본문 바로가기

POSTMEDIA Co.

벌새::Analysis 2015. 3. 19. 22:02 싸이월드(Cyworld)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.19) 지속적으로 발견되고 있는 네이버(Naver) 지식iN의 답변글을 통해 다수의 국내 광고 프로그램을 설치하도록 할 목적으로 제작된 파일을 홍보하는 활동이 싸이월드(Cyworld) 서비스를 활용하고 있는 부분을 추가적으로 확인하였습니다. 텀블러(Tumblr)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.18) 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2.13) 이번 홍보에서는 Adobe Flash Player 10 버전 다운로드가 필요하다는 홍보성 질문글을 올린 후 다른 아이디(ID)를 이용하여 답변글을 다는 방식이며, 이를 통해 네이버 QR코드가 포함된 링크(URL)를 통해 다음과 같은 특정 네이버(Naver) 블로그 계정으로 연결이 이루어집니다.연결된 네이버 블로그 게시..
벌새::Analysis 2015. 3. 18. 19:39 텀블러(Tumblr)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.18) 네이버(Naver) 지식iN을 활용한 국내 광고 프로그램 배포 방식은 기존부터 블로그를 통해 소개한 적이 있었습니다. 네이버 지식인 답변글을 이용한 제휴 프로그램 유포 주의 (2013.9.27) 네이버 지식인 출처 링크를 이용한 국내 애드웨어 유포 사례 (2014.2.24) 최근 확인된 지식iN 질문과 답변을 이용하여 특정 파일을 다운로드하도록 하는 과정에서 해외 텀블러(Tumblr) 서비스를 활용하는 부분이 있기에 살펴보도록 하겠습니다. 압축 파일의 비밀번호 분실로 인해 암호 해제 프로그램에 대한 질문글(※ 광고 배포 조직이 질문글을 작성한 것으로 추정)에 대하여 "zip 암호 풀기"라는 링크(URL)가 포함된 답변글을 작성합니다. 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2...
벌새::Analysis 2015. 3. 15. 20:17 국내 유명 보안 블로그 접속을 체크하는 국내 악성 시스템 최적화 프로그램 (2015.3.14) 최근 Ec0nomist's Lab. 블로그를 통해 국내에서 유포되는 스마트 프로세스(Smart Process)라는 시스템 최적화 프로그램이 보안 블로그 접속을 감시하는 등의 매우 의심스러운 동작을 한다는 정보가 공개되었습니다. 스마트 프로세스 애드웨어에서 탐지하는 사이트 및 분석 도구 (2015.3.10) 스마트 프로세스(Smart Process)는 2015년 2월경부터 유포가 이루어지고 있었던 것으로 기억되고 있으며, Ec0nomist님의 분석 내용처럼 전형적인 악성코드의 냄새를 풍기고 있기에 관련된 정보를 살펴보도록 하겠습니다. 대표적인 배포 방식을 확인해보면 블로그 또는 공개 자료실을 통해 다운로드되는 "Postmedia Co.,Ltd" 디지털 서명이 포함된 파일 실행시 사용자가 제대로 인지하지 못..
벌새::Analysis 2015. 1. 26. 19:21 검색 도우미 : Windows Smart Shopper 시스템 트레이 알림 아이콘 상단에 다양한 광고 팝업창을 생성하는 국내에서 제작된 "Windows Smart Shopper" 광고 프로그램(SHA-1 : 597a15763f5fd2efe6a747c6692195c1347a1762)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\SmartShoper C:\Program Files\SmartShoper\smartshoper.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스 C:\Program Files\SmartShoper\uninstall.exe :: 프로그램 삭제 파일 "Postmedia Co.,Ltd" 디지털 서명이 포함된 "Windows Smart Shopper" 광고 프로그램은 "C:\Progr..
벌새::Analysis 2014. 8. 25. 12:25 웹 브라우저 체크를 통한 광고 프로그램 다운로드 방식 변경 (2014.8.25) 국내 광고 프로그램 배포 방식 중 가장 대표적인 스팸(Spam) 블로그에 게시된 단축 URL 주소(me2.do)를 이용한 파일 다운로드 방식이 이유를 알 수 없는 변화가 이루어진 부분이 확인되어 살펴보도록 하겠습니다. 예를 들어 특정 다음(Daum) 블로그에 게시된 AVG 무료 백신 관련 게시글에 포함된 ZIP 압축 파일처럼 사용자를 속이는 파일 다운로드 링크를 확인할 수 있습니다. 해당 다운로드 링크 주소를 확인해보니 매우 많이 발견되는 me2.do 단축 URL 주소를 이용한 방식임을 알 수 있습니다. Internet Explorer 11 버전을 이용하여 다운로드 링크를 클릭할 경우 파일 다운로드가 이루어지는 것이 아닌 네이버 소프트웨어(Naver Software) 자료실에 등록된 "AVG 안티바이러스..
벌새::Analysis 2013. 10. 16. 19:53 검색 도우미 : ISyncz 인터넷 검색시 자동으로 추가적인 광고창을 생성하는 검색 도우미 ISyncz 프로그램의 유포 방식과 동작에 대해 살펴보도록 하겠습니다. 대표적인 유포 방식은 국내 대부분의 광고 프로그램이 애용하는 대량의 스팸(Spam) 블로그를 통해 첨부 파일 또는 파일 자료실 관련 링크를 통해 설치 파일을 다운로드하도록 되어 있습니다. 그 중에서도 흥미로운 유포 방식으로는 블로그 첨부 파일을 비밀번호(1111)로 보호된 ZIP 압축 파일로 제작한 부분에 대해 살펴보도록 하겠습니다. 다운로드된 압축 파일(프로세스클린_다운.zip)을 해제할 때에는 블로그에서 제공하는 비밀번호(1111)를 입력하도록 되어 있으며, 이는 최초 파일을 다운로드할 때 보안 제품 또는 웹 브라우저에서 차단하는 것을 예방할 목적이 아닌가 싶습니다. ..

티스토리툴바