한계란 진보를 위한 첫걸음이다..

 이 바이러스는 자신을 레지스트리에 등록해서 C:\Windows\system32\kavo.exe를 윈도우 시작시 구동을 한다고 한다. アーチャー 의 컴퓨터는 현재 이 바이러스를 제거 해서 확인 할 수 없지만 아직 바이러스가 있거나 아래 방법으로 치료가 되지 않는다면 Process Monitor를 이용해 현재 컴퓨터에 구동되고 있는 프로세스를 확인해 보도록 하자.

ProcessMonitor.zip

 위 프로그램은 윈도우에 실행되고 있는 프로세스를 보여준다. 리스트에서 kavo.exe혹은 많이 비슷한 이름(변종의 경우)이 보이면 kavo.exe관련 바이러스에 걸린 것으로 보여진다.

 アーチャー 컴퓨터에는 kavo.exe가 이미 삭제가 되어서 kavo.exe가 자동으로 구동이 되는지 확신은 못하겠지만 아래 프로그램을 돌리고 불필요 레지스트리에 C:\Windows\system32\kavo.exe란 값이 있는 레지스트리가 있었기에 바이러스가 있다면 시작시 kavo.exe가 저절로 구동이 된다고 생각되어 진다. 이 부분 확인을 해 주실 수 있는 사람이 있다면 부탁하는 바이다.

 이 바이러스는 USB를 통해 전파되어서 각 드라이브에 autorun.inf파일들 생성해서 그 드라이브에 접근을 하면 바로 다시 바이러스를 전파하는 방식이었다. 최근에 USB 메모리나 외장형 하드가 강세이니 이런 방법을 다 쓰는군. アーチャー한테는 외장형 하드 3가 있기에 즉시 하드 사용을 중지하고 인터넷 탐색에 나섰다. 그런데 워낙 최근에 발견된 바이러스라 노턴같은건 탐지도 못하는것 아닌가.

 왠만한 옛날 바이러스라면 하드만 포맷하면 되겠지만 アーチャー 노트북은 파티션을 나눠서 C드라이브는 OS용, D드라이브는 여러 프로그램 저장용으로 쓰고 있었다. 정말 중요한 것들은 외장형 하드에 저장이 되어 있었고 2개는 당시 컴퓨터에 연결이 되어 있지 않았기에 최악의 상태는 아니었지만 그래도 160GB짜리가 컴퓨터에 연결이 되어 있었고 그 하드에는 PSP관련 프로그램들 등등 자그마치 70GB 정도의 데이터가 들어 있었다. 이 나라 느린 인터넷으로 받는다고 얼마나 고생했는데..

 그래도 한번 고치려고 노력이나 해보자라는 정신(?)을 가지고 서핑 도중 대만에서 어느 프로그래머가 만든 전용 백신 프로그램이 있기에 돌려보았다. 그랬더니 정말로 바이러스 프로그램들이 사라진게 아닌가. 나중에 알았지만 アーチャー의 컴퓨터에 있던 바이러스는 변종이어서 레지스트리의 프로세스 파일 위치나 이름들이 약간씩 틀려 있었음에도 이 프로그램이 프로세스 파일과 exe 파일을 제거하는데 성공했다. 짧게 줄이자면 나중에 발견했지만 레지스트리에 찌꺼기가 남아있어서 지워줘야 했다는 사실.

 만약에 당신의 컴퓨터에서도 같은 증상(내 컴퓨터에서 드라이브를 더블 클릭 하면 새창으로 뜨는 현상)이 발생하면 kavo.exe ntdelect.exe(アーチャー의 경우는 nldelect.exe)파일의 감염을 의심해보는게 좋다. 그럴 경우에 제일 먼저 백신 프로그램을 돌려보고 치료나 검색 자체가 되지 않는다면 (얼마 간은 그러리라 본다) 다음의 방법을 따라 하자.

 1. 파일을 다운 받고 압축을 푼다.
kavo_killer.zip

 2. 프로그램을 실행 시킨다. 그리고는 아무런 옵션 건드릴 필요 없이 가장 오른쪽의 버튼(뒤에 배경으로 그림 있는 버튼)을 누른다.


 3. 이로써 바이러스 프로그램 제거를 마쳤다. 하지만 한가지 남은게 있으니. 바로 레지스트리 찌꺼기 정리...

 4. 레지스트리 프로그램들을 다운 받는다. アーチャー는 이지클린을 사용했다. 다운은 http://foruser.nazip.net/에 가서 하자.

