Malware Zero

Web : malzero.xyz
Virus Zero (Security Community) : cafe.naver.com/malzero
Batch Script : ViOLeT (archguru)

https://malzero.xyz

경고 ! 타 사이트/카페/블로그/토렌트 등에서 배포/개작 및 상업적 이용 절대 금지 ! (발견 시 신고 요망)

- - - - - - - - - - - - - - - - - - - - -

■ 문제 01. Malware Zero 스크립트는 어떻게 실행해야 하나요?

   동봉되어 있는 <6. 사용 방법> 문서 참고

- - - - - - - - - - - - - - - - - - - - -

■ 문제 02. 스크립트 실행 시 오류가 발생합니다. (또는 스크립트 초기화 상태 지속)

   A. 필수 파일이 존재하지 않거나 압축된 상태로 실행

      압축을 정상적으로 해제 후 실행하시거나 압축 해제 후에도 문제가 발생하면 파일을 새로 내려받아 사용

      ※ 문제가 지속될 경우, 생성되는 폴더의 권한을 탈취해 실행을 방해하는 악성코드에 감염된 상태일 수 있으므로 안전 모드(네트워킹 사용) 환경에서 다른 폴더 위치에 압축을 풀고 검사 진행

   B. 레지스트리 편집 권한 없음

      악성코드에 의하여 레지스트리 편집 권한이 막혀있는 경우, 동봉된 unhookexec.inf 파일을 선택 후 마우스 오른쪽 클릭 → 설치

      ※ 단, 공용 및 사내 PC 등 특별한 보안 규칙에 의해 편집 권한이 막혀있는 경우 해결되지 않을 수 있음

   C. 데이터베이스 파일 구성이 일치하지 않음 (또는 실행 파일 변조)

      기존에 사용한 스크립트 파일 및 폴더 전체 삭제 후 압축 해제 및 실행 또는 동봉된 unlock.reg 파일을 등록 후 실행

      동일 증상 발생 시 안전 모드 또는 안전 모드(네트워킹 사용) 환경으로 부팅 후 압축 해제 및 실행

      ※ 문제가 지속될 경우, 실행 파일을 감염시키는 Virut 또는 Parite 등의 악성코드에 의한 감염 증상일 수 있으므로 사전 보안 제품(백신)을 이용하여 정밀 검사 수행 (진단된 파일 삭제 금지)

   D. Oops, Unsupported Korean Language !

      Control Panel → Region and Language → Administrative → Language for non-Unicode programs → Change system locale → Korean (Korea)

   X. 스크립트 초기화 시간이 너무 오래 걸리는 경우 (10분 이상)

      보안 제품의 실시간 감시 기능 비활성화 후 검사 또는 안전 모드로 부팅 후 검사 진행

- - - - - - - - - - - - - - - - - - - - -

■ 문제 03. 스크립트가 실행되지 않거나 갑자기 종료되거나 특정 시점에서 장시간 멈추는 등 동작이 제대로 이루어지지 않습니다.

   1) 검은 창만 표시되고 종료될 시

      A. 안전 모드로 부팅
      B. 압축 해제한 기존 데이터 모두 삭제
      C. 압축 해제 후 실행

      ※ 압축 해제 대상 폴더 및 상위 폴더에 ^ & ( ) = ; , 특수 문자가 존재하면 제거 후 실행하거나 다른 경로에서 실행
      ※ 실행되지 않을 경우 동봉된 unlock (unlock.reg) 레지스트리를 실행/등록 후 재실행 (문제 지속 시 2항 참고)

   2) 갑자기 종료되거나 특정 시점에서 장시간 멈추는 경우

      악성코드 검사, 디스크 상태 검사, 분석 등 필요

   ○ Kaspersky Virus Removal Tool  : https://www.kaspersky.com/downloads/thank-you/free-virus-removal-tool

   ※ '지정된 파일을 찾을 수 없습니다.' 메시지가 표시된 후 종료되면 Cidox 부트킷에 감염된 상태일 수 있으므로 Kaspersky Virus Removal Tool 도구 사용 권장

- - - - - - - - - - - - - - - - - - - - -

■ 문제 04. 악성 프로그램 또는 악성코드가 발견은 되었으나 제거되지 않았습니다. 어떻게 해야 하나요?

