Windows Vista 서비스 팩 1(SP1)에 대한 지원은 2011년 7월 12일 에 종료됩니다. Windows용 보안 업데이트를 계속 받으려면 Windows Vista에 SP2(서비스 팩 2)가 설치되어 있어야 합니다. 자세한 내용은 다음 Microsoft 웹 페이지를 참조하세요. 일부 Windows 버전에 대한 지원이 종료됩니다.
요약
이 기술 자료 문서의 정보는 이 문서의 세부 정보를 구현할 수 있는 시스템 관리자가 있는 비즈니스 환경을 대상으로 합니다. 바이러스 백신 프로그램이 바이러스를 올바르게 치료하고 있고 시스템이 완전히 업데이트된 경우에는 이 문서를 사용할 이유가 없습니다. 시스템이 Conficker 바이러스에 클린되었는지 확인하려면 다음 웹 페이지에서 빠른 검사를 수행하십시오. http://www.microsoft.com/security/scanner/
Conficker 바이러스에 대한 자세한 내용은 다음 Microsoft 웹 페이지를 참조하십시오.
http://www.microsoft.com/security/portal/Threat/Encyclopedia/Entry.aspx?Name=Win32%2fConficker
감염의 증상
컴퓨터가 이 웜에 감염된 경우 아무런 증상도 나타나지 않거나 다음 증상 중 하나라도 나타날 수 있습니다.
계정 잠금 정책이 작동되고 있습니다.
자동 업데이트, BITS(Background Intelligent Transfer Service), Windows Defender 및 Error Reporting Services를 사용할 수 없습니다.
도메인 컨트롤러가 클라이언트 요청에 느리게 응답합니다.
네트워크가 정체됩니다.
다양한 보안 관련 웹 사이트에 액세스할 수 없습니다.
다양한 보안 관련 도구는 실행되지 않습니다. 알려진 도구 목록을 보려면 다음 Microsoft 웹 페이지를 방문한 다음 분석 탭을 클릭하여 Win32/Conficker.D에 대한 정보를 확인하세요. 자세한 내용은 다음 Microsoft 웹 페이지를 참조하십시오.
http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.D
Win32/Conficker에 대한 자세한 내용은 다음 Microsoft 맬웨어 보호 센터 웹 페이지를 참조하십시오.
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
전파 방법
Win32/Conficker에는 여러 전파 방법이 있습니다. 이러한 경계 및 제한은 다음과 같습니다.
- 보안 업데이트 958644(MS08-067)에서 패치한 취약성 악용
- 네트워크 공유 사용
- 자동 실행 기능의 사용
따라서 네트워크를 클린할 때는 이전에 정리된 시스템에 위협이 다시 유입되지 않도록 주의해야 합니다.
참고: Win32/Conficker.D 변형은 네트워크를 통해 이동식 드라이브나 공유 폴더로 확산되지 않습니다. Win32/Conficker.D는 Win32/Conficker의 이전 변형에 의해 설치됩니다.
방지
- 모든 컴퓨터에 고유한 강력한 관리자 암호를 사용합니다.
- 도메인 관리 자격 증명이나 모든 컴퓨터에 액세스할 수 있는 자격 증명을 사용하여 컴퓨터에 로그온하지 마세요.
- 모든 시스템에 최신 보안 업데이트가 적용되었는지 확인합니다.
- 자동 실행 기능을 사용하지 않도록 설정합니다. 자세한 내용은 "그룹 정책 개체 만들기" 섹션의 3단계를 참조하세요.
- 공유에 대한 과도한 권한을 제거합니다. 여기에는 공유의 루트에 대한 쓰기 권한을 제거하는 것이 포함됩니다.
완화 단계
그룹 정책 설정을 사용하여 Win32/Conficker의 확산 방지
노트
중요 이 문서에서 제안하는 대로 변경하기 전에 현재 설정을 문서화해야 합니다.
이 절차는 시스템에서 Conficker 맬웨어를 제거하지 않습니다. 이 절차는 맬웨어의 확산을 막을 뿐입니다. 바이러스 백신 제품을 사용하여 시스템에서 Conficker 맬웨어를 제거해야 합니다. 또는 이 기술 자료 문서의 "Win32/Conficker 바이러스를 제거하는 수동 단계" 섹션의 단계에 따라 시스템에서 맬웨어를 수동으로 제거합니다.
다음 단계에서 권장되는 권한 변경이 적용되는 동안에는 응용 프로그램, 서비스 팩 또는 기타 업데이트를 올바르게 설치하지 못할 수 있습니다. 여기에는 Windows 업데이트, Microsoft Windows Server Update Services(WSUS) 서버 및 System Center Configuration Manager(구성 관리자 2007)를 사용하여 업데이트를 적용하는 것이 포함되지만 이에 국한되지 않습니다. 이러한 제품은 의존합니다 자동 업데이트의 구성 요소입니다. 시스템을 클린한 후 사용 권한을 기본 설정으로 다시 변경해야 합니다.
