울스: 악성코드(인터넷 팝업 광고창등) 제거(Malware 제거툴)

▷ Malware Zero Kit(MZK) - 보조 악성코드 제거 스크립트 - 네이버 카페 Virus Zero Season 2 제공
▷ 직집다운로드 링크

몇일전 급히 m4a 음악파일을 mp3로 변환시키는 유틸을 찾다가 그나마 믿을수 있는! 구글 검색 링크를 통해(개인블로그 파일도 아닌..) 파일을 다운받았는데 무언가 낌새가 이상하다 싶었지만 윈도우 기본 백신이 있으니 걍 설치를 해봤다.

일단 설치도중에 부가 애드웨어를 같이 설치하겠냐고해서 전부다 체크해지를 했건만 원하던 프로그램은 잘 설치가 되었는데 그뒤로 인터넷 창을 띄우면 약 2초정도 렉같은 현상이 생기고, 포털에서 검색을 하면 망할 11번가 팝업창이 뜬다;;

어떻게 된건지 프로그램 추가삭제에 가봐도 목록조차 없었고 인터넷 옵션에서 부가프로그램을 찾아봐도 역시 목록에 없었다. 어찌어찌 레지스트리 검색을 통해 익스플러 설정을 복원시켜 속도는 다시 복구하였지만 가끔씩 포털 검색뒤 조그맣게 11번가 팝업창이 뜨길래 처음엔 그냥 원래 뜨는구나 싶었는데 왠걸 포털 검색에도 다시 뜨길래 안되겠다싶어 인터넷 검색으로 팝업창을 지우는 프로그램을 검색해봤다.

첫줄에 구세주와도 같이 나타난게 바로 이 MZK(Malware Zero Kit)이라는 무언가 건담 작명네임같은 멋진 프로그램 이름의 배치파일 이었다.
더 밀려날곳도 없었기에 하라는데로 한번 따라해봤는데 검색 시간은 5분정도 걸린것 같다. 배치파일에 의해 무슨무슨 항목을 검색한다며 넘어가다가 오잉? 광고프로그램이 4건이나 검색된다! 오호~ 윈도우 기본백신 디펜더에서 한번 걸러냈던것 같은 기억이 가물가물 나며 녀석이 제대로 흔적을 못 지운걸 이게 지워내고 있었다.

검색과 동시에 파일 삭제가 진행되어 다시 인터넷 창을 띄우니 왠지 이전보다 1~2초정도 더 빨리뜨는 듯한 상쾌한 기분이 든다. 진짜 이정도 성능이면 유료 백신에 끼워서 같이 팔아도 될듯..

이 글을 통해 네이버 바이러스 제로 시즌2 카페 운영자님께 감사인사를 드린다.

+아래는 검사후 조치결과 텍스트 파일.
===================================================
-------------------------------------------------------------------------------------------------
Malware Zero Kit Report File
-------------------------------------------------------------------------------------------------
데이터베이스는 자동으로 갱신되지 않기 때문에, 필요할 때마다 새로 내려받아 검사하시기 바랍니다.
오래된 데이터베이스로는 신규 악성 프로그램을 제거할 수 없습니다.
-------------------------------------------------------------------------------------------------

스크립트 사용 후, 아래 사항 반드시 확인

① 악성코드 제거에 실패했을 경우, 안전 모드에서 검사를 진행하거나 재부팅 후 재검사 진행
② 메모리를 활용하는 악성코드에 감염되었을 경우, 검사 후 반드시 재부팅 진행
③ 웹 브라우저에서 악성 광고 창이 생성될 경우, 페이지 설정 및 부가/확장 프로그램 점검 및 재설치
④ 한글 입력 불가 및 특정 프로그램(예: Classic Shell)이 정상 실행되지 않을 경우 재부팅 진행
⑤ 사용한 스크립트가 삭제되지 않을 경우, 재부팅 후 삭제 진행
⑥ 검사 후 네트워크에 연결되지 않을 경우, <3 .=""> 문서 <문제 07> 항목 참고
⑦ 검사 중 오진 및 오동작이 발생한다면 <3 .=""> 문서 참고

