보 안 
현
(Homepage)님의 글입니다.
애드웨어 확인 및 제거
2004-07-02 09:39:10, 조회 : 1,248, 추천 : 280
제목 없음
1. 애드웨어
2003년 11월 8일 발생한 Win-Trojan/Hotra.49152는 애드웨어의 문제점 중 하나를 보여줬다. 이 애드웨어의 오동작으로 많은
시스템의 웹 브라우저 속도가 느려지는 문제가 발생했다. 현재 대다수의 백신에서 애드웨어 진단/치료(삭제) 기능이 없는 상태이며 사용자가
수작업으로 애드웨어를 제거해야 하는 경우가 많다.
2. 애드웨어 설치 확인/제거
인터넷 익스플로러의
시작홈페이지 주소를 변경한 후에도 특정 사이트가 지속적으로 연결되거나, 특정 사이트 오픈 시 여러 개의 웹 브라우저 창이 동시에 오픈 되는
경우에는 다음의 사항을 확인하면 된다.
(1) 애드웨어의 확인 및
제거
1) 최신 엔진으로 업데이트 된 V3제품으로 검사하여 바이러스, 웜, 트로이목마와 같은 악성 코드가
있는지 확인한다. 수동 검사의 '검사 파일 형식'은 반드시 '모든 파일'로 설정한다. V3에서 진단되는 파일이 있다면 치료(삭제) 한다.
2) [시작]-[설정]-[프로그램 추가/제거]에서 시스템과 관련이 없고 본인이 설치한 적이 없는 프로그램이 설치되어 있는지 살펴본
후 삭제한다.
3) 임시 인터넷 파일을 모두 제거한다. 제거방법은 [인터넷 익스플로러 실행]-[도구]-[인터넷 옵션]-[임시
인터넷 파일]에서 '파일 삭제', '쿠키 삭제'를 선택하고 삭제하면 된다. '쿠키 삭제' 버튼이 바로 보이지 않으신다면 [임시 인터넷
파일]-[설정]-[파일보기]에서 열린 탐색기 창 내의 모든 파일을 제거하면 된다.
4) 윈도우(일반적으로 C:Windows나
C:WinNT)의 'Downloaded Program Files' 폴더에서 불필요하게 설치된 프로그램을 찾아 삭제한다. '프로그램 파일'에서
오른쪽 마우스 버튼을 눌러 [속성(R)]을 선택하면 "코드베이스" 항목에서 프로그램 설치 위치를 알 수 있다. 출처를 정확히 알지 못할 경우
오른쪽 마우스 버튼을 눌러 '제거(R)'을 통해 삭제한다.
※ 주) 그림에서 사용된 내용은 정상 액티브 X로 애드웨어와 관련이 없다.
[그림1] 코드베이스를 통해 원본 위치를 확인
[그림2] [종속성]을 통해 관련된 프로그램 확인
가능
[그림3] 버전을 통해서도 출처 확인 가능
5) 실행
중인 프로세스에서 불필요한 프로그램이 존재한다면 종료하고 해당 파일을 삭제한다. 윈도우 부팅 시 자동으로 시작하게 등록할 수 있는 레지스트리인
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentversionrun 등에서 등록된 항목들을
살펴보면 특정 파일이 심어져 있는 것을 확인할 수 있다. 윈도우 2000이라면 [Ctrl]+[Atl]+[Del]키를 누른 후 관련 프로세스를
종료시키고 해당 파일을 지우면 된다.
6) 보안 취약점이 존재해 감염되는 경우도 있으므로 윈도우즈 업데이트를 통해 자동으로
감염되는 것을 예방 할 수 있다. [시작]-[Windows Update]나 [인터넷 익스플로러 실행]-[도구]-[Windows
Update]-[업데이트 검색]-[업데이트 검토 및 설치]를 통해 보안 패치를 적용한다.
이와 같은 과정을 거친 후에도 문제를
해결하지 못할 경우에는 안리포트(AhnReport) 프로그램을 이용해 결과를 안철수연구소(v3sos@ahnlab.com)로 보내면 된다.
안철수연구소에서 제공하는 안리포트는 사용자의 시스템 정보를 수집하는 역할을 수행하는 프로그램으로 문제의 원인과 신종 악성 코드를 추적하는
목적으로 사용된다. 안철수연구소 고객지원(http://info.ahnlab.com/customer/ahnreport.html) 혹은 기업고객지원(http://b2b.ahnlab.com/customer/ahnreport.html)에서 파일을 다운로드 받을 수
있다.
(2) 추가 조치 방법
애드웨어를 삭제해도
애드웨어에서 설정을 변경하야 문제가 계속되는 경우도 존재한다. 이때에는 다음 레지스트리의 내용을 자신에 맞게 수정하는 것이 좋다.
1) 웹 브라우저 홈페이지 변경
(1)
[시작]-[실행]을 선택한 후 "regedit" 입력하고 확인을 누른다.
(2)HKEY_CURRENT_USERSoftwareMicrosoftInternet explorerMainStart page
="등록되어 있는 값 삭제 후 원하는 값으로 설정"
2) 애드웨어에서 자주 변경하는
레지스트리 값
애드웨어는 다음 레지스트리의 내용을 주로 변경하므로 이들 내용도 확인해 불필요한 내용이 존재하면
지워준다.
HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain]
"Start Page"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet
ExplorerMain]
"Start Page"=
[HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerMain]
"Search Page"=
[HKEY_CURRENT_USERSoftwareMicrosoftInternet
ExplorerMain]
"Search Bar"=
[HKEY_CURRENT_USERSoftwareMicrosoftInternet Explorer]
"SearchURL"=
[HKEY_CURRENT_USERSoftwareMicrosoftInternet
ExplorerSearch]
"CustomizeSearch"=
[HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerSearch]
"SearchAssistant"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet
ExplorerMain]
"Search Page"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerMain]
"Search Bar"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet
Explorer]
"SearchURL"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet ExplorerSearch]
"CustomizeSearch"=
[HKEY_LOCAL_MACHINESoftwareMicrosoftInternet
ExplorerSearch]
"SearchAssistant"=
[HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Internet Explorer/Main]
"Default_Page_URL"=
[HKEY_CURRENT_USER/Software/Microsoft/Internet
Explore/Main]
"Start Page"=
3) Browser Helper
Objects
A. Browser Helper Objects
확인
많은 애드웨어가 인터넷 익스플로어의 'Browser Helper Objects'(이하 BHO) 기능을
이용한다. BHO를 사용하면 인터넷 익스플로어의 여러 행동을 감시하고 다른 행동을 할 수 있다. 예를 들어 사용자가 특정 사이트 주소를 입력할
때 중간에서 가로채 다른 웹사이트로 이동 할 수도 있다. 특정 사이트 노출로 광고를 해야 하는 애드웨어로써는 유용한 기능이다.
BHO 사용 여부는 레지스트리 에디터(regedit.exe)를 실행 해
'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser
Helper Objects'에 등록된 CLSID 값을 확인한다. [그림4] 에서는
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}와 {76EAE03C-F2B1-4397-97E8-390920B7C2DC}가
사용 중임을 알 수 있다.
[그림4] Browser Helper Objects
확인
B. CLSID 내용 확인
HKEY_CLASSES_ROOTCLSID{CLSID 값}의 "InprocServer32"키 값을 통해 해당 기능을 사용하는
파일 이름을 알 수 있다. 그림에서는 V3Bar.dll 파일이 사용하고 있음을 알 수 있다. 참고로 해당 파일은 V3에서 사용하는 파일이다.
[그림5] 해당 CLSID 값을 통해 사용 프로그램
확인
C. 불필요한 CLSID 삭제
CLSID를 반복해서 찾아 해당 CLSID 값을 사용하는 프로그램이 불필요한 파일이라면
'HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionExplorerBrowser
Helper Objects'에 등록된 CLSID 값을 삭제 하면 된다.
3. 툴 사용법
(1)
HijackThis
HijackThis는 애드웨어 혹은 사용자 행동을 조사하는 프로그램의 설치 유무를 쉽게
찾을 수 있게 도와주는 프로그램이다. 단, 이 프로그램은 이들 프로그램을 직접 진단하는 기능은 없고 일반적으로 설치되는 위치의 정보를 알려줘
사용자가 판단 할 수 있도록 도와준다. 또한 결과에 나오는 프로그램이 모두 애드웨어 같은 유해가능 프로그램은 아니다.
이
프로그램은 다음 주소에서 다운로드 받을 수 있다.
- http://www.spywareinfo.com/~merijn/files/hijackthis.zip
- http://www.spywareinfo.com/~merijn/index.html
[그림6] HijackThis
[Scan] 버튼을
누르면 애드웨어가 주로 설치되는 위치 정보가 나온다. 비록 애드웨어 진단 기능은 없지만 사용자들에게 애드웨어 같은 유해가능 프로그램 뿐 아니라
웜, 트로이목마 등의 악성 코드가 설치된 위치를 쉽게 찾을 수 있게 도와준다.
4. 주의점
(1)
애드웨어 제거 전에 윈도우 업데이트를 한다.
일부 애드웨어는 보안취약점을 이용해 특정 웹사이트에 접속하면 자동으로 애드웨어를
설치한다. 이런 자동 설치는 윈도우 업데이트를 하면 예방할 수 있다. 만약 윈도우 업데이트가 되어 있지 않다면 애드웨어를 삭제하고 인터넷
익스플로어를 실행하면 애드웨어가 지정한 특정 웹 사이트로 시작되어 다시 애드웨어가 설치된다.
(2) 홈페이지 변경은 애드웨어 제거
후에 한다.
일부 애드웨어는 특정 시간이나 특정 행동 시 홈페이지 주소를 확인해 자신이 지정하는 웹사이트로 변경한다. 따라서,
애드웨어를 삭제하지 않고 홈페이지를 변경할 경우 애드웨어가 다시 특정 사이트로 변경 할 수 있다. 따라서, 가급적 홈페이지 변경은 애드웨어 제거
후에 한다.
5. 참고자료
- BHO(Browser Helper Objects)
출처는 http://ahnlab.com 입니다
추천하기
목록보기
Copyright 1999-2010 Zeroboard / skin by Praise Jesus
| 애드웨어 확인 및 제거 | 2004-07-02 09:39:10, 조회 : 1,248, 추천 : 280 |
|