lantool...

lsass.exe      : 서비스팩 적용되지 않은 시디의 파일 lsass_sp1a.exe      : 서비스팩 1a 의 파일 lsass_sp2.exe      : 서비스팩 2의 의 파일 lsass_sp3.exe      : 서비스팩 3의 의 파일 (단위 : byte) 크기는 원본과 SP1a와 크기가 같았고, SP2와 SP3의 크기가 같았습니다. (파일크기가 같은 것에 대해서는 이전 버전의 파일을 버전만 바꾸고 그대로 써서 그런 것 같은 생각이 듭니다.) SHA1값은 모두 달랐습니다. SP3을 사용하고 있는데, lsass.exe가 지워졌을 때, 윈도우 설치CD가 서비스팩이 적용안된 원본CD 또는 SP1 CD 일경우 복구콘솔에서 expand 명령으로 CD의 lsass.ex_를 복사하여 복구하기 보단, - IT 전문가 및 개발자용 Windows XP 서비스 팩 3 네트워크 설치 패키지 http://www.microsoft.com/downloads/details.aspx?FamilyID=5b33b5a8-5e76-401f-be08-1e1555d4f3d4&displaylang=ko 위의 웹사이트에서 파일을 받아 /x 옵션으로 설치파일의 압축을 풀어 lsass.ex_를 USB 메모리나 플로피디스켓에 저장해두고 윈도우 설치시디로 복구콘솔 부팅하여 복구하는 것이 좋겠다는 생각이 듭니다. 복구콘솔에서도 USB메모리 인식 하더라구요.. ( SP2 CD였어도 ... SP3의 lsass.exe로 복구하는 것이 좋을 것 같구요.) 2008-07-19 15:25:12

컴퓨터간 네트워크 환경이 구축되어있고, lsass.exe가 삭제된 네트워크 (PXE)부팅이 가능한 컴퓨터들이 TFTPD32가 실행되고 있는 컴퓨터에 저장되어있는 안랩 부팅 복구CD이미지파일을 네트워크를 통해 전송받아와서 부팅하여 실행하게 하려는 것이 목표.. TFTPD32 홈페이지에서 프로그램 받아다가 설치하고 실행해서                      .\TFTPD32\ IP/DHCP설정 맞춰준다음. http://www.kernel.org/pub/linux/utils/boot/syslinux/ 경로의 syslinux-3.55.zip 파일압축 내용 또는 안영혁님 블로그. 첨부 압축파일내용 중 memdisk,                      .\TFTPD32\ pxelinux.0,                      .\TFTPD32\ 위 2개 파일과 pxelinux.cfg폴더를 만들고 그안에 default파일을 생성해서 내용를 아래와 같이 수정하면 .\TFTPD32\pxelinux.cfg\ 경로에 아래와 같은 내용의 default 파일 만들기 ------------------------------ default ahnlab label ahnlab kernel memdisk append ini...

간간히 가던 T모 사이트에서 바이러스가 발견된다는 자유게시판 글을 읽고 임시파일 폴더를 뒤져봤습니다. 1) 사이트의 index를 의미하는 것 같다고 생각되는 곳에 붉은 상자안의 내용과 같은 코드가 삽입되어있었습니다. 2) b.js의 내용 3) 인터넷 임시폴더에서 관련 항목이 확인 됨 4) index[1].htm의 내용 일부 위의 읽기 어렵게 만든 코드를 해독하고 싶은데... 이런 경우는 어떻게 해야하는지 모르겠습니다. 2008-06-28 22:32:56

구글 돌아다니다 발견했는데, 울지않는 벌새 님 블로그 Analysis항목 링크 요즘 해킹된 웹사이트와 그에대한 분석, 스크립트에 의해 다운로드되는 파일의 행동까지 자세히 분석되어있네요. (파일생성, 프로세서생성, 레지스트리 생성) 자주 들러볼만한 블로그 같습니다. 2008-06-28 15:42:14