   악성 항목에 대한 제거가 실패했을 경우, 컴퓨터를 재부팅 또는 안전 모드로 부팅(권장) 후 다시 한 번 검사 시도

   이후에도 제거에 실패하면 보안 제품(백신) 및 전용 백신 또는 강제 삭제 유틸리티를 사용하여 제거 진행

   ※ 제거되지 않는 레지스트리 값의 경우, 레지스트리 편집기(REGEDIT)를 사용하여 수동 제거

      일반적인 상태에서 레지스트리 편집기(REGEDIT)를 통한 수동 제거가 불가능할 경우 아래 프로그램을 내려받아 압축 해제

      ○ PsExec : https://technet.microsoft.com/ko-kr/bb897553

      명령 프롬프트(관리자 권한)를 실행하여 폴더 이동 후 아래 명령을 수행하여 레지스트리 편집기(REGEDIT) 실행 후 값 제거 시도
      (제거 대상 키 사용 권한 설정에서 Everyone 계정 추가 후 모든 권한에 허용 체크 후 제거)

      PsExec -i -d -s regedit.exe

- - - - - - - - - - - - - - - - - - - - -

■ 문제 05. 진단 및 삭제된 파일 및 폴더, 레지스트리가 정상 데이터입니다. 복원이 가능한가요?

   검역소 폴더(기본: C:\Quarantine_MZ)에서 복원 가능

   파일 및 폴더는 원본 파일명 뒤에 붙은 날짜와 vz 확장자 제거 후, 리포트 파일을 참고하여 원래의 폴더에 복사 (파일 이동 비권장)
   레지스트리는 생성된 reg 확장자의 파일 내용을 확인하여 정상일 경우 실행 후 등록

   검역소 내 폴더 중 Files 폴더는 파일, Folders 폴더는 폴더, Registrys 폴더는 레지스트리 파일이 존재

   ※ 오진 발생 시, malzero.virus@gmail.com 전자우편주소로 검사 리포트 파일을 첨부하여 신고

- - - - - - - - - - - - - - - - - - - - -

■ 문제 06. 안전 모드로 부팅하는 방법을 모르겠습니다. 어떻게 해야 하나요?

   [ Windows Vista, 7 ]
   초기 Windows 부팅 화면이 나오기 바로 전 잠깐의 검은 화면 상태에서 F8 키를 누르면 나오는 고급 부팅 화면에서 선택

   [ Windows 8 ]
   설정(단축: 윈도우 + I 키) → PC 설정 변경 → 업데이트 및 복구 → 복구 → 고급 시작 옵션 → 다시 시작 → 문제 해결 → 고급 옵션 → 시작 설정 → 다시 시작 → 고급 부팅 화면에서 선택

   [ Windows 10 ]
   설정(단축: 윈도우 + I 키) → 업데이트 및 복구 → 복구 → 고급 시작 옵션 → 다시 시작 → 문제 해결 → 고급 옵션 → 시작 설정 → 다시 시작 → 고급 부팅 화면에서 선택

   [ Windows 11 ]
   설정(단축: 윈도우 + I 키) → 시스템 → 복구 → 복구 옵션 → 고급 시작 옵션 → 다시 시작 → 문제 해결 → 고급 옵션 → 시작 설정 → 다시 시작 → 고급 부팅 화면에서 선택

- - - - - - - - - - - - - - - - - - - - -

■ 문제 07. 검사를 모두 완료한 후에 인터넷에 연결되지 않습니다. (재부팅 후에도 연결되지 않을 경우)

