[데이터복구/데이타복구/하드복구/하드디스크/데이터복구 서비스센터에 오신것을 환영합니다.]

Category

119data

(2003-08-12 10:03:11, Hit : 250, Vote : 7)

http://www.i119data.com

재부팅되는 바이러스 긴급 공지

MSBLAST 바이러스

현재 국내외로 감염피해가 속출하고 있는 상황이며, 우리나라의 경우 8월 12일 새벽부터 피해자가

발생하고 있습니다.

재부팅되는 증상으로 인하여 컴퓨터를 사용하지 못하고 있는 문의가 다수 접수되고 있으며,

이것이 신종 웜이라는것이 보고되면서 오전부터 백신업체에서 긴급대응을 하고 있습니다.

이로 인한 정보가 공개되면 아마도 백신업체 홈페이지는 접속자 폭주로 인하여 접속이 원활하지

못할 것으로 예상됩니다.

재부팅으로 인하여 이메일 또는 인터넷으로 조치법을 확인중에 다시 꺼지거나 MSN 메신저 상담중에

꺼지거나 하는등의 문제가 있어서 긴급하게 재부팅 차단법을 공지합니다.

먼저 재부팅을 중단시키기 위해서 아래와 같은 응급조치를 해주시기 바랍니다.

[시작]버튼 - [실행] - 엔터를 치시고 아래 명령을 삽입후에 엔터쳐 주세요.

shutdown -a

이렇게 하면 재부팅이 중단됩니다.

또는 LAN 케이블을 뽑아 네트워크를 차단하고 패치를 해도 가능해 보입니다.

그런 다음에 윈도우폴더에 msblast.exe 파일이 존재하면 삭제하시고 아래 보안패치를 적용해 주시면 됩니다.

(참고)svchost.exe 오류창이 발생한 경우에 대한 긴급조치법은 확인중에 있습니다.

일단 이 파일이 실행중이라면 강제종료를 해주셔야 합니다.

Ctrl+Alt+Del 을 누르신 후에 프로세스에 이 파일이 실행중이라면 강제종료(제거)해 주시고 아래 보안 패치를 해주신 후에 재부팅해 주시기 바랍니다.

참고사이트

http://www.hauri.co.kr/virus/vir_read.html?code=WOW3000424

http://www.hauri.co.kr/news/notice_read.html?start=2&uid=434&s_type=&s_text=

이 파일을 확인해 본 결과 UPX로 실행압축이 되어 있으며, 파일 크기는 6,176 바이트입니다.

이 웜이 실행되면 다음의 레지스트리에 등록이 된다.
- HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

이 름 : windows auto update
데이터 : msblast.exe

그런뒤 135번 포트를 통해 다른 PC들에게 DCOM RPC 공격을 시도하게 된다. 공격에 성공하면 tftp를 통해서 웜을 다운로드 받아서 실행하며, 계속적으로 이 같은 동작을 반복하게 된다.

또한 일부 시스템에서는 계속적인 재부팅 현상이 발생하기도 한다.

DCOM RPC 보안에 취약한 OS들은 아래와 같다.
- Microsoft Windows NT 4.0
- Microsoft Windows NT 4.0 Terminal Server Edition
- Microsoft Windows 2000
- Microsoft Windows XP
- Microsoft Windows Server 2003

따라서 위의 OS를 사용하고 있다면 다음을 통해서 보안 패치를 받기 바란다.

해당 패치의 다운로드 위치:

- Windows NT 4.0 Server
http://microsoft.com/downloads/details.aspx?FamilyId=2CC66F4E-217E-4FA7-BDBF-DF77A0B9303F&displaylang=ko

- Windows NT 4.0 Terminal Server Edition
http://microsoft.com/downloads/details.aspx?FamilyId=6C0F0160-64FA-424C-A3C1-C9FAD2DC65CA&displaylang=en

- Windows 2000
http://www.microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=ko

- Windows XP 32 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=ko

- Windows XP 64 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=1B00F5DF-4A85-488F-80E3-C347ADCC4DF1&displaylang=en

- Windows Server 2003 32 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=F8E0FF3A-9F4C-4061-9009-3A212458E92E&displaylang=ko

- Windows Server 2003 64 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=2B566973-C3F0-4EC1-995F-017E35692BC7&displaylang=en

- 전산 전문가용: http://www.microsoft.com/korea/technet/security/bulletin/MS03-026.asp

- 최종 사용자용: http://www.microsoft.com/korea/technet/security/bulletin/security_bulletins/ms03-026.asp

[서버 관리자]

이 웜은 135번 포트의 공격으로 보안에 취약한 PC를 공격하기 때문에 135번 포트를 방화벽에서 막을려고 하면 안된다.

135번 포트는 일반적으로 많이 사용하는 포트이기 때문이며 이 웜이 tftp를 통해서 다운로드 받기 때문에 4444번 포트를 방화벽에서 막는것이 우선적으로 효과적이다.

[일반 사용자]

보안 패치를 통해서 웜을 차단한다.

해당 패치의 다운로드 위치:

- Windows NT 4.0 Server
http://microsoft.com/downloads/details.aspx?FamilyId=2CC66F4E-217E-4FA7-BDBF-DF77A0B9303F&displaylang=ko

- Windows NT 4.0 Terminal Server Edition
http://microsoft.com/downloads/details.aspx?FamilyId=6C0F0160-64FA-424C-A3C1-C9FAD2DC65CA&displaylang=en

- Windows 2000
http://www.microsoft.com/downloads/details.aspx?FamilyId=C8B8A846-F541-4C15-8C9F-220354449117&displaylang=ko

- Windows XP 32 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=2354406C-C5B6-44AC-9532-3DE40F69C074&displaylang=ko

- Windows XP 64 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=1B00F5DF-4A85-488F-80E3-C347ADCC4DF1&displaylang=en

- Windows Server 2003 32 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=F8E0FF3A-9F4C-4061-9009-3A212458E92E&displaylang=ko

- Windows Server 2003 64 bit Edition
http://www.microsoft.com/downloads/details.aspx?FamilyId=2B566973-C3F0-4EC1-995F-017E35692BC7&displaylang=en

- 전산 전문가용: http://www.microsoft.com/korea/technet/security/bulletin/MS03-026.asp

- 최종 사용자용: http://www.microsoft.com/korea/technet/security/bulletin/security_bulletins/ms03-026.asp

하우리(http://www.hauri.co.kr)