Sasser 웜 바이러스와 그 변종들이 모든 PC 산업에 영향을 미치고 있는데, 특히, Windows 2000,
Windows XP가 설치되어 있는 PC가 영향을 받을 수 있습니다.
이 문서는 사용자가 이 바이러스에 대해서 이해를 하며, 바이러스에 감염된 PC로부터 바이러스를 제거하는 방법과 미래에 이와 유사한
바이러스에 대비할 수 있도록 돕기위한 것입니다.
참고 :
이러한 웜 바이러스는 특정 웹사이트로의 웹 트래픽을 증가시키기 위해서 만들어 집니다. 웹 트래픽의 증가가
Microsoft Update사이트가 되었을 경우에는 MS 보안 패치를 다운받는데에 시간이 많이 걸리수 있습니다. 또는
웹에 접속을 시도하더라도 정상적으로 그 웹 사이트가 나타나지 않을 수도 있습니다. 이러한 상황이 되었을 경우에는 잠시
뒤에 접속을 다시 해보시거나, 인내심을 갖고 정상적으로 표시될 때까지 기다려 주시는 것이 필요합니다.
웜바이러스에 대한 개요
Sasser 웜의 증상은 다음과 같습니다.
PC가 느려지거나, 동작하지 않는 것처럼 보입니다. 특히,
인터넷에 접속했을 때 증상이 뚜렷이 나타납니다.
시스템 종료가 NT AUTHORITY\SYSTEM에 의해서
시작되었다는 시스템 종료창과 함께 PC가 종료되거나 재부팅 됩니다.
그림 1: 시스템 종료
PC를 정상적으로 종료하려고 했을 때에, 사용자가 권한이 없다는
메시지를 보여줄 수 있습니다. PC를 종료하기 위해서 전원 버튼을 7초동안 누르고 있어야 할 수 있습니다. 또는 PC를
종료하는데에 시간이 오래 걸릴 수 있습니다.
"LSA Shell(Export Version)에 문제가 있어서
프로그램을종료해야 합니다."와 같은 메시지가 나타납니다.
그림 2: LSA Shell ( Export Version )
이 에러는 Sasser라고 알려진 웜에 의해서 발생된 것입니다. 이 웜은 Windows 2000, Windows XP의 보안상의
취약점을 이용하는 것입니다. 이러한 보안상의 취약점을 제거하기 위해서는 Microsoft사의 보안 패치를 설치해야 합니다.
MS사의 윈도우즈의 LSASS(Local security Authority Subsystem Service) 취약점을 이용하여
전파됩니다. (자세한 정보는 MS 보안 게시판
MS04-011 을 참조합니다. )
PC를 Microsoft사의 최신 보안 패치로 업데이트를 하거나, 감염되어 있는 웜 바이러스를 제거하기 위해서는 아래의 방법을
참조합니다.
웜 바이러스 제거하는 방법
아래에서 설명하고 있는 방법을 단계적으로 밟아가시면, PC가 재부팅 되는 증상을 없애실 수 있으며, 감염된 바이러스를 삭제하고,
바이러스의 재감염등을 예방하실 수 있습니다. 그러나, 바이러스가 다른 형태의 변종들로 존재할수 있기 때문에 이 과정이 100%
성공함을 보증하지는 않습니다.
참고 :
아래의 단계를 따라가면서 작업을 하시려면, 시스템 관리자의 권한을 가진 사용자로 로그인을 하셔야 하며, 임의의 바이러스
치료 프로그램을 사용하고 있어야 합니다.
참고 :
PC에 대한 AS를 받게되거나, 시스템 복구 과정이 수행된다면, PC는 처음 구입하셨을때의 상태로 초기화가 됩니다.
기존에 사용해 오셨었던 사용자 프로그램, 드라이버 업데이트, Microsoft 보안 패치등은 모두 사라지게 됩니다.
이러한 초기화 상태가 되었을 경우에는, 바이러스에 의해서 감염될 가능성이 매우 높아지게 됩니다. 따라서, 시스템 복구
과정등을 통해서 초기화가 되었을 경우에는 반드시 아래에서 설명하고 있는 순서대로 PC를 업데이트 해야 합니다.