   악성코드에 의해 시스템 파일(특히 WSHTCPIP.DLL) 및 WINSOCK, TCP/IP, DHCP 서비스 또는 DNS 값 등이 변조 또는 손상된 경우 발생 가능하며, 아래의 절차를 수행하여 네트워크 환경 복구

   ※ 변조된 시스템 파일이 복구되지 않아 증상이 발생할 경우 표준 환경으로 부팅하여 Windows 설치 미디어(CD/DVD) 삽입 후, 명령 프롬프트(CMD)를 관리자 권한으로 실행하신 다음 SFC /SCANNOW 명령어를 실행, 또는 <문제 12> 참고

   ※ 간혹 네트워크 어댑터가 딥 슬립(Deep Slip) 모드로 변경되어 연결이 불가능해질 수 있으며, 이 경우 장치 관리자에서 사용 중인 네트워크 어댑터 설정 중 '전원 관리' → '전원을 절약하기 위해 컴퓨터가 이 장치를 끌 수 있음' 항목을 해제해야 함

   1) 아래 절차에 따라 'DNS' 설정을 확인 및 변경

      A. '제어판' → '네트워크 및 인터넷' → '네트워크 및 공유 센터' 실행 (또는 NCPA.CPL 실행)
      B. '활성 네트워크 보기'의 '연결' 항목에서 '로컬(또는 무선) 영역 연결' 클릭 (명칭은 다를 수 있음)
      C. 로컬(또는 무선) 영역 연결 상태 창의 '일반' 탭에서 '속성' 버튼 클릭
      D. 속성 창의 '네트워킹' 탭에서 'Internet Protocol Version 4 (TCP/IPv4)' 항목 선택 후 '속성' 버튼 클릭
      E. 속성 창의 '일반' 탭에서 하단 DNS 설정을 '자동으로 DNS 서버 주소 받기' 또는 '다음 DNS 서버 주소 사용'에 체크

         * '다음 DNS 서버 주소 사용'에 체크 시 입력해야 할 IP
           (통신사 또는 네트워크 환경마다 다를 수 있으며, 전용 DNS 주소를 사용하는 회사의 경우는 전용 DNS 주소 입력)

         KT Olleh     = 기본 DNS : 168.126.63.1,   보조 DNS : 168.126.63.2
         SK Broadband = 기본 DNS : 210.220.163.82, 보조 DNS : 219.250.36.130
         LG U+ #1     = 기본 DNS : 164.124.101.2,  보조 DNS : 203.248.252.2
         LG U+ #2     = 기본 DNS : 164.124.107.9,  보조 DNS : 203.248.252.2
         LG U+ #3     = 기본 DNS : 61.41.153.2,    보조 DNS : 1.214.68.2
         Google       = 기본 DNS : 8.8.8.8,        보조 DNS : 8.8.4.4

      F. '확인' 버튼 클릭 후 인터넷 연결 확인

   2) '제어판' → '네트워크 및 인터넷' → '네트워크 및 공유 센터' 창 하단의 '문제 해결' 기능을 통해 점검 진행

   3) 공유기를 사용할 경우, 공유기 재부팅 또는 리셋 버튼을 누른 후 통신 가능 유무 확인

   4) 위의 항목 수행 후에도 연결되지 않을 경우 아래의 명령어를 순차 실행 후 재부팅

      IPCONFIG /REGISTERDNS
      IPCONFIG /FLUSHDNS
      IPCONFIG /RELEASE
      IPCONFIG /RENEW

   5) 4번 항목 수행 후에도 연결되지 않을 경우 아래의 명령어 실행 후 재부팅

      NETSH WINSOCK RESET

   6) 5번 항목 수행 후에도 연결되지 않을 경우 아래의 명령어를 실행 후 재부팅
      (기존 TCP/IP 설정을 수동으로 설정했을 경우 IP, DNS 및 게이트웨이 설정이 초기화되므로 재설정이 필요할 수 있음)

