[이벤트로그] 윈도우 서버 신규 서비스 생성 확인

이벤트로그 - 신규 서비스 생성 여부 확인

#윈도우 서버 신규 서비스 생성 확인

 

 

서론

최근 악성코드들을 분석하다보면 

서비스를 만들고 그 서비스를 이용해서

악성코드를 다운로드 받고, 예약작업을 생성하는 것을 확인 할 수 있었습니다.

 

또한 악성코드가 원하는 작업이 마무리되면

해당 악성 서비스를 삭제해서 확인에 어려움이 있습니다.

 

악성코드 감염의 시작이라고 할 수 있는

신규 서비스가 생성 유무를 확인할 수 있는 방법을 포스팅 하도록 하겠습니다.

 

신규서비스 생성 확인 방법

가장 먼저 이벤트뷰어를 실행 시킨 후 System 로그에서

서비스 생성 관련 로그만 필터링 해서 확인하면 됩니다.

말로는 간단한데 아래 내용을 보면서 직접 따라해 보시기 바랍니다.

 

1. 실행창(Win + R) 실행

2. eventvwr 

이벤트뷰어 실행

 

3. Windows Logs > System 우클릭 > Filter Current Log 클릭

 

이벤트로그

 

4. Event ID 입력창 > '7045' 입력 > 'OK' 버튼 클릭

이벤트로그 필터

5. 필터 링 된 이벤트 중 하나를 클릭해보면 

   아래와 같이 서비스명, 실행 파일명, 실행한 계정, 컴퓨터 이름 등을 확인 할 수 있습니다.

상세 이벤트로그

 

본인이 서버를 운영하면서 

생성한 서비스가 아닌지, 파일이 악성코드는 아닌지 점검 하신 후

불필요한 서비스나 악성 서비스는 제거해 주시기 바랍니다. 

 

 

마치며

악성코드 분석을 하면서 경험한 꿀팁들은

Security 카테고리에 포스팅하도록 하겠습니다.