|
|
 |
 |
|
|
Dropper/OnlineGameHack.13312.H
|
|
|
|
|
최초 입력시간 : 2008. 11. 18 11:38 (GMT+9) |
최종 수정시간 : 2008. 11. 18 11:38 (GMT+9) |
|
|
|
| 증상 및 요약 |
 |
|
|
Dropper/OnlineGameHack.13312.H 는 특정 온라인 게임의 사용자 계정을 훔쳐가는 트로이목마 프로그램을 생성하는 드로퍼이다. 해당 드로퍼가 실행되면 윈도우 시스템 폴더에 kandawf.dll (28,672 바이트), kandawfk.exe (13,312 바이트)를 생성하는데 이는 사용자의 키보드 입력을 가로채어 특정 메일주소로 전송하는 트로이목마이다.
|
|
| 상세정보 |
|
|
* 전파 경로
|
자체 전파 기능은 없으며 사용자가 메일, 메신저, 게시판, 자료실 등에서 실행 파일을 다운로드 해 실행하거나 다른 악성코드(웜, 바이러스, 트로이목마)에서 설치하는 것으로 보인다.
|
* 실행 후 증상
|
[파일 생성]
윈도우 시스템 폴더에 다음 파일을 생성한다.
- kandawf.dll (28,672 바이트)
- kandawfk.exe (13,312 바이트)
주) 윈도우 시스템 폴더는 사용 윈도우에 따라 다르며 보통 윈도우 95/98/ME는 C:\Windows\System, 윈도우 NT/2000은 C:\WinNT\System32, 윈도우 XP는 C:\Windows\System32 폴더이다.
[레지스트리 등록]
레지스트리에 다음 값을 추가해 윈도우 시작 시 자동으로 실행되도록 한다.
HKEY_LOCAL_MACHINE\
SOFTWARE\
Microsoft\
Windows NT\
CurrentVersion\
Windows
AppInit_DLLs = 시스템 루트\winsys\apimonhook.dll kandawf.dll"
[키보드 입력 후킹]
해당 드로퍼는 자신이 생성한 kandawf.dll 파일을 실행 중인 모든 프로세스에 강제로 주입시킨다. 감염된 시스템의 사용자가 특정 온라인 게임에 접속하여 사용자 아이디와 암호를 입력하게 될 경우 해당 값들을 가로채어 특정 메일주소로 전송한다.
|
|
|
| 치료법 |
|
|
* V3 Internet Security (2007 / 2007 Platinum / 7.0 Enterprise / 7.0 Platinum Enterprise) 사용자
1. 제품 실행 후 오른쪽 상단의 [업데이트]를 선택하거나 업데이트 파일을 통해 최신 엔진 및 패치 파일로 업데이트 한다.
2. 왼쪽 메뉴의 [바이러스 검사]를 선택 후 [검사하기]를 누른다.
3. 빠른 검사, 수동 검사, 사용자 목록 검사 중 검사 방법을 선택 후 [검사 시작]을 누른다.
4. 메모리에서 실행중인 악성코드가 발견되면 일반적으로 자동 치료(삭제)된다.
5. 메모리 검사와 파일 검사가 끝나면 진단 결과에 진단명이 나타난다. 여기서 '모두 선택'이나 개별 선택 후 [치료하기]를 눌러 진단된 악성코드를 치료(삭제)한다.
6. 치료 혹은 삭제 할때 추가/변경 된 레지스트리 값은 자동 수정된다.
7. 치료 실패 혹은 재감염이 발생할 경우 우선 안전모드로 부팅 후 치료해 본다. 계속 치료 실패 혹은 재감염 증상이 발생한다면 안리포트 결과와 함께 신고센터로 문의한다.
* MyV3 사용자
1. MyV3 사이트( http://clinic.ahnlab.com/clinic/myv3.html 등)에 접속해 실행한다. 만약 MyV3의 액티브 X 컨트롤이 설치되어 있지 않다면 '보안 경고'창에서 '예'를 눌러 설치한다.
2. MyV3를 최신 버전으로 업데이트 된다.
3. 검사할 드라이브를 지정하고 [검사시작] 버튼을 눌러 검사를 시작한다.
4. 프로세스에서 실행중인 관련 악성코드가 진단되면 안내되는 메시지의 '강제종료후
치료' 선택한다. 종료된 악성코드는 자동 치료(삭제)된다.
5. 프로세스 검사와 지정 드라이브 검사가 끝나면 치료창이 보여진다. 여기서 '전체목
록치료' 버튼을 눌러 진단된 악성코드를 치료(삭제)한다.
6. 필요시 추가/변경 된 레지스트리 값은 자동수정된다.
7. 치료 실패 혹은 재감염이 발생할 경우 우선 안전모드로 부팅 후 치료해 본다. 계속 치료 실패 혹은 재감염 증상이 발생한다면 안리포트 결과와 함께 신고센터로 문의한다.
* V3Pro 2002 Deluxe / V3Pro 2004 / V3Net for Windows Server 사용자
1. 사용 제품을 실행 후 [업데이트] 버튼이나 업데이트 파일을 통해 최신 엔진 및 패치 파일로 업데이트 한다.
2. 검사할 드라이브를 지정하고 검사를 시작한다.
3. 프로세스에서 실행중인 관련 악성코드가 진단되면 안내되는 메시지의 '강제종료후 치료' 선택한다. 종료된 악성코드는 자동 치료(삭제)된다.
4. 프로세스 검사와 지정 드라이브 검사가 끝나면 치료창이 보여진다. 여기서 '전체목록치료' 버튼을 눌러 진단된 악성코드를 치료(삭제)한다.
5. 필요시 추가/변경 된 레지스트리 값은 자동수정된다.
6. 치료 실패 혹은 재감염이 발생할 경우 우선 안전모드로 부팅 후 치료해 본다. 계속 치료 실패 혹은 재감염 증상이 발생한다면 안리포트 결과와 함께 신고센터로 문의한다.
|
|
|
|
|
|
|
※ 이 정보에 대한 저작권은 (주)안철수연구소에 있으며 무단 사용 및 도용을 금합니다.
단, 개인이 비상업적인 목적으로 일부 내용을 사용하는 것은 허용하고 있으나, 이 경우 반드시 출처가 안철수연구소 임을 밝혀야 합니다.
기업이 이 정보를 사용할 때에는 반드시 안철수연구소의 허가를 받아야 하며, 허가 없이 정보를 이용할 경우 저작권 침해로 간주되어 법적인 제재를 받을 수 있습니다.
자세한 내용은 컨텐츠 이용약관을 참고하시기 바랍니다.
정보 이용 문의 :
|
|
|
|
|
|
|
|
안철수연구소의 보안제품을 온라인으로 바로 구입하실 수 있습니다.
