얼마전에
와이프가 와우 계정 해킹 당했습니다.
찾아보니.. 한번 털린 사람은 또 털릴 가능성이 있는 것으로 보아
애드온이나 다른 방법으로 키로거를 삽입시키는데..
너무 심하게 많이 털린다 싶어 좀 알아봤습니다.
역시나
와우에 관련된 계정정보만 빼가는 키로거가 따로 있더군요! -_-; 후... 보안프로그램으로도 안잡히는게 있을겁니다 아마.
현재까지 파악된 리스트를 뽑았습니다.
와우 패스워드 스틸을 목적으로 한 키로거만 해도 꽤 됩니다
와우 계정정보DB를 실시간으로 select 할수있는 서버쪽에 심어져있지 않은 이상..
이건 있다면 블코에서 찾았을껍니다. 아마 찾아도 얘기 안하겠죠. 바로 소송감이니..
찾았어도 조용히 지웠을겁니다. 소위 말하는 짬시키기;;
그러니까 이시점에서 해킹당한 후 변경한 비번까지 알아내는건 힘들겠죠.
그러니까..
최근에 한번 털리고 비번 바꿨는데 또 털렸다.
이러면 거의 100% 키로거입니다 -_-;찾아서 안지우시면 또 털릴겁니다;;Ctrl+Alt+Del 을 눌러 혹시 작업관리자 프로세스에 아래와 같은 프로그램이 떠있지 않은지 확인바랍니다.
만약 있다면.. 파란색 박스로 키로거 프로그램의 위치입니다.
발견시 꼭 삭제해주세요.
한번씩 체크해 보시기 바랍니다.
* 도움이 되는 정보라고 생각되시면
추천해주세요.
보다 많은 분들이 보시고 피해 안당하셨으면 좋겠습니다.
아래 적어둔거 전부 와우 전용으로 제작된겁니다. 추가 발견하는대로 계속 갱신할께요.
다시 한번 말씀드리지만 발견 시 꼭 삭제해주세요.exeroute.exe
C:\Windows\System32\exeroute.exe
explorewb.exe
C:\Program Files\explorewb.exe
gewow.exe
C:\Windows\System32\gewow.exe
Launcher.exe
C:\Windows\System32\Launcher.exe
LSASS.exe
C:\Windows\LSASS.exe 혹은
(C:\Windows\system32\lsass.exe에 있는건 지우지 마세요)
mppds.exe
C:\Windows\mppds.exe
smss.exe
C:\Windows\smss.exe
svch0st.exe
C:\Windows\System32\svch0st.exe
svchqs.exe
C:\Windows\System32\svchqs.exe
taskmar.exe
C:\Windows\System32\taskmar.exe
WINLOGON.EXE
C:\WINDOWS\WINLOGON.EXE
winwork.exe
C:\Windows\System32\winwork.exe
EXE 형태가 아닌것들.. 레지스트리에서 삭제해야합니다.
Timer Service
레지스트리에 삽입
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
Timer Service
Srvpl0.dll
rundll32.exe Srvpl0.dll,start WinLogon.exe 형태로 자동실행 시키는 듯 합니다. WinLogon.exe과 같이 돌아가는듯 하네요.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
에서 시작하고 있지 않은지 파악