웹을 돌아다니다 악성 iframe 이 삽입된 사이트페이지를 또 발견했습니다. 하루에만 2번이나 보게되니... 단순히 넘어갈 문제가 아닌 것 같습니다. ---------------------------------------------------------------- 특정 웹페이지 내용에 삽입되어있던 iframe 태그 부분 ---------------------------------------------------------------- 먼저 봤던 사이트는 그냥 하단에 하나 보였는데.. 이번 사이트는 5개는 중복되서 삽입되어 있었습니다. *h?*p://?*.*2.7*.3*/index.htm 파일의 내용. 이번에는 단순히 xmp태그를 document.write 끝 양단에 씌우기보단 unescape 함수를 4번 실행하고, 그 결과를 xmp태그로 화면에 그대로 출력하는 방법으로 내용보기에 성공했습니다. (alert로 단순 출력했을 때는, 바뀌지 않고 그대로여서 왜 바뀌않지?하고.. 고생했네요.) * 변환하기위해 약간의 수정.(붉은 상자 내용처럼) * IE7로 출력 이번에 이 코드를 삽입한 사람은 개행문자나 공백문자로 혼동되게는 하지 않은 것 같습니다. 소스 부분이 아주 깔끔하게 출력되었습니다. 깔끔하게는 출력되었지만 뭘하려는 의미인지는 ㅠㅠ... * 해석된 코드의 h.exe을 다운로드하여 virscan.org에서 검사했습니다. 느낀점.. avast 무료로도 배포하면서도... 은근히 좋은 것 같음... 추가사항 바이러스 체이서에는 어떻게 나올까싶어 확인해봤습니다. 잘 검출해냈고... 치료버튼 누르니 치료가 불가능한 파일 (그자체가 바이러스파일이니...) 이라고 나오고 제거했습니다. 3개밖에 시험해보지 않았지만, 모두 검색해내니.. 기분이 좋네요. 2008-06-28 04:05:25

제 컴퓨터 환경 : XP SP3 업데이트 최신, Flash 업데이트 최신 사  용     백  신 : 노턴 인터넷 시큐리티 2008/ 바이러스체이서 USB 인터넷 돌아다니다가 s********r.com 이 문제있는 사이트라고 들어서 사이트를 돌아다녀 봤습니다. 사이트 링크 몇 군데 돌아다니다가... ------------------------------------------------------------------------------ Microsoft Corporation에서 배포한 MIcrosoft Data Access -Remote Data Services Dat...' 추가기능을 실행하려고 합니다. 이 웹 사이 트와 추가 기능을 신뢰할 수 있고 실행을 허용하는 경우 여기를 클릭하십시오 . ------------------------------------------------------------------------------ IE7에서 이말이 상단에 출력되서... 바로 Temporary Internet Files에 들어가서 다운로드된 임시 폴더를 확인해봤습니다. 임시 파일 중 수상한 부분이 발견되었는데... 대부분 다운로드된 임시파일 경로는 s**********r.com 이였지만, xml.htm 이라는 파일은 경로가 h**p://***.230.98.20/xml/xml/xml.htm 위와 같았습니다. 이 xml.htm 을 불러오는 부분을 확인하기위해 이전에 엑세스된 파일들을 열어보다가 http://www.s**********r.com/innerMenu.htm 란 파일의 내용을 보다가 맨 아래부분의 문제가 있는 부분을 발견했습니다. ---------------------------------------------------------- * innerMenu.htm 의 최하단부 내용. ----------------------------------...

저도 이런 문제가 있는 줄은 처음에는 몰랐습니다.(노턴은 모른다네요 ㅠㅠ) 그런데.. 어떤 분이 알약에서 BScroll.js가 Trojan.JS.PWA로 경고뜬다는 글을 보고, BScroll.js를 받아서 www.virscan.org 로 검색도 해보고, [BScroll.js파일 Virscan.org에서 검사결과] http://keben.kbench.com/talk/?bc=1&code=2302142 [BScroll.js에 추가된 이상한 문자열.] http://keben.kbench.com/talk/?bc=1&code=2302161 BScroll.js에 추가된 이상한 문자열을XMP태그를 이용하여 내용을 보기도 했습니다. (해석된 내용이 무엇을 하려는 것인지는 잘 모릅니다.ㅠㅠ) 해석된 내용을 개행된 부분정도만 편집해서 HTML파일로 저장할때 avast 실시간 감지에서 트로이목마 경고를 냈고, 해석된 내용중.. 링크에 2008051464540.flv 파일의 링크가 있어서 그 파일을 다시 virscan.org로 검사했는데, 총 36개의 바이러스프로그램 중에 16개 프로그램에서 진단되었습니다.(44%), 파일형식이 MS-DOS Executable로 나와 실행파일인 것 같은 생각이 들어 Exe파일로 변경하고 실행해봤습니다. 그러자 이것도 avast실시간 감지에서 트로이목마가 발견되었다고 하더군요.. BScroll.js의 이상한 문자열 내용은 의심스럽지만, avast에서 그동안 메시지를 본적이 없는 것으로 봐선.. 실제로 flv 파일이 전송된 적은 없는 것 같습니다. (avast 웹스캐너 및 다른 실시간 감지도 실행하고 있었거든요.) [BScroll.js 이상한 문자열부분 그나마 보이게.. ] http://keben.kbench.com/talk/?bc=1&code=2302182 처음 그문제가 신고되고나서 BScrol...