081110 Rootkit(루트킷) 바이러스!!!!

파티션 매직을 사용하려다 클러스터 수가 적다는 메세지로 인해;;
사용을 못하고 GParted를 사용하려 했으나 원하는 기능(C:\ 사이즈 늘리려고..)이 잘 되지 않아.
파라곤 파티션 매니저를 깔아보았다.
트라이얼 버젼이라 사이즈를 자동으로 조절해준다는 그 중요한? 기능을 사용할수 없었기에..
구글링을 하던중~ 패치를 발견! 인스톨을 실행했다! 근데 이건 웬 다른 이름만 쫙 보이고 이상타 싶어
중간에 꺼버렸는데 ㅜ.ㅜ

문제
불행의 시작은 알약이 AutoRun바이러스를 치료해도 계속 보여주는데 부터 시작 됐다;;;
계속 나오는 메세지에 이건 안되겠다 싶어 PC도사를 켜고 검사해보니 몇개 나오더라..
치료를 해보았으나 이상한 조짐들이 계속...
익스플로러6은  실행하면 곧바로 꺼지고! AutoRun바이러스는 치료해도 계속 생기고!
결국 V3 Neo에 빛자루 까지 총 백신만 5가지정도를 돌려본거 같다. 치료를 하다보면 오토런 바이러스와
몇가지만 초기에 딱 잡고(시스템32 폴더에 있고 오토런이 주였던듯) 계속 스캔만 하길래 중간에 멈추고 치료만 한것도 있다.

이건 뭐 마냥 돌릴 수도 없고; 그렇다고 밀어버릴수도 없고 ㅡ.ㅡ;(os깐지 열흘도 안된 따끈한 시스템;;)
어쨌든 일반 우리나라 유명한 백신들은 찾기는 하나 완전히 치료를 못하더라..
빛자루는 아주 버벅거림의 극치를 달려주셨고.. 결국엔 지혼자 아주 난리를 치며;; 다른 프로그램은 사용할 수 없을 정도의
강력함?을 보여주었다 ㅡ.ㅡ;;;;;;;;;;;;;
알약은 그게 그렇게 퍼질동안 내컴에서 무얼 하고 있었던가..

검색 능력은 PC도사가 훨 좋아보였다 ㅡ.ㅡ;
아! V3 neo는 아예 잡지도 못하더이다................(전체 스캔했는데;;)

그러다 어느순간 몇일전 문득 정리한 Rootkit자료가 생각나더라!
백신이 설치되기 이전에 루트킷이 자리잡으면 백신이 잡을수 없거나 아예 검색도 못한다하는 무서운 ㄷㄷㄷ

그리하여 Rootkit엔진을 사용해보기로 한다.(내가 정리해논 자료 참고할것 http://cafe.naver.com/bit1004/546)
우선 영~ 시답잖은 빛자루를 삭제할려고 해도 안되서(이전에도 v3 2007이 자꼬 버벅거리는 문제를 발생시켜 -종료도 안되고-
안전모드에서 삭제한적이 있다.) 안전모드로 들어가서 빛자루를 삭제하고!
루트킷 프로그램들을 설치하려고 했는데.. 다들 안전모드에선 실행이 제대로 안되더라.
그러다 찾은 것이 F-Secure 사이트의 온라인 스캔이니
http://support.f-secure.com/enu/home/ols.shtml

검색은 당연하고 치료까지 완벽하게 해주더라! 엑티브엑스기반이라 안전모드든 어디든 상관없이
웹에서 엑티브엑스만 깔고 치료하시면 되겠다. 치료한 후에는 레포트까지 보여주더라!
근데 점 느린감이 없지 않다. 엔진 자체가 몇가지를 섞은거라고 하니.. ^^
어쨌든 지겨운 루트킷!(아직 이름을 모름;;) 잡아냈다! 휴;;;

근데 빛자루를 다시 깔아봤는데 너무 버벅거린다... 뭐지;;; 아바스트나 써야겠다 ㅡ.ㅡ;

첨부로! 치료된 목록 레포트이다

아! 중요한!! 원인이 되었던 파일의 링크이다!!!
http://qazplayer.com/download/Paragon.Partition.Manager.9.0.Professional.PATCH.c3220.exe
절대 받지마라!! 알약이 치료해달라고 계속 메세지 보여주고~ 빛자루는 OS를 지꺼마냥 암꺼도 못하게 해주시고~
아주 백신들이 춤추는걸 볼수 있을꺼다 ㅡ.ㅡ;
젤 중요한건! 지금 이글을 쓰는순간 테스트로 링크를 받아볼려고 했드니!
avast가 트로이 목마이니 절대 받지말라는 뿌듯한 메세지를 띄워주신다 ㅎㅎㅎ
므흣~


<title>F-Secure Online Scanner 3.3.1 - Scanning Report - Monday, November 10, 2008 12:56:34</title>

Scanning Report

Monday, November 10, 2008 10:55:45 - 12:56:33

Computer name: GSC-EEE035050C4
Scanning type: Scan target for malware, rootkits
Target: D:\

---

Result: 10 malware found

Stealth_file (hidden item)

• C:\WINDOWS\SYSTEM32\KDHBB.EXE (Submitted)

TrackingCookie.2o7 (spyware)

• System

Trojan.Win32.Agent (virus)

• System

Trojan.Win32.Small (virus)

• System

W32/Packed_Bero.C (virus)

• D:\PORTABLE\DEV\PEID V0.94\PLUGINS\IDTOTEXT.DLL (Submitted)

W32/Packed_Bero.D (virus)

• D:\PORTABLE\DEV\PEID V0.94\PLUGINS\ADDSIG.DLL (Submitted)
• D:\PORTABLE\DEV\PEID V0.94\PLUGINS\XINFO.DLL (Submitted)

W32/Packed_FSG.D (virus)

• D:\PORTABLE\OFFICE\ABVIEWER_PRO_5.11.105-ij?庤?BVIEWER.EXE (Submitted)

Worm.Win32.AutoRun (virus)

• System

Worm.Win32.AutoRun.onp (virus)

• D:\AUTORUN.INF (Renamed & Submitted)

---

Statistics

Scanned:

• Files: 49269
• System: 4147
• Not scanned: 0

Actions:

• Disinfected: 0
• Renamed: 1
• Deleted: 0
• None: 9
• Submitted: 6

Files not scanned:

---

Options

Scanning engines:

• F-Secure USS: 2.40.0
• F-Secure Hydra: 2.8.8110, 2008-11-09
• F-Secure AVP: 7.0.171, 2008-11-09
• F-Secure Pegasus: 1.20.0, 2008-09-22
• F-Secure Blacklight: 2.4.1093

Scanning options:

• Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ZIP XXX ANI AVB BAT CMD JPG LSP MAP MHT MIF PHP POT SWF WMF NWS TAR
• Use Advanced heuristics

---

Copyright © 1998-2007 Product support |Send virus sample to F-Secure

F-Secure assumes no responsibility for material created or published by third parties that F-Secure World Wide Web pages have a link to. Unless you have clearly stated otherwise, by submitting material to any of our servers, for example by E-mail or via our F-Secure's CGI E-mail, you agree that the material you make available may be published in the F-Secure World Wide Pages or hard-copy publications. You will reach F-Secure public web site by clicking on underlined links. While doing this, your access will be logged to our private access statistics with your domain name.This information will not be given to any third party. You agree not to take action against us in relation to material that you submit. Unless you have clearly stated otherwise, by submitting material you warrant that F-Secure may incorporate any concepts described in it in the F-Secure products/publications without liability.