바이러스는 누가 만드는가?

수일 동안 컴퓨터가 제대로 작동하지 않아 애를 먹었답니다.
란 안내문이 나오고 올 스톱-
컴퓨터 고장일까 하고 생각했는데 기은이 말에 바이러스가 원인인 것
같다고 하더군요.
그래서 다른 컴퓨터로 검색하자 아래 글이 나왔답니다.
kavo_killer.zip란 파일을 다운받아 압축을 푼 후 안내대로 실행시키자
컴퓨터가 살아났답니다.

바이러스는 누가 만드는가?
분명 컴퓨터를 잘 아는 사람들이 만든 것이라 생각됩니다,
마치 총을 아무에게나 난사하듯이 자신의 머리(?)를 자랑하기 위해
사방에 바이러스가 퍼지게 만들고 이로 인해 상대방의 피해를 즐기는
못된 자가 한 짓입니다.
그 머리를 가지고 공개용 소프트웨어를 만들어 퍼트리던가
바이러스 백신을 만들어 나누어주면 천사가 될텐데
악마의 화신처럼 살아가는 자라 생각됩니다.

선교지에 있다 보면 이따금 사방에 거짓말을 하거나 남을 모해하는 하는 말을 퍼뜨리는
바이러스 같은 자가 있답니다. 심지어 자기가 한 말이 어디로 가서 어떤 영향을 일으
키는지 조차 모른 채 마구 떠들어댑니다.
그러나 우연한 계기에 하나 둘 당사자에게 그 내용이 알려지게 됩니다.

5년 전 중국의 한 한인교회가 저희를 전적으로 지원하려 검토하다가 바로 그만 이상한
소문을 청취해 무산되고 말았답니다. 문제의 인물로 지목된 자는 그런 적이 없다고 잡
아떼더군요. 하기 직접 찾아가 말하진 않았겠지요. 아이러니한 일라 생각됩니다.
선교지 바이러스가 일으킨 피해의 한 예라 할 수 있습니다.

더욱 문제는 문제 인물을 좋아하는(?) 부류가 있어 아이러니하게 생각됩니다.
알고도 모른 채 하는 건지 잘 몰라서 그런지 헷갈릴 정도입니다.
아마 상당수는 자신에게 이익이 된다면 이 정도의 일은 문제삼을 필요가 없다고 생각하고
있는 것 같답니다. 조그만 이익보다 삶의 질서가 더 중요하지 않을까요.

병균과 싸우는 과학자나 의사의 수고가 없었더라면 인류는 심각한 위기를 맞았을 것입니다.
컴퓨터 바이러스 퇴치를 위해 수고하는 분들에게 경의를 표합니다.

아래 글을 인터넷 상에 올려 여러 사람에게 유익을 준 분의 수고가 돋보입니다.
보다 더 밝은 세상을 위해 상부상조하는 아름다운 사회가 이루어졌으면 합니다.

***************



한계란 진보를 위한 첫걸음이다..

mywords4u.egloos.com
이글루스 | 로그인

So as I pray, unlimited blade works. by アーチャー

skin by 이글루스 태그 : ntdelect.com
2008/01/10 アーチャー의 바이러스 퇴치법 - ntdelect.com (혹은 nldelect.com)을 찾을 수 없습니다. [89]

ntdelect.com 태그와 관련된 다른 이글루의 글 보기
アーチャー의 바이러스 퇴치법 - ntdelect.com (혹은 nldelect.com)을 찾을 수 없습니다.
집에 있는 데스크탑(무지 낡은 펜티엄 3)에 있는 윈도우가 XX라서 SP2도 받지 못하고 있었고 노트북이 생긴 몇 년 전부터 데스크탑은 부모님들 용으로 방치(?)해 놓은 상태였는데 몇 달 전부터 바이러스 증상이 나타났다. 게다가 노턴 바이러스 백신 프로그램 쪽에 이상이라 백신이 켜지지도 않았다. 그 덕분에 여러 바이러스가 왔는지 컴퓨터가 거의 맛이 간 상태에 까지 이르렀다.

덕분에 USB로 전파되는 최신 바이러스 (이름은 각각 백신 제조업체마다 다르게 불러서 모르겠다)도 상주하고 있다가 アーチャー의 외장형 하드에 잠복하고 있다가 노트북에 연결하자 바로 바이러스!!! 대충 감을 잡은건 내컴퓨터에서 드라이브를 더블 클릭 하면 새창으로 뜨는것. 분명히 한창에서 띄우는걸로 세팅이 되어있건만!!

기억을 더듬자 데스크탑에서도 내 컴퓨터에서 드라이브를 더블클릭하면 ntdelect.com를 찾을 수 없다 라는 메세지가 뜬게 생각이 나 바로 ntdelect.com을 구글로 검색 해보니 왠걸, 신종 바이러스라고 하는게 아닌가. 빌어먹을 며칠전에 포맷했단 말이닷!!