보안 제품(백신)이 정상 동작하지 않는 현상 때문에 치료한 후에도 동작하지 않을 경우 아래 사항 확인

① 애드웨어 등 불필요 및 유해 가능 프로그램을 제거 후 다시 검사(중요)
② 보안 업체에서 제공하는 전용 백신 추가 사용
③ 동작하지 않는 보안 제품 제거 → 재부팅 → 설치 파일 새로 내려받기 → 재설치
-------------------------------------------------------------------------------------------------
악성코드 및 오진 신고 : mzkhelp@gmail.com (오진 발생 시 검사 리포트 파일 첨부)
※ 오진 발생 시 검역소 폴더에서 복원 가능 ☞ <3 .=""> 문서 <문제 05> 항목 참고
-------------------------------------------------------------------------------------------------
자기 자신부터 보안 실천 ! ! ! <5 .=""> 문서 참고
-------------------------------------------------------------------------------------------------
데이터베이스 버전 : 2015. 09. 05. V01
운영체제(OS) : Microsoft Windows [Version 6.2.9200], x86
검사 환경 : 표준
검사 일시 : 2015-09-06 0:24:53.33
검사 형식 : 반자동
검역소 폴더 : C:\Quarantine_MZK
-------------------------------------------------------------------------------------------------
■ 필수 시스템 파일 존재 유/무 확인 :
존재하지 않는 파일이 없음
■ 악성 및 유해 가능 자동 실행 라이브러리(AppInit_DLLs) 값 확인 :
문제점이 발견되지 않음
■ 악성 및 유해 가능 서비스 제거 :
"SPBIUpd" (격리/제거 성공)
"SPBIUpdd" (격리/제거 성공)
"SSFK" (격리/제거 성공)
"WdsManPro" (격리/제거 성공)
■ 필수 시스템 파일 확인 - 1차 :
문제점이 발견되지 않음
■ 초기화 대상 프로세스 자동 실행 레지스트리 확인 :
문제점이 발견되지 않음
■ 악성 및 유해 가능 파일 제거 :
"C:\Windows\System32\Tasks\ShopperProJSUpd" (격리/제거 성공)
"C:\Windows\System32\Tasks\SPBIW_UpdateTask_Time_343230393532313435302d3437415a556c2a3223346c41" (격리/제거 성공 [Active Scan])
■ 악성 및 유해 가능 폴더 제거 :
"C:\Users\ul424_000\AppData\Local\Installer" (격리/제거 성공)
■ 악성 호스트 파일 제거 :
발견되지 않음
■ 네트워크 DNS 주소 상태 확인 - 1차 :
문제점이 발견되지 않음
■ 소켓 프로토콜 상태 확인 :
문제점이 발견되지 않음
■ 악성 및 유해 가능 레지스트리 제거 :
발견되지 않음
■ 악성 및 유해 가능 레지스트리 제거 :
"HKCU\Software\Goobzo" (격리/제거 성공)
"HKCU\Software\AppDataLow\Software\Crossrider" (격리/제거 성공)
■ 악성 및 유해 가능 레지스트리 제거 :
"HKLM\Software\Goobzo" (격리/제거 성공)
"HKLM\Software\IHProtect" (격리/제거 성공)
"HKLM\Software\istartsurfSoftware" (격리/제거 성공)
"HKLM\Software\ShopperPro" (격리/제거 성공)
"HKLM\Software\SupDp" (격리/제거 성공)
"HKLM\Software\WdsManPro" (격리/제거 성공)
"HKLM\Software\Wow6432Node\GOOBZO" (격리/제거 성공)
"HKLM\Software\Microsoft\Windows\CurrentVersion\App Paths\ShopperPro.exe" (격리/제거 성공)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\ShopperProJSUpd" (격리/제거 성공)
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\SPBIW_UpdateTask_Time_343230393532313435302d3437415a556c2a3223346c41" (격리/제거 성공 [Active Scan])
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{DFB53CA9-0A2F-4309-954B-0668AC998FE3}" (격리/제거 성공 [Active Scan])
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{925226CD-5BA4-47F7-A639-79DFE36AFE99}" (격리/제거 성공 [Active Scan])
"HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{DFB53CA9-0A2F-4309-954B-0668AC998FE3}" (격리/제거 성공 [Active Scan])
■ 악성 및 유해 가능 BHO(Browser Helper Object) 제거 :
발견되지 않음
■ 악성 및 유해 가능 방화벽 규칙 제거 :
발견되지 않음
■ 악성 및 유해 가능 유휴 파일 전송 작업 제거 :
발견되지 않음
■ 악성 및 유해 가능 브라우저 확장 기능 제거 :
발견되지 않음
■ 웹 브라우저 - 인터넷 익스플로러 악성 시작 및 검색 페이지 제거 :
발견되지 않음
■ 웹 브라우저 - 악성 모질라 파이어폭스 악성 시작 및 검색 페이지 제거 :
발견되지 않음
■ 초기화 대상 웹 브라우저 바로 가기 확인 :
문제점이 발견되지 않음
■ 초기화 대상 서비스 및 레지스트리 확인 :
"HKLM\Software\Clients\StartMenuInternet\iexplore.exe\shell\open\command : (Default)" (초기화 성공)
■ 악성 및 유해 가능 프로그램 설치 정보 레지스트리 제거 :
발견되지 않음
■ 악성 및 유해 가능 시작 프로그램 레지스트리 제거 :
발견되지 않음
■ 네트워크 DNS 주소 상태 확인 - 2차 :
문제점이 발견되지 않음
■ 필수 시스템 파일 확인 - 2차 :
문제점이 발견되지 않음
-------------------------------------------------------------------------------------------------
Virus Zero Season 2 : http://cafe.naver.com/malzero
Batch Script : ViOLeT (archguru)
경고 ! 타 사이트/카페/블로그/토렌트 등에서 배포/개작 및 상업적 이용 절대 금지 ! (발견시 신고 요망)
-------------------------------------------------------------------------------------------------