소프트빌 > FAQ 게시판 1 페이지

여러분 공포의 sasser 웜에 완벽하게 대처하는 법을 소개 하고져 합니다.

여러분 이 내용을 참고로 하세요...

이번에 등장한 sasser 웜의 위세가 가히 가공할 정도로 퍼져가고 있다.

이웜은 컴퓨터 숙련자들까지도 당황스럽게 하고 있으며 백신업체에서는 속속 대응백신을 긴급배포하고 있는 중이다.

그러니 초보자들은 어떠하겠는가? 이들의 고충은 불보듯 뻔한 일일 것이다.

심지어 네티즌들 사이에서는 벌써부터 이 웜의 이름에서 따온 애칭이 유행될 정도로 이들을 곤혹스럽게 만들고 있다.

sasser -> "싸써" -> "너도쌌니?" -> "나도 어제쌌어"

자 그럼 이제부터 이뭠의 뿌리를 싹~ 뽑아 없애도록 하자~~

우선 이 웜의 특성은 MS04-011 취약점을 이용하여 445번 포트를 공격하며 "netstat -na" 명령어로 살펴봐서 445번 포트나 5554번 포트,9996번 포트가 "Listening" 상태라고 해도 이 웜의 공격에 해당된다고 보면 된다.

또한 태스크바를 열어 보면 윈도 디렉토리에 "avserve.exe" 라는 프로세스가 돌아가고 있는 것이 보인다.

그리고 CPU 점유율이 100%를 차지하고 있는 것도 동시에 볼 수 있다.

여기까지 오면 여러분의 컴퓨터는 sasser 웜에 감염이 된 것이다.

그러나 컴퓨터 숙련자들은 여기서 놀라지 않고 의연하게 대처하게 되는데 여기에 또 함정이 있는 것이다.

즉 숙련자들은 일단 avserve 프로세스의 구동을 강제로 중지시킬 것이다.
그리고 윈도 디렉토리로 가서 "avserve.exe"를 찾아서 지울 것이다.

음...역시 전문가답게 여기서 만족하지 않고 "시작->실행->regedit" 를 입력한 후 레지스트리에서 avserve 를 검색해서 삭제하여 추후 재부팅시 다시 실행되지 않도록 할 것이다.

이제 프로세스를 살펴보니 정상으로 돌아 왔으며 모든 상황이 평정된듯 싶다.

헉! 근데 이게 웬일 이웜이 다시 살아나는 것이 아닌가?

그것도 이번에는 다음과 같이 윈도 디렉토리에 엉뚱한 파일로 생성되면서 CPU를 또 100% 로 만드는 것이 아닌가?

- 18572_up.exe
- 25513_up.exe
- 28763_up.exe
- 29069_up.exe
- 29982_up.exe
- 4717_up.exe
- 9337_up.exe

그래서 이번에는 대응백신으로 직접 치료를 하려고 안철수 연구소에서 긴급히 배포한 "V3FirstBlock for LSASS Vulnerability.exe" 를 다운받아 실행한다.

다운로드 사이트 :
http://info.ahnlab.com/smart2u/virus_detail_1379.html

음 썰렁한 화면이 나오면서 검사는 커녕 실행도 되지 않고 에러만 떨어진다.

인터페이스도 저렇게 밖에 못만들까 할 정도로 허술하기 그지 없다. 기왕이면 보기에도 좋은 떡을 만들었으면 하는 아쉬움도 남는다.

아무튼 안철수 백신은 무용지물 결론....

그리고 시맨텍사로 가려 했더니 여긴 아예 접속조차 되지도 않고 사이트 다운...

아마도 자살폭탄테러 공격이 있었던 것 같다.

그렇다면 이번에는 맥아피사로 가보자... 그래도 희망을 가지고....

오호! 여기에서 배포하는 백신은 인터페이스 좋고..가벼우며..잘생겼다..sasser 는 물론 추가 서비스로 최신웜 20여개를 더 잡아내 준다.

다운로드 사이트 :
http://vil.nai.com/vil/stinger

잠시 후 스캔이 전부 끝나고 이놈의 벌레들을 전부 처형했다는 메세지와 함께 시스템도 안정되고 있었다.

그때 였습니다!!!

잠시 후 시스템을 재부팅하니 또다시 sasser의 악령이 부활하는 것이 아니겠습니까!!!

으아악!! 또 시스템은 벅벅...CPU 는 100%...

여기서 숙련자들은 좀더 확실한 대응을 하고자 다짐하면서 MS사의 사이트로 가서 패치를 다운받아 원천적인 대응를 시도한다.

패치 다운로드 사이트 :
http://www.microsoft.com/korea/technet/security/bulletin/MS04-011.asp

근데 이건 또 뭐야?
패치하려고 했더니 에러가 뜬다....허허...미치겠다.......

MS사의 성의없는 대처(상세한 안내 메뉴얼 부족)에 정말 열터져 못살겠다~

이쯤에서 대부분 상당히 열받은 얼굴이 되면서 포맷이나 복구라는 최후의 방법까지 생각하시는 분들이 있다.

여러분!! 희망을 가집시다! 방법은 있습니다!! 이 관문만 통과하면 이 전쟁에서 확실한 승리를 얻을 수 있다.

MS 패치를 할때 나오는 에러는 update.inf 파일의 무결성 에러일 것이다.

이 에러가 안나오게 하려면 다음과 같이 하면 된다.

[시작]→[제어판]→[관리도구]→[서비스] 로 들어가면 "Cryptographic Service" 이 보일 것이다. 이것을 자동으로 설정한다.

그리고 마지막으로 "C:\WINDOWS\System32\CatRoot2" 로 이동하여 여기 있는 모든 파일을 삭제한 후 MS 패치를 설치하면 에러가 없이 아주 잘 성공리에 설치가 될 것이다.

자! 이젠 성공한 것이다.

더이상 sasser 웜의 공격은 없을 것이다.

그럼 또다시 맘놓고 즐거운 해피~~ 네트워킹을 즐겨 보자~~~

참고 :
시스템이 1분내에 자꾸 재부팅이 되서 패치를 못 하시는 분들은 다음과 같이 한 후 설치를 하시면 된다.

[시작] -> [실행] -> shutdown -a

================
All copy left by
해/커/즈/뉴/스
김진택
================

*출처 ㅣ http://www.hackersnews.org/