프로그램에 스파이웨어가 상주하고 있다는 제보 받았습니다. 제 노턴(정품)으로는 아무것도 검색이 되지 않으나 노턴은 이 바이러스 검색도 못했기 때문에... 사용하실때 조심하세요. アーチャー 에서 노턴과 Ad-aware로 검색을 해보았지만 스파이웨어는 검색이 되지 않았습니다.

이 바이러스는 자신을 레지스트리에 등록해서 C:Windowssystem32kavo.exe를 윈도우 시작시 구동을 한다고 한다. アーチャー 의 컴퓨터는 현재 이 바이러스를 제거 해서 확인 할 수 없지만 아직 바이러스가 있거나 아래 방법으로 치료가 되지 않는다면 Process Monitor를 이용해 현재 컴퓨터에 구동되고 있는 프로세스를 확인해 보도록 하자.

ProcessMonitor.zip

위 프로그램은 윈도우에 실행되고 있는 프로세스를 보여준다. 리스트에서 kavo.exe혹은 많이 비슷한 이름(변종의 경우)이 보이면 kavo.exe관련 바이러스에 걸린 것으로 보여진다.

アーチャー 컴퓨터에는 kavo.exe가 이미 삭제가 되어서 kavo.exe가 자동으로 구동이 되는지 확신은 못하겠지만 아래 프로그램을 돌리고 불필요 레지스트리에 C:Windowssystem32kavo.exe란 값이 있는 레지스트리가 있었기에 바이러스가 있다면 시작시 kavo.exe가 저절로 구동이 된다고 생각되어 진다. 이 부분 확인을 해 주실 수 있는 사람이 있다면 부탁하는 바이다.

이 바이러스는 USB를 통해 전파되어서 각 드라이브에 autorun.inf파일들 생성해서 그 드라이브에 접근을 하면 바로 다시 바이러스를 전파하는 방식이었다. 최근에 USB 메모리나 외장형 하드가 강세이니 이런 방법을 다 쓰는군. アーチャー한테는 외장형 하드 3가 있기에 즉시 하드 사용을 중지하고 인터넷 탐색에 나섰다. 그런데 워낙 최근에 발견된 바이러스라 노턴같은건 탐지도 못하는것 아닌가.

왠만한 옛날 바이러스라면 하드만 포맷하면 되겠지만 アーチャー 노트북은 파티션을 나눠서 C드라이브는 OS용, D드라이브는 여러 프로그램 저장용으로 쓰고 있었다. 정말 중요한 것들은 외장형 하드에 저장이 되어 있었고 2개는 당시 컴퓨터에 연결이 되어 있지 않았기에 최악의 상태는 아니었지만 그래도 160GB짜리가 컴퓨터에 연결이 되어 있었고 그 하드에는 PSP관련 프로그램들 등등 자그마치 70GB 정도의 데이터가 들어 있었다. 이 나라 느린 인터넷으로 받는다고 얼마나 고생했는데..

그래도 한번 고치려고 노력이나 해보자라는 정신(?)을 가지고 서핑 도중 대만에서 어느 프로그래머가 만든 전용 백신 프로그램이 있기에 돌려보았다. 그랬더니 정말로 바이러스 프로그램들이 사라진게 아닌가. 나중에 알았지만 アーチャー의 컴퓨터에 있던 바이러스는 변종이어서 레지스트리의 프로세스 파일 위치나 이름들이 약간씩 틀려 있었음에도 이 프로그램이 프로세스 파일과 exe 파일을 제거하는데 성공했다. 짧게 줄이자면 나중에 발견했지만 레지스트리에 찌꺼기가 남아있어서 지워줘야 했다는 사실.

만약에 당신의 컴퓨터에서도 같은 증상(내 컴퓨터에서 드라이브를 더블 클릭 하면 새창으로 뜨는 현상)이 발생하면 kavo.exe ntdelect.exe(アーチャー의 경우는 nldelect.exe)파일의 감염을 의심해보는게 좋다. 그럴 경우에 제일 먼저 백신 프로그램을 돌려보고 치료나 검색 자체가 되지 않는다면 (얼마 간은 그러리라 본다) 다음의 방법을 따라 하자.

1. 파일을 다운 받고 압축을 푼다.
kavo_killer.zip

2. 프로그램을 실행 시킨다. 그리고는 아무런 옵션 건드릴 필요 없이 가장 오른쪽의 버튼(뒤에 배경으로 그림 있는 버튼)을 누른다.

3. 이로써 바이러스 프로그램 제거를 마쳤다. 하지만 한가지 남은게 있으니. 바로 레지스트리 찌꺼기 정리...

