원 비활성화 방법 (WinME) 시스템 복원 기능을 비활성화 하는 이유는 깨끗하게 바이러스를 치료하기 위해서이다. 관련 정보는 MS 홈페이지 기술문서(Q263455) 에서 확인 할 수 있다. 2. 백신 엔진을 최신으로 업데이트 한다. 이 바이러스를 치료하기 위해서는 최신의 백신 엔진이 필요하다. a. 바이로봇 정식 사용자의 경우 : - 제품군을 통해 업데이트 b. 바이로봇을 사용하지 않는 일반 고객 - 라이브콜(무료검사) 사이트를 이용한 바이러스 검사 - 바이로봇 7일 평가판 설치 후 바이러스 검사 3. 스파이웨어 검사를 한다. a. 바이로봇을 실행하여, 환경 설정에서 스파이 / 애드웨어 검사를 한다. - Desktop 5.X : [도구]-[환경설정]-[스파이웨어 검사] 모든 파일 체크 - 라이브콜(무료검사) : [고급검사] 체크 b. 발견되는 모든 스파이웨어에 대해서 치료한다. c. [재부팅 후 자동 치료] 메시지가 나타났다면 재부팅을 한 후에 다시 검사한다. |