 5. 레지스트리 최적화를 실행한다. 최적화를 하면서 바이러스 찌꺼기를 잡아주는데 그 이유는 레지스트리에 적혀있는 파일들이 사라졌기 때문이다. 레지스트리가 존재하지 않는 파일을 가리키고 있기에 최적화를 실행하면 잡아준다. アーチャー의 경우는 C:\Windows\System32\kav0.dll인가 하는 프로세스 파일과 G:\nldelect.com H:\nldelect.com을 잡았다.

 6. 검색된 레지스트리를 제거한다.

 7. 윈도우 검색으로 가서 '모든 파일 및 폴더'를 선택한 후, '고급 옵션'에서 '숨긴 파일 및 폴더 검색'에 체크후 모든 로컬 드라이브와 이동식 드라이브에서 delect라는 이름의 파일이 있는지 검색하자. ntdelect.com이나 アーチャー의 컴퓨터에 있었던 nldelect.com이 있다면 잡아 낼 것이다. (アーチャー가 바이러스 감염 여부를 파악한 경위가 위 파일이 존재하지 않아서 였으므로 검색이 되지 않았다. 답글에 보니 어떤분은 스스로 삭제를 해야 했다고 하기에 이렇게 적어 본다.

혹은

 7. 내 컴퓨터 위 메뉴에서 도구 -> 폴더 옵션 -> 보기 탭으로 가자. 숨긴 파일 및 폴더 표시에 체크를 하고 보호된 운영 체제 파일 숨기기에 체크를 해제한다. 그 후 각 드라이브 루트 C:\, D:\등등 으로 가서 ntdelect.com 이나 nldelect.com을 삭제하도록 하자.
주의: NTDETECT.COM이란 파일이 C:\에 존재할것이다. 이 파일은 윈도우 구동에 필요한 파일이므로 절대, 다시한번 말한다. 절대로 삭제하지 말자.
ntdelect.com이나 nldelect.com이 검색이 되지 않는다는 제보 받았습니다. 빠대님 제보 감사합니다. 그러나 파일들이 임시 폴더에 저장되어 있다는 제보도 받았다. アーチャー의 컴퓨터에서는 더이상 확인이 불가능 하므로 그냥 삭제를 해도 무방하다. C:\Documents and Settings\자신의 로그인명\Local Settings\Temp에 있는 파일들을 전부 삭제하도록 하자. 말그대로 임시폴더이므로 삭제해도 윈도우 구동에는 전혀 지장이 없다.

 8. アーチャー의 경우에는 위의 방법을 마쳐도 찌꺼기가 레지스트리에 존재함을 알아내었다. nldelect.com의 경우는 Search Assisstance라는 마이크로소프트 자체 프로그램 레지스트리에 상주하고 있었다. 그 값을 지워도 アーチャー의 컴퓨터에는 아무런 이상이 없었다. 지워도 무방한 듯 하나 장담은 못하겠다.. ㅡㅡ; nldelect.com과 ntdelect.com등을 레지스트리에 존재하는지 찾아보자 (시작->실행->regedit이라고 치면 레지스트리 편집기가 나온다.) 레지스트리 편집은 위험하므로 스스로 결과에 책임을 질 사람만 시도하자.

 9. 가능한 사람은 포맷을 하자. 바이러스가 정상적으로 삭제가 되었다면 이제 USB를 연결해도 문제가 없을 것이다. 이지클린 구동후에도 찌꺼기가 상주함을 발견했다. (Search Assistance라는 Microsoft 익스플로러에 딸려 있는 프로그램 레지스트리에 상주해 있음을 확인 했다. 어차피 컴퓨터 포맷을 한지 얼마 되지 않아서 アーチャー는 다시 포맷을 하기로 결정.)

 어제 이 바이러스 덕분에 하루를 종일 잡아먹고 속도 많이 썩였다. 덕분에 다른 포스팅을 할 생각도 못했을뿐더러 어떤 토픽을 정할지 조차 결정할수 없었다. 대충 iR Shell은 끝이 난것 같은데.. 뭘 해야 하나?? 벌써 지식이 바닥나나??

 어쨌건, アーチャー와 같은 문제를 가지고 속을 썩히고 있는 불쌍한(?) 사람들에게 이 글이 도움이 되었으면 한다.

 마지막으로 한마디 하자면.. 바이러스 제작하는 뭣같은 인간들아. 그럴 머리가 있다면 좀 도움이 되는데 써라.. PSP커펌을 제작하던가 한다는...

[닫기]

이 글과 관련있는 글을 자동검색한 결과입니다 [?]

• 여러분이 사용하는 백신은? by 퍼런날군
• [부작용] 백신 접종 후 바이러스가 배출되나요? by sdoctors
• 대략 고마운 바이러스(?) by Minhee
• USB를 저장장치를 통해서 전파되는 바이러스 by 키노모토
• 무료 백신을 쓰세요 by 페로페로