Trojan:Win32/Powemet.G!attak 삭제 방법 (How to remove Trojan:Win32/Powemet.G!attak)

 Trojan:Win32/Powement.G!attak 삭제 방법 (How to remove virus)

여동생 매장에 있는 컴퓨터를 살펴보다 이상한 흔적이 있어서 점검해 보니 Trojan:Win32/Powemet.G!attak 바이러스를 확인했습니다.  웬만하면 백신으로 치료가 될 텐데 시간이 지나면 다시 살아나는 fileless 바이러스 같았습니다.

컴퓨터 포맷 없이 바이러스를 제거할 수 있는 방법 소개해 드리겠습니다.

안전모드 부팅 및 Malware Zero 점검

안전 모드로 부팅을 하게 되면 안전 모드에서는 윈도 디펜더가 작동하지 않습니다. 따라서 Malware Zero, Windows Safety Scanner, Stinger, 등의 안티 바이러스 프로그램 최신 버전을 먼저 다운로드해둔 상태에서 안전 모드로 부팅하는 것이 좋습니다.

안전 모드로 부팅하기 위해서는 Win + r, msconfig 입력하여 [부팅]에서 [안전 부팅]을 선택하시고 재부팅하시면 됩니다.

Malware Zero 프로그램의 압축파일을 풀고, start.bat 파일을 선택.
마우스 오른쪽 클릭 - [관리자 권한으로 실행]을 선택합니다.
안내에 따라 시스템을 점검합니다. 시스템의 사양에 따라 점검에 1시간 이상 소요될 수 있습니다.

추가로 Microsoft Safety Scanner로 다시 점검을 하셔도 좋습니다.

바이러스가 완전히 삭제된 이후, C:\Quarantine_MZ 폴더를 삭제하는 것이 좋습니다. 삭제한 바이러스는 검역소에 보관하기 때문에 바이러스 점검 시 이 폴더에 있는 파일이 다시 탐지되기 때문입니다.

컴퓨터 IP 확인 및 Private IP로 변경

[Win + r]을 입력하여 cmd, 명령 터미널을 실행하여 ipconfig 명령어를 입력합니다.

ipconfig 명령어를 실행해서 IPv4 주소에 나오는 IP 주소와 "내 ip"로 조회해서 확인할 수 있는 나의 공인 IP(public IP)가 동일하게 나오는 경우, 컴퓨터의 랜 연결을 조금 바꿔줘야 합니다.

공유기(브리지 모드)에 컴퓨터가 바로 연결되어 있어서 컴퓨터에 공인 IP(Public IP)가 할당된 상태였습니다. 이런 경우 컴퓨터에 취약점이 있는 경우 해커가 직접적으로 컴퓨터를 공격할 수 있습니다. 그렇기 때문에 공인 IP가 아닌 사설 IP로 바꿔주는 것이 좋습니다.

사설 IP로 변경하는 방법은 아주 간단합니다. 모뎀(브리지 모드)에 연결되어 있던 랜 선을 무선 공유기에 바꿔서 연결하면 됩니다. 만약 공유기가 2개가 아닌 1개를 사용한다면 공유기 뒤에 있는 초기화 버튼을 눌러서 공유기를 초기화하시면 됩니다.

컴퓨터에 사설 IP(Private IP)로 할당되면 외부의 해커의 공격으로부터 안전하게 보호받을 수 있습니다. 공격을 하려면 무선 공유기를 먼저 공격해야 가능하기 때문에 안전하게 됩니다.

구라 제거기 실행

한국 공공기관 및 은행의 경우 과도하게 보안 프로그램을 컴퓨터에 설치하게 합니다. 그러나 이 보안 프로그램 자체의 취약점으로 인해서 외부의 해킹 공격으로부터 더욱 취약할 수 있습니다. 따라서 컴퓨터에 설치된 은행 보안 프로그램을 모두 삭제하는 작업이 필요합니다.

Ahnlab Safe Transaction 프로그램은 그대로 남겨둬도 좋습니다. hosts 파일 보호 및 PC 검사 기능을 사용할 수 있습니다.

웹 브라우저에서 "구라 제거기"로 검색하여 공식 사이트에 방문, 최신 버전의 구라 제거기를 다운로드할 수 있습니다.

프로그램을 사용하여 불필요한 뱅킹 관련 보안 프로그램을 모두 삭제합니다.

Ahnlab Safe Transaction 을 삭제하지 않는 이유는 유해 사이트 차단, 위협 행위 차단, hosts 파일 보호 기능을 평소에 이용할 수 있기 때문입니다. 또한 뱅킹 사이트에 로그인하게 되면 방화벽과 PC 검사 기능이 추가로 활성화되기 때문입니다.

Powershell 정책 설정

[Win + r], gpedit.msc를 입력하여 '로컬 그룹 정책 편집기'를 실행합니다.
[관리 템플릿] - [Windows 구성 요소] - [Windows Powershell]를 선택합니다.
[스크립트 실행 켜기]를 선택하여 "사용" - "서명된 스크립트만 허용"으로 변경합니다.
Powershell을 완전히 차단하려면 "사용 안 함"으로 바꿔도 됩니다.

Process 및 Autoruns 점검

컴퓨터를 재부팅하고 자동 실행되는 프로세스에 이상한 프로세스가 있는지 점검합니다. 
Process Explorer를 사용하여 점검할 수 있는 방법은 내용이 길기 때문에 아래 링크를 참고하여 점검해보세요.

https://kaliholic.blogspot.com/2023/10/processexplorer.html

Trojan:Win32/Powemet.G!attak 프로그램의 경우 컴퓨터 전체를 바이러스 점검해도 나오지 않다가 시간이 지나면 윈도 디펜더가 차단했다는 알림이 뜨기도 합니다. 즉, Fileless 방식의 바이러스일 가능성이 매우 높은데요. 이런 경우 Sysinternals에서 Autoruns 프로그램을 다운로드하여 점검하는 것이 좋습니다.

Logon, Explorer, Scheduled Tasks, Services 메뉴를 각각 확인하여  Not Verified로 표시되는 프로세스가 있는지 잘 확인하여 체크박스를 없애거나 확실히 삭제해도 되는 프로그램의 경우 마우스 오른쪽 클릭하여 삭제를 눌러주세요.

Logon에 나오는 cmd.exe 정상 프로그램이니 그대로 두시고 만약 powershell.exe가 자동 실행으로 설정되어 있는 경우 꼭 삭제하시기 바랍니다.

브라우저 확장 프로그램 점검 및 삭제

컴퓨터에 설치된 chrome, edge 등 웹 브라우저 프로그램을 실행하고 설치된 확장 프로그램을 모두 확인합니다. 가능하면 모든 확장 프로그램을 일단 다 삭제하는 것을 추천합니다.

안전하다고 확실히 판단할 수 있는 확장 프로그램만 그대로 남겨두세요.

위 과정을 모두 거친 다음 확인해보니 Trojan:Win32/Powemet.G!attak 차단 알림이 더 이상 나오지 않네요.