"그룹 정책 개체 만들기" 섹션에 언급된 SVCHOST 레지스트리 키 및 작업 폴더에 대한 기본 권한에 대한 자세한 내용은 이 문서의 끝에 있는 기본 권한 표를 참조하세요.
그룹 정책 개체 만들기
사용자 환경의 필요에 따라 특정 OU(조직 구성 단위), 사이트 또는 도메인의 모든 컴퓨터에 적용되는 새 GPO(그룹 정책 개체)를 만듭니다.
그러려면 다음 단계를 따르세요.
다음 레지스트리 하위 키에 대한 쓰기 권한을 제거하도록 정책을 설정합니다.
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost
이렇게 하면 임의로 이름이 지정된 맬웨어 서비스가 netsvcs 레지스트리 값에 만들어지지 않습니다.그러려면 다음 단계를 따르세요.
GPMC(그룹 정책 관리 콘솔)를 엽니다.
새 GPO를 만듭니다. 원하는 이름을 지정합니다.
새 GPO를 열고 다음 폴더로 이동합니다.
컴퓨터 구성\Windows 설정\보안 설정\레지스트리
레지스트리를 마우스 오른쪽 단추로 클릭한 다음 키 추가를 클릭합니다.
레지스트리 키 선택 대화 상자에서 컴퓨터를 확장하고 다음 폴더로 이동합니다.
Software\Microsoft\Windows NT\CurrentVersion\Svchost
확인을 클릭합니다.
열린 대화 상자에서 관리자와 시스템 모두에 대한 모든 권한 검사란을 클릭하여 선택을 취소합니다.
확인을 클릭합니다.
개체 추가 대화 상자에서 모든 하위 키에 대한 기존 권한을 상속 가능한 권한으로 바꾸기를 클릭합니다.
확인을 클릭합니다.
%windir%\Tasks 폴더에 대한 쓰기 권한을 제거하도록 정책을 설정합니다. 이렇게 하면 Conficker 맬웨어가 시스템을 다시 감염시킬 수 있는 예약된 작업을 만들지 못하게 됩니다.
그러려면 다음 단계를 따르세요.
이전에 만든 동일한 GPO에서 다음 폴더로 이동합니다.
컴퓨터 구성\Windows 설정\보안 설정\파일 시스템
파일 시스템을 마우스 오른쪽 단추로 클릭한 다음 파일 추가를 클릭합니다.
파일 또는 폴더 추가 대화 상자에서 %windir%\Tasks 폴더로 이동합니다. 폴더 대화 상자에서 작업이 강조 표시되고 나열되어 있는지 확인합니다.
확인을 클릭합니다.
열린 대화 상자에서 관리자와 시스템 모두에 대한 모든 권한, 수정 및 쓰기에 대한 검사란을 클릭하여 선택 취소합니다.
확인을 클릭합니다.
개체 추가 대화 상자에서 모든 하위 키에 대한 기존 권한을 상속 가능한 권한으로 바꾸기를 클릭합니다.
확인을 클릭합니다.
자동 실행(자동 실행) 기능을 사용 안 함으로 설정합니다. 이렇게 하면 Windows에 기본 제공되는 자동 실행 기능을 사용하여 Conficker 맬웨어가 확산되는 것을 방지할 수 있습니다.
참고사용 중인 Windows 버전에 따라 자동 실행 기능을 올바르게 사용하지 않도록 설정하기 위해 설치해야 하는 업데이트가 다릅니다.
- Windows Vista 또는 Windows Server 2008에서 자동 실행 기능을 사용하지 않도록 설정하려면 보안 업데이트 950582 설치되어 있어야 합니다(보안 공지 MS08-038에 설명됨).
- Windows XP, Windows Server 2003 또는 Windows 2000에서 자동 실행 기능을 사용하지 않도록 설정하려면 보안 업데이트 950582, 업데이트 967715 또는 업데이트 953252이 설치되어 있어야 합니다.
자동 실행(자동 실행) 기능을 사용하지 않도록 설정하려면 다음 단계를 수행합니다.
이전에 만든 동일한 GPO에서 다음 폴더 중 하나로 이동합니다.
Windows Server 2003 도메인의 경우 다음 폴더로 이동합니다.
컴퓨터 구성\관리 템플릿\시스템
Windows 2008 도메인의 경우 다음 폴더로 이동합니다.
컴퓨터 구성\관리 템플릿\Windows 구성 요소\자동 실행 정책
자동 실행 끄기 정책을 엽니다.
자동 실행 끄기 대화 상자에서 사용을 클릭합니다.
드롭다운 메뉴에서 모든 드라이브를 클릭합니다.
확인을 클릭합니다.
그룹 정책 관리 콘솔을 닫습니다.