      NETSH INT IP RESET C:\LOG.TXT

   7) 아래에 나열된 파일을 찾아 선택 후 오른쪽 클릭, '속성'을 실행한 다음에 보안 탭에서 '편집' 버튼 클릭

      Windows → System32 폴더 내 NSISVC.DLL
      Windows → System32 → wbem 폴더 내 WMISVC.DLL

      버튼 클릭 후 SYSTEM, Administrators, Users 그룹의 '읽기 및 실행' 권한이 '허용' 설정이 되어있지 않은지 확인하여 허용되어 있지 않을 경우 '허용'으로 설정

      설정 후 재부팅

   8) 7번 항목 수행 후에도 연결되지 않을 경우, 아래 절차에 따라 랜 카드의 '속도 및 이중' 설정 변경

      A. '제어판' → '네트워크 및 인터넷' → '네트워크 및 공유 센터' 실행
      B. '활성 네트워크 보기' 항목에서 '로컬 영역 연결' 클릭 (명칭은 다를 수 있음)
      C. 로컬 영역 연결 상태 창의 '일반' 탭에서 '속성' 버튼 클릭
      D. 로컬 영역 연결 속성 창의 '네트워킹' 탭에서 '구성' 버튼 클릭
      E. 랜 카드 드라이버 속성 창의 '고급' 탭에서 '속도 및 이중' 항목을 선택 후 값을 <1Gbps 전이중/100Mbps 전이중/10Mbps 전이중> 중 한 가지를 선택 (기본값: 자동 교섭)
      F. '확인' 버튼을 누른 후 재부팅

   ※ 네트워크 어댑터 오동작 및 표시되지 않을 경우 <문제 08> 항목을 참고하여 해결
   ※ 어떠한 방법으로도 연결되지 않을 경우, 랜 카드 드라이버를 재설치 또는 운영체제를 이전 시점으로 복원

- - - - - - - - - - - - - - - - - - - - -

■ 문제 08. '네트워크 및 공유 센터'에서 네트워크 어댑터가 표시되지 않거나 동작하지 않을 경우 조치 방법

   1) 네트워크 어댑터 딥 슬립(Deep Slip) 모드 해제

      A. '제어판' → '장치 관리자' 실행
      B. '네트워크 어댑터' 항목에서 현재 사용 중인 장치 선택 후 오른쪽 버튼 클릭
      C. '속성' 메뉴 클릭
      D. '전원 관리' 탭 클릭
      E. '전원을 절약하기 위해 컴퓨터가 이 장치를 끌 수 있음' 항목 체크 해제
      F. 설정 저장 후 재부팅

   2) 명령 프롬프트(CMD)를 관리자 권한으로 실행하여 아래의 명령어 실행 후 재부팅

      REGSVR32 NETSHELL.DLL
      REGSVR32 NETCFGX.DLL
      REGSVR32 NETMAN.DLL

   3) 문제가 해결되지 않을 경우, 아래 절차에 따라 수동으로 '드라이버 소프트웨어 업데이트' 수행 (문제가 발생한 모든 어댑터에 대해 동일한 방법으로 설정)

      A. '제어판' → '장치 관리자' 실행
      B. '네트워크 어댑터' 항목에서 노란색 느낌표 아이콘이 표시 된 장치 선택 후 오른쪽 버튼 클릭
      C. '드라이버 소프트웨어 업데이트' 메뉴 클릭
      D. '컴퓨터에서 드라이버 소프트웨어 찾아보기' 클릭
      E. '컴퓨터의 장치 드라이버 목록에서 직접 선택' 클릭
      F. 현재 장치와 동일한 명칭의 드라이버 선택 후 '다음' 버튼 클릭
      G. 설정 저장 후 재부팅

- - - - - - - - - - - - - - - - - - - - -

■ 문제 09. 스크립트 실행 시 "관리자가 명령 프롬프트를 사용하지 않도록 설정했습니다." 메시지가 표시됩니다.

