EVA RIDER

(위 스샷은 실제 메시지와 약간 다릅니다. 저 메시지는 msblaster시절의 셧다운 메시지입니다. 여기에 해당되는 놈은 DCOM서비스가 훼손됐네 중지됐네 어쩌구저쩌구 합니다.)

학교 컴에 Dcom 어쩌구 서비스가 중지되었기 때문에 시스템을 재시작한다는 메시지가 자꾸 뜬다.. 첨엔 잘못 깔렸나 생각했는데,  며칠 전에는 집에 있는 데스크탑에서도 똑같은 증상이 나타났다. 신종 바이러스 발생!! 우선, 셧다운 메시지로 검색해보니 MSBlaster라는 아주 오래된 바이러스가 나타난다.. 이놈 유명했지.. 깔자마자 감염되어서 shutdown -a(강제재부팅 메시지를 강제로 중지시킴) 를 알기 전까지는 1분 내에 어떻게든 저놈만 잡아죽이는 파일을 실행시키려고 애를 썼었다.

결과는 비슷한데, 당삼 저놈은 아닐 것이다. 실제로도 msblaster의 징후로 알려져 있는 증세들도 나타나지 않는다. 한편, v3을 돌려보니 공통점들이 하나 있는데 저 메시지가 뜨는 놈들은 공통적으로 무슨무슨 downloader라는 트로얀이 있다는 것이고.. 문제는 치료를 하려고 하면 치료 실패가 뜬다는 것이다. 수동으로 지우려고 찾아가 우클릭 하니 바로 사라져 버린다. 어떻게 한건진 모르겠지만.. 그 문제의 파일이 바로 odbcwyp32.dll이었다. 관련 바이러스 정보는 아래를 참조.

http://v.chol.com/info_virus_view.asp?list=/virus_info_list.asp&seq=11236

위 링크에서는 쉽게 해결되는 것처럼 나오지만, 이놈은 변종일지도 모른다. 보아하니 txt를 notepod.exe로 열어서 복제복제복제하는 것 같다. 일단 windows 폴더에 숨김속성으로 되어 있던 notepod.exe를 색출해서 제거했다. regedit를 해서 notepod.exe가 있는 모든 항목을 삭제했다. 하지만, 뭔가 찜찜하다.. 다행히 내 mac parallels에 있는 xp는 깨끗하다.

* 위 조치를 하게 되면 txt 파일에 링크 되어 있던 어플이 삭제되는 경우가 있다. 처음 txt를 실행할때 디폴트 어플을 설정해주던지 레지스트리중 .txt 관계되는 레지스트리의 notepod 자리에 notepad를 써넣으면 된다.


** 3일 가량 지난 현재, 조치를 취한 컴들은 얌전하다.
** 보름 가량 지난 현재도 얌전하다. 리플들과 종합해서 판단해본결과 내 추정이 맞은 것 같다.


----------------------------조치법 요약 ---------------------------------
(1) 셧다운 메시지가 뜨면 [시작]->[실행]->"shutdown -a" 실행 (1분내 셧다운 메시지를 강제종료시킵니다)
(2) 실행 창에서 "regedit" 실행,  --> CTRL+F (찾기) 에서 "notepod"입력
(3) notepod 관련 레지스트리 삭제
(4) notepod가 없을 때까지 (2),(3) 반복
(5) 파일과 폴더 찾기 실행 --> 위치는 "C:\Windows" , 옵션은 시스템, 숨김 화일 모두 체크, "notepod"로 검색, 검색되는 파일 모두 삭제
(6) 나머지 파일들, 즉 disk.ico,  A000*.*, *[1].rar 등도 방문객 님의 리플을 참조하여 삭제합니다. (방문객님 감사합니다)

저는 (6)항은 귀찮아서 안하는데.. 급하실 땐 (5)항까지만 하셔도 될 듯합니다.