새로 만든 GPO를 적용하려는 위치에 연결합니다.
그룹 정책 설정이 모든 컴퓨터로 업데이트될 수 있도록 충분한 시간을 허용합니다. 일반적으로 그룹 정책 복제는 각 도메인 컨트롤러에 복제하는 데 5분이 걸리고 나머지 시스템에 복제하는 데 90분이 걸립니다. 몇 시간이면 충분합니다. 그러나 환경에 따라 더 많은 시간이 필요할 수 있습니다.
그룹 정책 설정이 전파되면 맬웨어 시스템을 클린합니다.
그러려면 다음 단계를 따르세요.
- 모든 컴퓨터에서 전체 바이러스 백신 검사를 실행합니다.
- 바이러스 백신 소프트웨어에서 Conficker를 검색하지 못하면 Microsoft 보안 검사를 사용하여 맬웨어를 클린할 수 있습니다. 자세한 내용은 다음 Microsoft 웹 페이지를 참조하십시오. http://www.microsoft.com/security/scanner/ 참고 맬웨어의 모든 영향을 클린하려면 몇 가지 수동 단계를 수행해야 할 수 있습니다. 이 문서의 "Win32/Conficker 바이러스를 제거하는 수동 단계" 섹션에 나열된 단계를 검토하여 맬웨어의 영향을 모두 클린하는 것이 좋습니다.
회복
Microsoft 보안 검사관을 실행합니다.
Microsoft 맬웨어 보호 센터에서 Microsoft 보안 검사를 업데이트했습니다. 이 파일은 널리 퍼진 악성 소프트웨어를 제거하는 데 유용한 독립 실행형 이진 파일이며 Win32/Conficker 맬웨어 제품군을 제거하는 데 도움이 될 수 있습니다.
참고 Microsoft 보안 검사는 실시간 바이러스 백신 프로그램이 아니므로 재감염을 방지하지 않습니다.
다음 Microsoft 웹 사이트에서 Microsoft 보안 검사를 다운로드할 수 있습니다.
http://www.microsoft.com/security/scanner/
참고 Stand-Alone 시스템 청소 도구도 이 감염을 제거합니다. 이 도구는 Microsoft 데스크톱 최적화 팩 6.0의 구성 요소로 제공되거나 고객 서비스 및 지원을 통해 제공됩니다. Microsoft 데스크톱 최적화 팩을 구하려면 다음 Microsoft 웹 사이트를 방문하세요.
http://www.microsoft.com/windows/enterprise/technologies/mdop.aspx 시스템에서 Microsoft Security Essentials 또는 Microsoft Forefront Client Security가 실행되고 있는 경우에도 이러한 프로그램은 위협을 설치하기 전에 차단합니다.
Win32/Conficker 바이러스를 제거하는 수동 단계
노트
- 이러한 수동 단계는 더 이상 필요하지 않으며 Conficker 바이러스를 제거할 바이러스 백신 소프트웨어가 없는 경우에만 사용해야 합니다.
- 컴퓨터가 감염된 Win32/Conficker 변종에 따라 이 섹션에서 언급된 값 중 일부는 바이러스에 의해 변경되지 않았을 수 있습니다.
다음 세부 단계는 시스템에서 Conficker를 수동으로 제거하는 데 도움이 될 수 있습니다.
로컬 계정을 사용하여 시스템에 로그온합니다.
중요 가능한 경우 도메인 계정을 사용하여 시스템에 로그온하지 마세요. 특히 도메인 관리 계정을 사용하여 로그온하지 마세요. 맬웨어는 로그온한 사용자를 가장하고 로그온한 사용자 자격 증명을 사용하여 네트워크 리소스에 액세스합니다. 이 동작으로 인해 맬웨어가 확산될 수 있습니다.
서버 서비스를 중지합니다. 이렇게 하면 시스템에서 관리 공유가 제거되므로 이 방법을 사용하여 맬웨어가 확산될 수 없습니다.
참고 사용자 환경에서 맬웨어를 클린하는 동안에만 서버 서비스를 일시적으로 사용하지 않도록 설정해야 합니다. 이 단계는 네트워크 리소스 가용성에 영향을 미치므로 프로덕션 서버의 경우 특히 그렇습니다. 환경이 정리되는 즉시 서버 서비스를 다시 사용할 수 있습니다.
서버 서비스를 중지하려면 서비스 MMC(Microsoft Management Console)를 사용합니다. 그러려면 다음 단계를 따르세요.
시스템에 따라 다음을 수행합니다.
- Windows Vista 및 Windows Server 2008에서는 시작을 클릭하고 검색 시작 상자에 services.msc를 입력한 다음 프로그램 목록에서 services.msc를 클릭합니다.
- Windows 2000, Windows XP 및 Windows Server 2003에서는 시작, 실행을 차례로 클릭하고 services.msc를 입력한 다음 확인을 클릭합니다.