   동봉된 unlock.reg 레지스트리를 실행/등록 후 검사 진행

- - - - - - - - - - - - - - - - - - - - -

■ 문제 10. 스크립트 실행 시 "시스템 종류 불일치" 오류가 발생합니다. 어떻게 해야 하나요?

   안전 모드로 부팅 후 검사 진행

- - - - - - - - - - - - - - - - - - - - -

■ 문제 11. 인터넷 익스플로러 브라우저가 응답하지 않는 등 이상 증상이 발생합니다. 어떻게 해야 하나요?

   제어판 → 네트워크 및 인터넷 → 인터넷 옵션 → 고급 탭 → 원래대로 버튼을 통해 브라우저 초기화

   ※ 현재 설치되어 있는 어도비 플래시 플레이어(Adobe Flash Player)의 충돌 문제일 수 있으므로, 플래시 플레이어를 삭제 후 재설치

- - - - - - - - - - - - - - - - - - - - -

■ 문제 12. 악성코드 치료/제거 후에 컴퓨터가 비정상적으로 느려졌습니다.

   악성코드가 남기고 간 흔적이나 디스크에 논리적인 오류가 발생한 경우에 나타나는 증상일 가능성이 크므로, 아래의 절차를 수행하여 디스크 오류 제거

   1) 명령 프롬프트(CMD)를 관리자 권한으로 실행
   2) CHKDSK 입력 후 실행 (주의! 배드 섹터가 발견되면 이후의 검사는 중지)
   3) 오류가 발견될 경우, CHKDSK /F (더욱 정밀한 검사를 원할 경우 /F 대신 /R 로 변경) 입력 후 실행
   4) '다음에 시스템이 다시 시작할 때 이 볼륨을 검사하도록 하시겠습니까?' 메시지에서 Y 입력 후 엔터
   5) 재부팅 (운영체제 구동 중간에 디스크 검사 수행, 시간 다소 소요)

   ※ 간혹 디스크의 온도가 높아 느려지는 경우가 있으며, 이 경우는 컴퓨터를 종료시킨 후 약 20분 후에 사용

- - - - - - - - - - - - - - - - - - - - -

■ 문제 13. 스크립트 실행 시 "이 파일을 열 수 없음(없습니다)" 오류가 발생합니다. 어떻게 해야 하나요?

   동봉된 unlock.reg 레지스트리를 실행/등록 후 검사 진행

   등록 후에도 실행되지 않을 경우 Windows → System32 폴더 내에 존재하는 CMD.EXE(명령 프롬프트) 파일이 존재하는지 확인 후, 파일이 존재하지 않을 경우 악성코드에 의하여 삭제된 상태로 정상 파일을 복사하여 사용

- - - - - - - - - - - - - - - - - - - - -

■ 문제 14. 기타 발생할 수 있는 여러가지 문제점을 해결하려면?

   ○ Microsoft 지원 센터 : https://support.microsoft.com

- - - - - - - - - - - - - - - - - - - - -

■ 문제 15. 악성코드 감염이 의심되지만 전혀 탐지되지 않습니다. 어떻게 해야 하나요?

   아래에 안내한 게시물을 참고해주시기 바랍니다.

   ○ 진단되지 않는 악성코드/애드웨어 분석 요청하기 : https://cafe.naver.com/malzero/98809

- - - - - - - - - - - - - - - - - - - - -

■ 문제 16. 데이터베이스(DB) 버전이 오래되었다는 경고 메시지가 표시됩니다. 어떻게 해야 하나요?

   기존에 사용하던 스크립트 삭제 후, 아래의 링크를 통해 새로 업데이트 된 스크립트를 내려받아 사용

   ○ Malware Zero : https://malzero.xyz

- - - - - - - - - - - - - - - - - - - - -