계속되는 PC의 리부팅 증상. 원인은 2090 바이러스!

컴퓨터를 켜면 리부팅 되고, 또 리부팅되는 증상이 발생하는 PC 들이 속출하고 있다.
이는 2009년 2월 10일부터 전파되기 시작한 "2090 바이러스" 에 PC가 감염된 것을 의미한다.

일단 이 바이러스에 컴퓨터가 감염되게 되면, 무한 리부팅 되는 현상이 발생하게 되고,
문제는 이런 증상 때문에 부득이하게 PC 를 포맷하고 OS 를 새로 설치하더라도
무한 리부팅 증상이 해결되지 않는다는 점에서 아주 치명적인 바이러스라 할 수 있다.

Trojan.Win32.Crypt.15872.B 로 알려진 이 바이러스는에 감염되면
윈도우 시스템 시간이 ‘2090년 1월 1일 오전 10시’로 나타나는 증상을 발견할 수 있다.

또한, 이 바이러스는 윈도우 시스템 폴더(c:WinNTsystem32 또는 c:Windowssystem32) 안에
system.exe파일을 생성하여 실행된다. 악성코드가 실행되면 ‘81714.sys’, ‘107.exe’, ‘5684333’처럼
파일명이 숫자로만 이루어져 있고, 확장자는 없거나 exe, sys 등으로 구성된 파일들을 랜덤하게 생성한다

현재 이 바이러스는 MS08-067취약점을 이용하여 TCP 445 포트를 스캔하여 대상 시스템에
취약점이 존재하면 익스플로잇 코드를 전송하여 전파시키며, 이동식 디스크로 전파될 수 있도록
Autorun.inf 파일과 explorer.exe를 생성하여 네트워크로 공유된 공유폴더로도 확산되고 있다.
그 외 동일 네트워크에 존재하는 컴퓨터에 Ping을 보내고, 445포트를 이용한 취약점 스캔을 하기때문에
네트워크에 과부하를 초래하기도 한다.


불과 수년전 IT 강국임을 전세계에서 자랑하던 우리나라는
Microsoft 社 의 권장 UPDATE 를 패치하지 않고 간과하다가 모든 인터넷망이 다운되는
치명적인 상황을 맞이하기도 하였다.

돌이켜보면, 우리들은 Microsft 에서 발표하는 UPDATE 패치나 PC에 설치해 놓은 백신 프로그램의
UPDATE 에 대해서는 그렇게 많이 신경을 쓰지 않고 PC를 사용하고 있다고 해도 과언이 아닐 것이다.

우선, 이 글을 읽고 있는 분들이라면 아직 2090 바이러스에 감염이 되지 않은 분들일테니
즉각 Windows 의 보안패치를 실시하고, 사용하고 있는 백신프로그램 V3 혹은 알약 등 을 UPDATE 하기를 권장한다.

※ 사실 각 백신 업체는 2090 바이러스에 대한 패치를 발표하기는 하였으나, 계속 증가하고 있는 변종 바이러스로 인해
    골머리를 앓고 있는 실정이기도 하다.

V3 패치 URL : http://kr.ahnlab.com/dwVaccineView.ahn?num=86&cPage=1
알약 패치 URL : http://alyac.altools.co.kr/Etc/Notice_Contents.aspx?idx=113&page=1

중요한 점은 이 2090 바이러스의 경우 개인이 가지고 다니는 USB를 통해 전파되는 사례가 많은 만큼
알약 패치 URL 을 클릭하면 하단에 있는 "USB 자동실행 차단 툴" 을 다운로드 받아서 설치하기를 권장한다.


그럼에도 불구하고 이미 바이러스에 감염된 PC가 있다면, 아래 사항을 참고하여 2090 바이러스를 해결하도록 해보자.

해결방법 

1. 각종 포탈사이트에서 "프로세스 모니터링 툴" 이라고 쳐서 나오는 프로그램 혹은 procexp.exe 다운로드 후 실행

2. 윈도우 기본 프로그램 제외하고 실행되어 있는 프로세스 종료

3. autoruns.exe 실행 후 c:\windows\system32\system.exe 체크해제

4. 시작 > 실행 > %temp% 삭제

5. trojan remover  설치 검사

6. c:\windows\system32\mscpco.exe 레지스트 검색 후 삭제(삭제가 안되면 아이스 스워드를 이용하여 삭제)

7. 6. HKLM\SYSTEM\CurrentControlSet\Services\mscpcosd\"ImagePath" 레지스트 검색 후 삭제

8. mscpcosd 레지스트 검색 후 삭제

9. 시스템 다시시작

10. trojan remover  검색

11. c:\windows\systme32\ 크기로 정렬후 숫자로 된 파일 삭제 (16KB)

12. c:\windows\system32\drivers\etc\host 편집

13. 하단에 아래 내용 삭제

#block wga
127.0.0.1 mpa.one.microsoft.com
 
14. 시스템 다시시작 


※ 이미 감염된 분들의 행운을 빕니다.