서버를 두 번 클릭합니다.
중지 를 클릭합니다.
시작 유형 상자에서 사용 안 함을 선택합니다.
적용을 클릭합니다.
AT에서 만든 예약된 작업을 모두 제거합니다. 이렇게 하려면 명령 프롬프트에 AT /Delete /Yes를 입력합니다.
작업 스케줄러 서비스를 중지합니다.
Windows 2000, Windows XP 및 Windows Server 2003에서 작업 스케줄러 서비스를 중지하려면 MMC(Microsoft Management Console) 서비스 또는 SC.exe 유틸리티를 사용합니다.
Windows Vista 또는 Windows Server 2008에서 작업 스케줄러 서비스를 중지하려면 다음 단계를 수행합니다.
중요이 섹션, 메서드 또는 작업에는 레지스트리를 수정하는 방법에 대한 단계가 포함되어 있습니다. 그러나 레지스트리를 잘못 수정하는 경우 심각한 문제가 발생할 수 있습니다. 따라서 이러한 단계를 신중하게 따라야 합니다. 레지스트리를 변경하기 전에 먼저 백업하는 것이 좋습니다. 그런 다음 문제가 발생할 경우 레지스트리를 복원할 수 있습니다. Windows XP 및 Windows Server 2003에서 레지스트리를 백업, 편집 및 복원하는 방법에 대한 자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료를 참조하세요.
322756 Windows에서 레지스트리를 백업 및 복원하는 방법
시작을 클릭하고 검색 시작 상자에 regedit를 입력한 다음 프로그램 목록에서 regedit.exe를 클릭합니다.
다음 레지스트리 하위 키를 찾아서 클릭합니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Schedule
세부 정보 창에서 DWORD 시작 항목을 마우스 오른쪽 단추로 클릭한 다음 수정을 클릭합니다.
값 데이터 상자에 4를 입력한 다음 확인을 클릭합니다.
레지스트리 편집기를 종료하고 컴퓨터를 다시 시작합니다.
참고 작업 스케줄러 서비스는 사용자 환경에서 맬웨어를 클린하는 동안에만 일시적으로 사용하지 않도록 설정해야 합니다. 이 단계는 다양한 기본 제공 예약된 작업에 영향을 주기 때문에 Windows Vista 및 Windows Server 2008에서 특히 그렇습니다. 환경이 정리되는 즉시 서버 서비스를 다시 사용하도록 설정합니다.
보안 업데이트 958644(MS08-067)를 다운로드하여 수동으로 설치합니다. 자세한 내용을 확인하려면 다음 Microsoft 웹 사이트를 방문하십시오.
http://www.microsoft.com/technet/security/Bulletin/MS08-067.mspx 참고 이 사이트는 맬웨어 감염으로 인해 차단되었을 수 있습니다. 이 시나리오에서는 감염되지 않은 컴퓨터에서 업데이트를 다운로드한 다음 감염된 시스템으로 업데이트 파일을 전송해야 합니다. 구운 CD는 쓸 수 없으므로 업데이트를 CD에 굽는 것이 좋습니다. 따라서 감염될 수 없습니다. 기록 가능한 CD 드라이브를 사용할 수 없는 경우 이동식 USB 메모리 드라이브가 감염된 시스템에 업데이트를 복사하는 유일한 방법일 수 있습니다. 이동식 드라이브를 사용하는 경우 맬웨어가 Autorun.inf 파일로 드라이브를 감염시킬 수 있다는 점에 유의하세요. 이동식 드라이브에 업데이트를 복사한 후 장치에 해당 옵션을 사용할 수 있는 경우 드라이브를 읽기 전용 모드로 변경해야 합니다. 읽기 전용 모드를 사용할 수 있는 경우 일반적으로 장치의 물리적 스위치를 사용하여 사용하도록 설정됩니다. 그런 다음 감염된 컴퓨터에 업데이트 파일을 복사한 후 이동식 드라이브를 검사하여 Autorun.inf 파일이 드라이브에 기록되었는지 확인합니다. 제대로 작동했으면 이동식 드라이브가 컴퓨터에 연결되어 있을 때 실행되지 않도록 Autorun.inf 파일의 이름을 Autorun.bad와 같은 이름으로 바꿉니다.
강력한 새 암호를 사용하려면 로컬 관리 및 도메인 관리 암호를 재설정합니다. 자세한 내용을 확인하려면 다음 Microsoft 웹 사이트를 방문하십시오.
레지스트리 편집기에서 다음 레지스트리 하위 키를 찾아 클릭합니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
세부 정보 창에서 netsvcs 항목을 마우스 오른쪽 단추로 클릭한 다음 수정을 클릭합니다.
컴퓨터가 Win32/Conficker 바이러스에 감염된 경우 임의의 서비스 이름이 나열됩니다.
