Win-Trojan/Hotra.49152의 증상과 복구
- 증상
특정 프로그램이 실행이 안되거나 딜레이현상을 보인다.
- 전파방법
현재 Win-Trojan/Hotra.49152의 전파 경로는 정확히 파악되지 않았고 현재 파악 중이다.
- 실행후 증상
파일이 실행되면 실행된 폴더의 파일을 다음 레지스트리에 추가해 윈도우 시작시 자동실행되게 한다. 보통 윈도우 시스템 폴더(일반적으로 C:WindowsSystem, C:WindowsSystem32, C:WinNTSystem32)에 설치된다.
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run
에 hotdog.exe 등록
다음 파일도 존재할 수 있으며 이들 파일은 데이터 파일이므로 V3 제품군에서 진단/치료(삭제)않는다.
삭제를 원하면 사용자가 직접 파일을 찾아 삭제해줘야한다.
- hotdogid.ini
- config_url.txt
- notify_url.txt
- result.txt
현재 치료방법 입니다.
1. hotdog.exe 프로세서를 중지한다.
(Ctrl+Alt+Del로 Windows 작업 관리자 실행 후 hotdog.exe 종료)
2. 해당 파일을 삭제한다.
윈도우 시스템 폴더에서 hotdog.exe나 extra.exe 종료
WIN98 예 : C:WindowsSYSTEMHOTDOG.EXE
3. 레지스트리 편집기 실행 후(regedit.exe) 해당 레지스트리 값을 삭제한다.
HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run의 hotdog.exe
4. 아래의 파일을 찾아서 삭제 한다.
- hotdogid.ini
- config_url.txt
- notify_url.txt
- result.txt
윈도우 2000과 XP 사용자
시작->실행->regsvr32 /u c:winntsystem32sav12.dll을 실행한다
윈도우 98 사용자
시작->실행->regsvr32 /u c:windowssystemsav12.dll을 실행한다
윈도우 공통사항
시작->실행->regedit 실행후 레지스트리 창에서
HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionexplorerBrowser Helper Objects
하위 디렉토리에 {F6D050E2-42CE-4B27-9588-13FC979FB53D}이런식으로 된 폴더만 삭제하시면 복원이 될것입니다. 보통 내문서나 내컴퓨터등등의 응용프로그램이나 일부프로그램이 동작을 안하거나 딜레이가 심한증상을 나타냅니다.
바이러스 없는 세상의 위하여
출처:안철수랩,하우리,WINBBS입니다.