4. 레지스트리 프로그램들을 다운 받는다. アーチャー는 이지클린을 사용했다. 다운은 http://foruser.nazip.net/에 가서 하자.

5. 레지스트리 최적화를 실행한다. 최적화를 하면서 바이러스 찌꺼기를 잡아주는데 그 이유는 레지스트리에 적혀있는 파일들이 사라졌기 때문이다. 레지스트리가 존재하지 않는 파일을 가리키고 있기에 최적화를 실행하면 잡아준다. アーチャー의 경우는 C:WindowsSystem32kav0.dll인가 하는 프로세스 파일과 G:nldelect.com H:nldelect.com을 잡았다.

6. 검색된 레지스트리를 제거한다.

7. 윈도우 검색으로 가서 '모든 파일 및 폴더'를 선택한 후, '고급 옵션'에서 '숨긴 파일 및 폴더 검색'에 체크후 모든 로컬 드라이브와 이동식 드라이브에서 delect라는 이름의 파일이 있는지 검색하자. ntdelect.com이나 アーチャー의 컴퓨터에 있었던 nldelect.com이 있다면 잡아 낼 것이다. (アーチャー가 바이러스 감염 여부를 파악한 경위가 위 파일이 존재하지 않아서 였으므로 검색이 되지 않았다. 답글에 보니 어떤분은 스스로 삭제를 해야 했다고 하기에 이렇게 적어 본다.

혹은

7. 내 컴퓨터 위 메뉴에서 도구 -> 폴더 옵션 -> 보기 탭으로 가자. 숨긴 파일 및 폴더 표시에 체크를 하고 보호된 운영 체제 파일 숨기기에 체크를 해제한다. 그 후 각 드라이브 루트 C:, D:등등 으로 가서 ntdelect.com 이나 nldelect.com을 삭제하도록 하자.
주의: NTDETECT.COM이란 파일이 C:에 존재할것이다. 이 파일은 윈도우 구동에 필요한 파일이므로 절대, 다시한번 말한다. 절대로 삭제하지 말자.
ntdelect.com이나 nldelect.com이 검색이 되지 않는다는 제보 받았습니다. 빠대님 제보 감사합니다. 그러나 파일들이 임시 폴더에 저장되어 있다는 제보도 받았다. アーチャー의 컴퓨터에서는 더이상 확인이 불가능 하므로 그냥 삭제를 해도 무방하다. C:Documents and Settings자신의 로그인명Local SettingsTemp에 있는 파일들을 전부 삭제하도록 하자. 말그대로 임시폴더이므로 삭제해도 윈도우 구동에는 전혀 지장이 없다.

8. アーチャー의 경우에는 위의 방법을 마쳐도 찌꺼기가 레지스트리에 존재함을 알아내었다. nldelect.com의 경우는 Search Assisstance라는 마이크로소프트 자체 프로그램 레지스트리에 상주하고 있었다. 그 값을 지워도 アーチャー의 컴퓨터에는 아무런 이상이 없었다. 지워도 무방한 듯 하나 장담은 못하겠다.. ㅡㅡ; nldelect.com과 ntdelect.com등을 레지스트리에 존재하는지 찾아보자 (시작->실행->regedit이라고 치면 레지스트리 편집기가 나온다.) 레지스트리 편집은 위험하므로 스스로 결과에 책임을 질 사람만 시도하자.

9. 가능한 사람은 포맷을 하자. 바이러스가 정상적으로 삭제가 되었다면 이제 USB를 연결해도 문제가 없을 것이다. 이지클린 구동후에도 찌꺼기가 상주함을 발견했다. (Search Assistance라는 Microsoft 익스플로러에 딸려 있는 프로그램 레지스트리에 상주해 있음을 확인 했다. 어차피 컴퓨터 포맷을 한지 얼마 되지 않아서 アーチャー는 다시 포맷을 하기로 결정.)

어제 이 바이러스 덕분에 하루를 종일 잡아먹고 속도 많이 썩였다. 덕분에 다른 포스팅을 할 생각도 못했을뿐더러 어떤 토픽을 정할지 조차 결정할수 없었다. 대충 iR Shell은 끝이 난것 같은데.. 뭘 해야 하나?? 벌써 지식이 바닥나나??

어쨌건, アーチャー와 같은 문제를 가지고 속을 썩히고 있는 불쌍한(?) 사람들에게 이 글이 도움이 되었으면 한다.

마지막으로 한마디 하자면.. 바이러스 제작하는 뭣같은 인간들아. 그럴 머리가 있다면 좀 도움이 되는데 써라.. PSP커펌을 제작하던가 한다는...


이 방법 실행하신 분들 피드백좀 주세요.. 문제가 해결이 되었는지요. 제 경우에는 가능했지만 다른 컴퓨터에서는 어떻게 될지...
ntdelect.com, kavo.exe, nldelect.com, kxvo.exe