참고 Win32/Conficker.B의 경우 서비스 이름은 임의의 문자였으며 목록 맨 아래에 있었습니다. 이후의 변형에서는 서비스 이름이 목록의 아무 곳에나 있을 수 있으며 더 합법적으로 보일 수 있습니다. 임의의 서비스 이름이 맨 아래에 없는 경우 시스템을 이 절차의 "서비스 테이블"과 비교하여 Win32/Conficker에 의해 추가되었을 수 있는 서비스 이름을 확인합니다. 이를 확인하려면 "서비스 테이블"의 목록을 감염되지 않은 것으로 알려진 유사한 시스템과 비교하십시오.
맬웨어 서비스의 이름을 적어둡니다. 이 절차의 뒷부분에서 이 정보가 필요합니다.
맬웨어 서비스에 대한 참조가 포함된 줄을 삭제합니다. 표시된 마지막 합법적인 항목 아래에 줄 바꿈을 비워 두어야 하며 확인을 클릭합니다.
서비스 테이블 참고 사항
- 서비스 테이블의 모든 항목은 굵게 강조 표시된 항목을 제외하고 유효한 항목입니다.
- 굵게 강조 표시된 항목은 Win32/Conficker 바이러스가 SVCHOST 레지스트리 키의 netsvcs 값에 추가할 수 있는 항목의 예입니다.
- 시스템에 설치된 항목에 따라 전체 서비스 목록이 아닐 수도 있습니다.
- 서비스 테이블은 Windows 기본 설치에서 가져온 것입니다.
- Win32/Conficker 바이러스가 목록에 추가하는 항목은 난독화 기술입니다. 첫 글자와 유사한 것으로 강조 표시된 악성 항목은 소문자 "L"입니다. 그러나 실제로는 대문자 "I"입니다. 운영 체제에서 사용하는 글꼴 때문에 대문자 "I"는 소문자 "L"인 것처럼 보입니다.
서비스 테이블
Windows Server 2008 Windows Vista Windows Server 2003 Windows XP Windows 2000 AeLookupSvc AeLookupSvc AppMgmt 6to4 EventSystem wercplsupport wercplsupport AudioSrv AppMgmt Ias 테마 테마 브라우저 AudioSrv 이프립 CertPropSvc CertPropSvc CryptSvc 브라우저 어몬 SCPolicySvc SCPolicySvc DMServer CryptSvc 넷맨 lanmanserver lanmanserver EventSystem DMServer Nwsapagent GPSVC GPSVC HidServ DHCP 라사우토 IKEEXT IKEEXT Ias ERSvc Iaslogon AudioSrv AudioSrv 이프립 EventSystem 라스만 FastUserSwitchingCompatibility FastUserSwitchingCompatibility 어몬 FastUserSwitchingCompatibility 원격 액세스 Ias Ias LanmanServer HidServ 센스 어몬 어몬 LanmanWorkstation Ias 공유 액세스 Nla Nla Messenger 이프립 Ntmssvc Ntmssvc Ntmssvc 넷맨 어몬 wzcsvc NWCWorkstation NWCWorkstation Nla LanmanServer Nwsapagent Nwsapagent Ntmssvc LanmanWorkstation 라사우토 라사우토 NWCWorkstation Messenger 라스만 라스만 Nwsapagent 넷맨 Iaslogon Iaslogon Iaslogon Iaslogon 원격 액세스 원격 액세스 라사우토 Nla 센스 센스 라스만 Ntmssvc 공유 액세스 공유 액세스 원격 액세스 NWCWorkstation SRService SRService Sacsvr Nwsapagent Tapisrv Tapisrv 일정 라사우토 WMI WMI Seclogon 라스만 WmdmPmSp WmdmPmSp 센스 원격 액세스 TermService TermService 공유 액세스 일정 wuauserv wuauserv 테마 Seclogon 비트 비트 TrkWks 센스 ShellHWDetection ShellHWDetection TrkSvr 공유 액세스 LogonHours LogonHours W32Time SRService PCAudit PCAudit WZCSVC Tapisrv helpsvc helpsvc WMI 테마 uploadmgr uploadmgr WmdmPmSp TrkWks iphlpsvc iphlpsvc winmgmt W32Time seclogon seclogon wuauserv WZCSVC AppInfo AppInfo 비트 WMI MSISCSI MSISCSI ShellHWDetection WmdmPmSp MMCSS MMCSS uploadmgr winmgmt 브라우저 ProfSvc WmdmPmSN TermService winmgmt EapHost xmlprov wuauserv SessionEnv winmgmt AeLookupSvc 비트 ProfSvc 일정 helpsvc ShellHWDetection EapHost SessionEnv helpsvc HKMSVC 브라우저 xmlprov 일정 HKMSVC wscsvc AppMgmt AppMgmt WmdmPmSN sacsvr HKMSVC 이전 절차에서 맬웨어 서비스의 이름을 확인해 두었습니다. 이 예에서 맬웨어 항목의 이름은 "Iaslogon"입니다. 이 정보를 사용하여 다음 단계를 수행합니다.
