백신 소프트웨어를 최신버전으로 유지하고 실시간 감시기능 사용

[Internet Explorer의 '인터넷' 보안 설정에서 'Active 스크립팅'의 사용을 제한]
1. Internet Explorer의 '도구' 메뉴에서 '인터넷 옵션' 클릭
2. '보안탭' 클릭
3. '인터넷' 아이콘 클릭
4. '사용자 지정 수준' 클릭
5. '스크립팅' 섹션 중 'Active 스크립팅'에서 '확인'을 선택

DEP 보호를 해야 합니다
(시스템 -> 고급 -> 성능(설정) -> 데이터 실행 방지(DEP) 탭에서 사용하도록 설정합니다.

Hosts 파일 수정
현재 공격을 주도하는 사이트로는 wwwwyyyy.cn과 sllwrnm5.cn입니다.
따라서, HOSTS. 파일에 다음의 내용을 추가하여 사용자 피시가 은연 중에 공격 사이트에 접속하지 않도록 방지합니다.
HOSTS 파일 위치는 C:\WINDOWS\system32\drivers\etc\hosts 파일 에 아래 항목을 추가 합니다.
127.0.0.1 wwwwyyyy.cn
127.0.0.1 sllwrnm5.cn

BHO(Browser Helper Object)파일을 이용한 방어
중국 Xfocus 보안 그룹에서 BHO 파일을 이용하여 임시 패치를 하여 방어합니다.

tkBHO.zip

http://moonslab.com/674 블로그 글에서 툴을 발견하고 사용방법을 작성해 봅니다.

중국어로 되있어서 간단한 사용 방법만 몇자 적어봅니다.

우선 프로그램을 실행시키면 중국어로 아래와 같은 배열로 써있습니다.

 시작    IP:     11 22 33 44                                     시작
 끝  IP:     44 33 22 11                                   끝내기

 스캔할컴터수     :    800              포트   :   445

 스캐닝 방식       :        TCP                    SYN

 목마 주소       :  http:/www   google cn server exe

  스캔한 IP:                           취약한   IP:

시작 ip와 끝낼 ip를 입력하시고 스캔하시면 밑에 결과가 표시되는데 이때 스캔이 끝나고 나면 자동으로 연결을 시도합니다. 스캔후 cmd창이 떳다 사라지는것을 반복하는데 이때 자동 연결을 시도하는것입니다.
만약 창이 사라지고 연결상태를 알수 없다면 MS08-068.EXE 를 cmd창에서 ms08-067.exe "공격할 ip" 를 입력하시면 됩니다. 더 자세한 MS08-067.exe 사용법은 http://moonslab.com/670 를 참고하시면 자세히 써있습니다.

ps: 중국어로 압축되어 있어 한국어 판에서 풀면 오류라고 뜨는경우가 있는데 그냥 푸셔서 사용하셔도 무방합니다. 오류 신경쓰지마세요~~ 중국어버전 windows가 있으시면 거기서 실행하면 더 좋고요~ㅎ

이 글을 쓴이유는 이 프로그램을 이용하여 관리하고 있는 컴퓨터들을 진단해 보시라는 뜻에서 쓴것입니다.
악용하여 생기는 모든 문제는 공격하신분이 지셔야 한다는 말 꼭꼭꼭 드리고 싶습니다.^^