에스지어드밴텍(대표 : 은유진)은 지난 12월 5일부터 Hosts 파일이 지속적으로 변경되거나 중국발 성인 광고 창이 발생하는 장애 접수가 지속돼 각별한 주의가 필요하다고 밝혔다. 에스지어드밴텍은 이러한 바이러스가 발견될 경우 해당 취약점에 대한 보안패치를 설치하거나 바이러스 구성요소 파일을 삭제 조치하도록 당부했다.

이번 바이러스는 해킹된 사이트에 사용자가 접근하면 취약점에 의한 바이러스가 실행돼 감염되며, 중국어 성인 광고 팝업이 발생하고 Hosts파일이 지속적으로 변경된다는 특징을 가진다. 이는 이동식 디스크를 통해 새로운 시스템에 전파될 수 있다. 에스지어드밴텍 연구소 최재혁 팀장은 “특히 최초 설치된 악성코드에 의해 다수의 악성코드를 다운로드 받아 설치하므로 개인정보 유출 및 ARP Spoofing애 의한 네트워크 장애를 발생시킬 수 있어 더욱 신경을 써야 한다”고 설명했다.

이번 바이러스의 증상으로는 네트워크 장애, 웹 브라우저의 팝업 창 발생, 레지스트리 편집기 등 보안 프로그램의 시작 불가, 일부 보안 사이트 접속 불가, 시스템 운영 장애으로 요약된다. 해당 악성코드는 매 시간마다 100여종 이상의 새로운 변종이 발생해 대응의 어려움 또한 많아 신속한 보안 업데이트가 요구되는 것.

이러한 바이러스 감염을 예방하거나 이미 감염된 바이러스를 치료하는 방법은 다음과 같다.

▷취약점에 대한 보안패치 설치
악성코드 내부에는 MS08-067 에 대한 공격 코드를 포함하므로 일단 바이러스에 감염되었다고 의심되는 사용자는 해당 취약점에 대한 보안 패치를 설치해줘야 한다.
- XP용 보안패치:
http://www.microsoft.com/downloads/details.aspx?familyid=0D5F9B6E-9265-44B9-A376-2067B73D6A03&displaylang=ko

- Vista용 보안패치:
http://www.microsoft.com/downloads/details.aspx?FamilyID=18fdff67-c723-42bd-ac5c-cac7d8713b21&displaylang=ko


▷바이러스체이서 업데이트 확인 및 이동식 저장장치 보안 강화

이미 감염된 시스템은 에스지어드밴텍의 바이러스체이서를 최신 업데이트하여 치료하거나 전용백신을 통한 치료가 가능하다. 특히 바이러스 자신의 동작을 은폐하기 위하여 사용하는 기법인 루트킷 전용 백신은 현재 바이러스체이서만이 가능하다고 회사측은 밝혔다.
 
또한 이번 바이러스는 감염된 시스템에서 사용한 이동식 디스크를 통하여 새로운 시스템에 전파될 수 있는 특징을 보인다. 따라서 Autorun.inf 를 통하여 감염된 드라이브 루트의 system.dll 실행하므로 해당 파일 존재 확인 및 삭제 조치가 필요하다.

▷수동 조치
o 아래 서비스의 구성요소 파일은 바이러스로 대체되므로 삭제 조치가 필요하다.
- wiaservc.dll : 이미지 인식서비스
- w32time.dll : 시간 날짜 동기화 서비스
- srsvc.dll : 시스템 복원 서비스
- appmgmts.dll : 소프트웨어 설치 서비스
- schedsvc.dll : 자동화 작업 및 예약 서비스

<삭제 방법>
1) 시작되고 있는 아래 서비스에 대한 “서비스 중지” 및 “사용안함” 설정
; 위의 대상 파일중 아래의 서비스만이 디폴트 “시작”으로 되어 있음
서비스 명 : W32Time (날짜 및 시간 동기화)
서비스 명 : Schedule (자동화 작업 및 예약 서비스)
서비스 명 : Srservice (시스템 복원 서비스)

2) 윈도우 재시작 후 전체검사
아래파일이 진단/치료 되어야함 (윈도우 정상파일과 동일한 경로/파일 이름가짐)
* 파일이 진단에 의해 삭제되면 dllcache 로부터 정상파일 복구됨.

3) 치료 후 서비스 복원 (아래 서비스를 “시작” 및 “자동” 으로 설정)
서비스 명 : W32Time (날짜 및 시간 동기화)
서비스 명 : Schedule (자동화 작업 및 예약 서비스)
서비스 명 : Srservice (시스템 복원 서비스)

이밖에 이번 바이러스에 대한 자세한 사항은 안티바이러스 백신 ‘바이러스체이서’ 홈페이지에서 확인 가능하다.

문의 : 어드밴텍테크놀로지스 (02-3663-9494) www.advantech.co.kr