레지스트리 편집기에서 다음 레지스트리 하위 키를 찾아 클릭합니다. 여기서 BadServiceName 은 맬웨어 서비스의 이름입니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\BadServiceName예를 들어 다음 레지스트리 하위 키를 찾아서 클릭합니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Iaslogon
맬웨어 서비스 이름의 탐색 창에서 하위 키를 마우스 오른쪽 단추로 클릭한 다음 권한을 클릭합니다.
SvcHost에 대한 권한 항목 대화 상자에서 고급을 클릭합니다.
고급 보안 설정 대화 상자에서 다음 검사란을 모두 클릭하여 선택합니다.
하위 개체에 적용되는 권한 항목을 부모로부터 상속합니다. 여기에 명시적으로 정의된 항목과 함께 이를 포함합니다.
모든 자식 개체에 대한 권한 항목을 자식 개체에 적용되는 여기에 표시된 항목으로 바꿉니다.
F5 키를 눌러 레지스트리 편집기를 업데이트합니다. 이제 세부 정보 창에서 "ServiceDll"로 로드되는 맬웨어 DLL을 보고 편집할 수 있습니다. 이렇게 하려면 다음 단계를 따르세요.
- ServiceDll 항목을 두 번 클릭합니다.
- 참조된 DLL의 경로를 기록해 둡니다. 이 절차의 뒷부분에서 이 정보가 필요합니다. 예를 들어 참조된 DLL의 경로는 다음과 같을 수 있습니다.
%SystemRoot%\System32\doieuln.dll 참조 이름을 다음과 유사하게 바꿉니다.
%SystemRoot%\System32\doieuln.old - 확인을 클릭합니다.
레지스트리의 실행 하위 키에서 맬웨어 서비스 항목을 제거합니다.
레지스트리 편집기에서 다음 레지스트리 하위 키를 찾아 클릭합니다.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run두 하위 키에서 "rundll32.exe"로 시작하고 12b단계에서 식별한 "ServiceDll"로 로드되는 맬웨어 DLL을 참조하는 항목을 찾습니다. 항목을 삭제합니다.
레지스트리 편집기를 종료하고 컴퓨터를 다시 시작합니다.
시스템의 모든 드라이브에서 Autorun.inf 파일을 확인합니다. 메모장을 사용하여 각 파일을 연 다음 유효한 Autorun.inf 파일인지 확인합니다. 다음은 일반적인 유효한 Autorun.inf 파일의 예입니다.
[autorun] shellexecute=Servers\splash.hta *DVD* icon=Servers\autorun.ico유효한 Autorun.inf는 일반적으로 1-2KB입니다.
유효하지 않은 것 같은 Autorun.inf 파일을 삭제합니다.
컴퓨터를 다시 시작합니다.
숨김 파일을 표시할 수 있습니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다.
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL /v CheckedValue /t REG_DWORD /d 0x1 /f
파일을 볼 수 있도록 숨김 파일 및 폴더 표시 를 설정합니다. 그러려면 다음 단계를 따르세요.
12b단계에서 맬웨어에 대해 참조된 .dll 파일의 경로를 기록해 두었습니다. 예를 들어 다음과 유사한 경로를 기록해 두었습니다.
%systemroot%\System32\doieuln.dllWindows Explorer에서 %systemroot%\System32 디렉터리 또는 맬웨어가 포함된 디렉터리를 엽니다.
도구를 클릭한 다음 폴더 옵션을 클릭합니다.
보기 탭을 클릭합니다.
숨겨진 파일 및 폴더 표시 검사 상자를 선택합니다.
확인을 클릭합니다.
.dll 파일을 선택합니다.
파일에 대한 권한을 편집하여 모든 사용자에 대한 모든 권한을 추가합니다. 그러려면 다음 단계를 따르세요.
- .dll 파일을 마우스 오른쪽 단추로 클릭한 다음 속성을 클릭합니다.
- 보안 탭을 클릭합니다.
- 모든 사람을 클릭한 다음 허용 열에서 모든 권한 검사란을 클릭하여 선택합니다.
- 확인을 클릭합니다.
맬웨어에 대해 참조된 .dll 파일을 삭제합니다. 예를 들어 %systemroot%\System32\doieuln.dll 파일을 삭제합니다.
MMC(Microsoft Management Console) 서비스를 사용하여 BITS, 자동 업데이트, 오류 보고 및 Windows Defender 서비스를 사용하도록 설정합니다.
재감염의 영향을 줄이려면 자동 실행을 해제합니다. 그러려면 다음 단계를 따르세요.
시스템에 따라 다음 업데이트 중 하나를 설치합니다.
