Jerry's BLOG

윈도우를 사용하다보면 시작 메뉴의 하위 메뉴들이 투명하게 보이는 현상(그림 1 참조)이 가끔 발생한다.
일반적인 사용자들은 이런 상황을 만나면 당황하게 되며 컴퓨터를 제대로 사용할 수 없어, 급기야 포멧(format)까지 이어진다.




하지만 이런 현상의 원인은 현재 까지는 스파이웨어(Spyware)에 의한 것으로 그 원인만 제거하면 다시 정상적으로 컴퓨터를 사용할 수 있게 된다.

주로 이런 스파이웨어는 Internet Explorer의 MS06-014 취약점(exploit)이 패치되지 않아서 발생한다. 즉, 중국 해커들이 국내 불특정 사이트를 해킹하고, MS06-014 취약점을 사용하여 스파이웨어를 다운로드 받아서 설치하는(Win-Downloader/PWS.KorGame)을 실행하는 코드를 삽입해 놓는다. 그리고 일반 사용자들중 MS06-014 취약점 패치가 되어 있지 않은 사용자가 해당 페이지를 방문만 하면 자동으로 스파이웨어가 설치된다. 따라서 예방을 위해서는 패치가 나올때마다 즉시 적용시켜 주는것이 바람직하다.

그럼, 정작 이렇게 메뉴가 투명하게 되었을 경우에는 어떻게 해야 하는가?

1. 윈도우 레지스트리를 확인하여 해당 스파이웨어를 실행시키는 부분이 있는지 확인
HKLM\Software\Microsoft\Windows\CurrentVersion\Run 이란 항목을 살펴보면 (그림 2)와 같은 "winabc"라는 항목을 확인할 수 있다.


현재까지 분석된 정보에 의하면 파일명은 랜덤이지만, 레지스트리키는 "winabc"로 동일하다.
따라가보면 임시 디렉토리에 ddh5.dll이란 것을 확인할 수 있다.

2. 레지스트리키 삭제
위의 "winabc"키를 삭제하면 스파이웨어는 더이상 실행되지 않는다.

3. 파일 삭제
실제 스파이웨어가 동작중일때는 파일을 삭제 하려고 해도 (그림 3)처럼 삭제 되지 않는다.

따라서 실행중이 아닐 경우에만 제거가 된다.

따라서 현재 해당 스파이웨어가 실행중인 프로세스를 모두 찾아서 종료를 시켜야 한다. 하지만 다른 프로세스에 인젝션(injection)되어서 동작하므로, 일일이 찾기가 힘들다.
이때 유용한 프로그램이 Sysinternals에서 제공하는 Process Explorer이다.

실행 후, 메뉴에서 [Find] -> [Find Handle or DLL]을 선택하고, 1번에서 찾은 파일명을 입력하고, [search]버튼을 누른다. 여기에 나타난 항목을 클릭한 후, 프로세스를 모두 종료시키면 해당 파일을 쉽게 제거할 수 있다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-동일조건변경허락 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.