시작 - 실행을 선택합니다. 열기(O) 항목에
shutdown -a 라고 입력하고 나서, 확인을 합니다.
이 과정은 Microsoft사로부터 보안 패치를 다운받는 동안,
PC가 재부팅되지 않도록 막아 줍니다. 위의 Figure 1 (그림 1). 시스템 종료 메시지 창이 나올 경우, 다시 한번
이 과정을 반복해 줍니다.
방화벽을 활성화 합니다. Microsoft Windows XP는
방화벽 설정기능을 지원합니다. Windows XP 방화벽을 활성화하기 위해서는 다음 단계를 따릅니다.
시작 - 제어판을 선택합니다.
네트웍 및 인터넷 연결 - 네트웍 연결을
선택합니다.
로컬 영역 연결 아이콘을 오른 쪽 마우스 버튼으로
클릭하고 나서, 속성을 선택합니다.
로컬 영역 연결 속성 창이 나타나면, 고급
항목으로 이동합니다. '인터넷에서 이 컴퓨터에 액세스 하는 것을 제한하거나 금지하여 내 컴퓨터 및 네트웍크 보호'에
체크 표시를 하고나서 확인을 선택합니다. 이제 방화벽을 활성화 했습니다. 다음 단계를 따라 진행을
계속합니다.
Ctrl 키와 Alt키를 누르고 있으면서, Delete키를
누릅니다.
Windows 작업 관리자 창이 나타나면,
프로세스 항목을 선택합니다.
참고 :
Windows 작업 관리자 창이 나타나지 않고, Windows 보안 창이 나타나면,
작업 관리자를 선택후에, 프로세스를 선택합니다.
리스트에서 아래와 같은 항목을 선택 후, 프로세스 끝내기를
선택합니다. 프로세스의 리스트 중에 아래에서 언급한 항목들이 모두 제거될 때까지 반복합니다.
"AVSERVE"로 시작하는 것 또는
"avserve2.exe"
"skynetave.exe"로 시작하는 것
"_UP.exe"로 끝나는 것
Windows Update 를 이용해서 최신 중요 업데이트를 설치합니다. Sasser 웜 바이러스를 예방할 수 있는
Microsoft 보안 패치는 아래 링크에서 다운로드 받을 수 있습니다.
Windows Update하는 방법에 대해서는 '
Windows Update를 이용한 드라이버 및 소프트웨어 업데이트 하기 '라는 문서를 참고해 주십시요.검색이
완료되면, 중요 업데이트 및 서비스 팩 항목에서 보안 업데이트들을 모두 설치합니다. Windows
Update를 자주 하시면, 거의 대부분의 보안상의 취약점들을 예방하실 수 있습니다.
PC에 설치되어 있는 바이러스 치료 프로그램을 최신 버전으로
업데이트 한 후에, 바이러스의 치료를 합니다. 국내에서 가장 많이 사용하고 있는 바이러스 백신 회사들은 아래와 같습니다.
아래 업체에서 제공하고 있는 Sasser 치료 프로그램을 이용하셔도 됩니다.
W32.Sasser 웜을 방어하는 패치가 설치되어 있는지를 확인하려면, 시작-제어판-프로그램
추가/제거로 가셔서, Windows XP 핫 픽스- KB835732가 설치되어 있는지를
확인하면 됩니다. 해당 패치가 설치되어 있는 PC는 이 문서에서 설명한 Sasser 웜에 대해서는
방어가 되어있는 상태입니다.
Sasser 웜의 감염에 의해서 인터넷 연결이 불가능할 경우에는, 정상적으로 동작되는 다른 PC에서 위에서
설명한 단계 6의 MS 보안 패치 파일과 단계 7에서 설명한 해당 업체들로부터 해당 바이러스
제거 전용 프로그램을 다운받은 후에, 웜에 감염되어 있는 PC의 치료와 패치 설치 작업을 해 주십시요.
PC에서 웜의 치료와 패치 작업이 완료될 때 까지는 인터넷 선을 빼 놓으신 상태에서 작업을 하십시요
추천 : 