Windows 2000, Windows XP 또는 Windows Server 2003을 실행하는 경우 업데이트 967715 설치합니다.
자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하세요.967715 Windows에서 자동 실행 기능을 사용하지 않도록 설정하는 방법
Windows Vista 또는 Windows Server 2008을 실행하는 경우 보안 업데이트 950582 설치합니다.
자세한 내용은 다음 문서 번호를 클릭하여 Microsoft 기술 자료 문서를 참조하세요.950582 MS08-038: Windows Explorer의 취약성으로 인해 원격 코드 실행이 허용될 수 있음
참고: 업데이트 967715 및 보안 업데이트 950582은 이 맬웨어 문제와 관련이 없습니다. 23b단계에서 레지스트리 기능을 활성화하려면 이러한 업데이트를 설치해야 합니다.
명령 프롬프트에 다음 명령을 입력합니다.
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoDriveTypeAutoRun /t REG_DWORD /d 0xff /f
시스템에서 Windows Defender를 실행 중인 경우 Windows Defender 자동 시작 위치를 다시 사용하도록 설정합니다. 이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다.
reg.exe add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v "Windows Defender" /t REG_EXPAND_SZ /d "%ProgramFiles%\Windows Defender\MSASCui.exe –hide" /f
Windows Vista 이상 운영 체제의 경우 맬웨어가 TCP 수신 창 자동 튜닝에 대한 전역 설정을 사용 안 함으로 변경합니다. 이 설정을 다시 변경하려면 명령 프롬프트에 다음 명령을 입력합니다.
netsh 인터페이스 tcp set global autotuning=normal
이 절차를 완료한 후 컴퓨터가 다시 감염된 것 같으면 다음 조건 중 하나에 해당할 수 있습니다.
- 자동 시작 위치 중 하나가 제거되지 않았습니다. 예를 들어 AT 작업이 제거되지 않았거나 Autorun.inf 파일이 제거되지 않았습니다.
- MS08-067에 대한 보안 업데이트가 잘못 설치되었습니다.
이 맬웨어는 이 문서에서 다루지 않는 다른 설정을 변경할 수 있습니다. Win32/Conficker에 대한 최신 정보는 다음 Microsoft 맬웨어 보호 센터 웹 페이지를 방문하세요.
http://www.microsoft.com/security/portal/Entry.aspx?Name=Win32/Conficker
시스템이 클린인지 확인
다음 서비스가 시작되었는지 확인합니다.
- 자동 업데이트(wuauserv)
- BITS(Background Intelligent Transfer Service)
- Windows Defender(windefend)(해당하는 경우)
- Windows 오류 보고 서비스
이렇게 하려면 명령 프롬프트에 다음 명령을 입력합니다. 각 명령 다음에 Enter 키를 누릅니다.
Sc.exe query wuauserv
Sc.exe 쿼리 비트
Sc.exe query windefend
쿼리 ersvc Sc.exe
각 명령이 실행되면 다음과 유사한 메시지가 표시됩니다.
SERVICE_NAME: wuauserv
유형 : 20 WIN32_SHARE_PROCESS
상태: 4 실행 중
(중지 가능,NOT_PAUSABLE,ACCEPTS_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
검사점 : 0x0
WAIT_HINT : 0x0
이 예에서 "STATE : 4 RUNNING"은 서비스가 실행 중임을 나타냅니다.
SvcHost 레지스트리 하위 키의 상태를 확인하려면 다음 단계를 수행합니다.
레지스트리 편집기에서 다음 레지스트리 하위 키를 찾아 클릭합니다.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost
세부 정보 창에서 netsvcs를 두 번 클릭한 다음 나열된 서비스 이름을 검토합니다. 목록 맨 아래로 스크롤합니다. 컴퓨터가 Conficker에 다시 감염되면 임의의 서비스 이름이 나열됩니다. 예를 들어 이 절차에서 맬웨어 서비스의 이름은 "Iaslogon"입니다.
이러한 단계를 수행해도 문제가 resolve 않으면 바이러스 백신 소프트웨어 공급업체에 문의하십시오.
이 문제에 대한 자세한 내용은 Microsoft 기술 자료의 다음 문서를 참조하십시오.
49500 바이러스 백신 소프트웨어 공급업체 목록
바이러스 백신 소프트웨어 공급 업체가 없거나 바이러스 백신 소프트웨어 공급 업체가 도움을 줄 수 없는 경우 Microsoft 소비자 지원 서비스에 문의하여 추가 도움을 받으십시오.
환경을 완전히 정리한 후
환경을 완전히 정리한 후 다음 단계를 수행합니다.
서버 서비스 및 작업 스케줄러 서비스를 다시 사용하도록 설정합니다.
