시작페이지 공백(Start Page: about:blank) 현상 진단

[손님]

우선 감염처에 대한 정확한 보고는 없습니다.
주로 외국의 사이트를 검색하다가 걸렸다는 사례도 있고 다양했습니다.

ad-aware로 진단된 명칭은 "Possible Browser Hijack attempt"입니다.
레지스트리상에서
HKEY_CURRENT_USER:SoftwareMicrosoftInternet ExplorerMain"Search Page"
HKEY_CURRENT_USER:SoftwareMicrosoftInternet ExplorerMain"Search Bar"
HKEY_CURRENT_USER:SoftwareMicrosoftInternet ExplorerSearch"SearchAssistant"
HKEY_CURRENT_USER:SoftwareMicrosoftInternet ExplorerMain"Start Page"

이렇게 네 곳에 악성코드를 삽입합니다. 즉, 인터넷 익스플로러의 시작 페이지를 공백으로 만들고 검색바 및 창(팝업창)을 통해서 특정사이트로 접속하도록 만드는 것이 일반적인 증상입니다.

시스템에 심각한 영향을 주지는 않지만 등급은 중간 정도로 분류돼 있더군요.
또한 인터넷 익스플로러를 비롯한 웹 브라우져의 성능을 떨어뜨립니다.(창열기나 이동, 새 창 열기에서 약간의 딜레이가 생깁니다.)

위의 네 가지 결과는 ad-aware로 진단했기 때문에 다른 진단프로그램의 경우는 어떠한 결과를 보일지 모르겠습니다.

국내의 ad/spyware 관련 프로그램의 경우 이를 제대로 검색하지 못한다는 의견이 있기도 합니다.

ad-aware 포럼에 가 보니 이에 대한 대응책이 있어서 옮겨 봅니다.
우선 이러한 악성코드를 가리켜 CoolWebSearch(CWS) Hijacker라고 합니다.

일반적으로 위와 같은 증상을 보이며 특정 증상을 소개하면 다음과 같습니다.

1. CoolWebSearch 관련 페이지로 이동시킴

2. 잘못 타이핑된 URL일 경우 CWS로 이동시킴

3. Google 방문시 이동시킴

4. 타이핑 시 인터넷 익스플로러를 느리게 함

5. 시스템 재시작시 인터넷 익스플로러의 시작 및 검색 페이지를 변경함

6. Google 또는 야후에서 검색하면 팝업창이 뜸

7. WIN.INI 또는 IEDLL.EXE 에러를 발생시킴

8. 인터넷 익스플로러 옵션 내에 특정 아이템을 변경하거나 볼수 없음

9. 인터넷 익스플로러 옵션에 접근할 수 없음
<http://www.ulsannetwork.net//read.cgi?board=win_pds&y_number=437>를 참조합니다.

특정사이트 접속 및 시스템 성능 저하라고 보면 되겠네요.


해결방안.
제가 사용해 본 Spyware Blaster와 Spyware Adware Remover 이 둘 모두 검색조차 하지 못했습니다. ad-aware만이 검색하고 제거할 수 있었습니다.

ad-aware 미사용자의 경우 http://www.lavasoft.com에서 ad-aware 6.0 버전을 받아서 설치합니다. 설치 완료 후 업데이트 실시로 reference화일을 첨부받아서 최신버전으로 유지합니다.

컴퓨터 내에 설치된 프로그램의 수에 따라 검색시간이 다르겠지만 10분 내외로 걸립니다.
검색이 끝나면 위에 열거된 4개의 목록이 보일 것입니다. 항목들을 체크해서 제거하지 말고 "무시목록에 추가하기(Add selection to ignorelist)"를 선택하면 됩니다.

무시목록이라는 것이 향후 검색에서 무시할 만큼 중요하지 않기 때문에 제외하겠다는 뜻인지, 일종의 특별관리대상으로 빼놓겠다는 의미인지는 정확하게 모릅니다.

일단 증상을 치료한 저로서는 무시목록이라는 것을 후자의 목록으로 받아들이고 있습니다.

CWS hijacker의 치료툴로 cwshredder158.exe, spy-bot 등이 소개됐지만 재부팅 후 소용없어졌다는 점에서 ad-aware가 방법일 듯 싶습니다.

글이 길어졌네요. ^^;