간단한 좀비PC 감염 자가진단

요즘은 DDoS 사건이 많이 터지지 않는 것 같은데 작년 10월에 선관위의 디도스 사건이 있었죠.

DDoS 에 대해 제가 알고 있는 지식을 조금 적어보고 좀비 PC 자가진단법을 알려드릴까 합니다.

DDoS 툴이라고 해서, PCRAT, 타르사자 등등 전용 프로그램들이 인터넷에 많이 떠돌아 다니고 있는데

악의적인 의도를 가지고 있는 사람들이나 호기심 왕성한 중고등학생들이 주로 다운을 받습니다. 

프로그램에는 서버 파일 생성이라는 기능이 있는데 자신의 컴퓨터로 연결시키는

이 서버 파일을 생성한 후에 생성된 파일을 다른 사람에게 주고, 

그 사람이 그 파일을 단 한번이라도 실행시킨다면 파일 유포자의 좀비PC가 되어버리는거죠.

문제는 DDoS 툴의 대부분에는 원격제어, 키로그, 파일 업/다운로드 기능이 포함되어 있어

마치 본인의 컴퓨터를 하듯 좀비PC의 컴퓨터를 제어할 수 있게 됩니다.

개인정보가 유출되는 것은 물론이고 좀비PC 들을 30 개체만 모아도

소규모 사이트 하나 정도는 마비 시킬 수 있습니다.

일반 가정용 컴퓨터에 사용하면 인터넷이 끊기는 것은 물론이고 마우스가 점점 느려지다가

컴퓨터가 멈춰버리는 현상이 발생하기도 합니다.

따라서, 좀비 PC에 감염되었다면 빠른 대처를 통해 자신에게도, 타인에게도 피해를 주는 것을 막아야합니다.

아래는 제가 알고 있는 몇가지 자가 진단법입니다.

------------------------------------------------------------------------------

1. 시작 ㅡ>실행(R)ㅡ>cmd 입력하세요.

2. 명령 프롬프트 창이 뜨면 netstat /b 를 입력하세요.

3.  좌측에 네트워크가 연결된 프로세스가 표시되게 되는데요.

저는 좀비 PC에 감염되지 않았고 chrome 을 실행시킨 상태이기 때문에 chrome.exe 가 표시됩니다.

만약 이 곳에 system32/***.exe 라던가 system32/***.dll 파일이 표시된다면 의심해 볼만 합니다.

------------------------------------------------------------------------------

1. 작업관리자를 실행시킵니다. (Ctrl+Alt+Delete)

2. 프로세스 탭으로 이동합니다.

3. userinit 프로세스가 있는지 확인합니다.

userinit 는 원격제어 할 때 사용되는 프로세스인데 본인이 현재 원격제어를 사용하고 있지 않은데도   

실행되고 있다면 좀비 PC 감염이 되었을 수도 있습니다.

숙주 컴퓨터에서 좀비 PC를 원격제어를 위해서는 userinit 프로세스가 필요하기 때문에

좀비PC에서는 이 프로세스가 자동적으로 실행되는 경우가 많거든요.

------------------------------------------------------------------------------

1. 포털 사이트에 보호나라 를 검색하고 들어갑니다.

2. 점검하기 메뉴에 악성봇 감염 확인 으로 들어가면 검사 결과가 나옵니다.

------------------------------------------------------------------------------

1. http://hauri.co.kr/customer/security/alert_view.html?intSeq=83 에 접속합니다.

2. 적혀 있는대로 하세요.