SVCHOST 레지스트리 키 및 작업 폴더에 대한 기본 권한을 복원합니다. 그룹 정책 설정을 사용하여 기본 설정으로 되돌려야 합니다. 정책만 제거하면 기본 권한을 다시 변경할 수 없습니다. 자세한 내용은 "완화 단계" 섹션의 기본 권한 표를 참조하세요.
누락된 보안 업데이트를 설치하여 컴퓨터를 업데이트합니다. 이렇게 하려면 Windows 업데이트, Microsoft WSUS(Windows Server Update Services) 서버, SMS(Systems Management Server), System Center Configuration Manager(구성 관리자 2007) 또는 타사 업데이트 관리 제품을 사용합니다. SMS 또는 구성 관리자 2007을 사용하는 경우 먼저 서버 서비스를 다시 사용하도록 설정해야 합니다. 그렇지 않으면 SMS 또는 구성 관리자 2007이 시스템을 업데이트하지 못할 수 있습니다.
감염된 시스템 식별
Conficker에 감염된 시스템을 식별하는 데 문제가 있는 경우 다음 TechNet 블로그에 제공된 세부 정보가 도움이 될 수 있습니다.
http://blogs.technet.com/kfalde/archive/2009/01/28/using-logparser-eventcomb-to-find-malware.aspx
기본 권한 테이블
다음 표에는 각 운영 체제에 대한 기본 사용 권한이 나와 있습니다. 이러한 권한은 이 문서에서 권장하는 변경 내용을 적용하기 전에 적용됩니다. 이러한 사용 권한은 사용자 환경에 설정된 사용 권한과 다를 수 있습니다. 따라서 변경하기 전에 설정을 메모해 두어야 합니다. 시스템을 클린한 후 설정을 복원할 수 있도록 이 작업을 수행해야 합니다.
| 운영 체제 | Windows Server 2008 | Windows Vista | Windows Server 2003 | Windows XP | Windows 2000 | |||||
|---|---|---|---|---|---|---|---|---|---|---|
| 설정 | Svchost 레지스트리 | 작업 폴더 | Svchost 레지스트리 | 작업 폴더 | Svchost 레지스트리 | 작업 폴더 | Svchost 레지스트리 | 작업 폴더 | Svchost 레지스트리 | 작업 폴더 |
| 계정 | ||||||||||
| 관리자(로컬 그룹) | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 |
| 체계 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 | 모든 권한 |
| Power Users(로컬 그룹) | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 읽기 | 해당 없음 | 읽기 | 해당 없음 | 읽기 | 해당 없음 |
| 사용자(로컬 그룹) | 기타 | 해당 없음 | 기타 | 해당 없음 | 읽기 | 해당 없음 | 읽기 | 해당 없음 | 읽기 | 해당 없음 |
| 적용 대상: 이 키 및 하위 키 | 적용 대상: 이 키 및 하위 키 | |||||||||
| 쿼리 값 | 쿼리 값 | |||||||||
| 하위 키 열거 | 하위 키 열거 | |||||||||
| 알림 | 알림 | |||||||||
| 읽기 제어 | 읽기 제어 | |||||||||
| 인증된 사용자 | 해당 없음 | 기타 | 해당 없음 | 기타 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 |
| 적용 대상: 이 폴더만 | 적용 대상: 이 폴더만 | |||||||||
| Traverse 폴더 | Traverse 폴더 | |||||||||
| 폴더 나열 | 폴더 나열 | |||||||||
| 특성 읽기 | 특성 읽기 | |||||||||
| 확장 특성 읽기 | 확장 특성 읽기 | |||||||||
| Files 만들기 | Files 만들기 | |||||||||
| 읽기 권한 | 읽기 권한 | |||||||||
| 백업 운영자(로컬 그룹) | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 기타 | 해당 없음 | 기타 | ||
| 적용 대상: 이 폴더만 | 적용 대상: 이 폴더만 | |||||||||
| Traverse 폴더 | Traverse 폴더 | |||||||||
| 폴더 나열 | 폴더 나열 | |||||||||
| 특성 읽기 | 특성 읽기 | |||||||||
| 확장 특성 읽기 | 확장 특성 읽기 | |||||||||
| Files 만들기 | Files 만들기 | |||||||||
| 읽기 권한 | 읽기 권한 | |||||||||
| 모든 사용자 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 해당 없음 | 기타 |
| 적용 대상: 이 폴더, 하위 폴더 및 파일 | ||||||||||
| Traverse 폴더 | ||||||||||
| 폴더 나열 | ||||||||||
| 특성 읽기 | ||||||||||
| 확장 특성 읽기 | ||||||||||
| Files 만들기 | ||||||||||
| 폴더 만들기 | ||||||||||
| 특성 쓰기 | ||||||||||
| 확장 특성 쓰기 | ||||||||||
| 읽기 권한 |
추가 도움말
이 문제에 대한 추가 도움이 필요하면 미국에 거주하는 경우 Answer Desk에서 실제 사용자와 채팅할 수 있습니다.