본문 바로가기

kill.sys

벌새::Analysis 2012. 7. 16. 22:48 ASD 진단 방해 기능을 추가한 온라인 게임핵 유포 주의 (2012.7.16) 최근 안랩(AhnLab) 백신의 ASD 기능 향상을 통한 진단 능력이 강화되면서 주말을 중심으로 활발하게 유포가 이루어지고 있는 중국발 온라인 게임핵 악성코드가 변화를 시도하였습니다. 이번 변화는 감염시 호스트 파일(C:\WINDOWS\system32\drivers\etc\hosts) 변조를 통해 AhnLab V3 백신 프로그램을 사용하는 사용자가 ASD 서버와 연결되지 못하도록 "127.0.0.1 gms.ahnlab.com"을 추가한 방식이 등장하였습니다. 예를 들어 정상적인 PC 환경에서는 ASD 서버로 핑(Ping)을 전송하면 ASD 서버의 응답을 받을 수 있습니다. 하지만 감염 과정에서 호스트 파일이 변조된 PC 환경에서는 AhnLab V3 백신 프로그램이 ASD 서버에 연결을 시도할 경우, 호스..
벌새::Analysis 2012. 7. 13. 16:59 가짜 Microsoft Internet Explorer 웹 사이트를 이용한 온라인 게임핵 유포 주의 (2012.7.13) 2012년 5월 24일에 해외에서 등록된 가짜 Microsoft Internet Explorer 웹 사이트를 이용하여 Oracle JRE 취약점 및 제공되는 Internet Explorer 9.0 설치 파일을 이용하여 온라인 게임핵을 유포하는 행위를 확인하였습니다. 특히 해당 유포에서는 국내 도메인 서비스를 운영하는 W 업체의 웹로그 서버가 해킹되어 숙주로 악용되는 부분이 확인되고 있습니다. 현재 유포가 이루어지고 있는 웹 사이트 모습을 살펴보면 Microsoft Internet Explorer 웹 사이트처럼 구성되어 있으며, 아마 국내 인터넷 사이트 게시판(게시글) 등을 통해 접속을 유도하지 않았을까 추정됩니다. 해당 웹 사이트에서는 "Internet Explorer 9 다운로드" 버튼을 클릭할 경우 ..
벌새::Analysis 2012. 1. 27. 15:40 MIDI 취약점을 이용한 정보 탈취 악성코드 유포 주의 (2012.1.27) 마이크로소프트(Microsoft)사의 2012년 1월 정기 보안 업데이트에서는 "MS12-004 : Windows Media의 취약점으로 인한 원격 코드 실행 문제점(2636391)"와 관련된 긴급 보안 패치를 배포하였습니다. 마이크로소프트(Microsoft) 2012년 1월 보안 업데이트 (2012.1.11) 해당 보안 패치는 MIDI(Musical Instrument Digital Interface) 파일 포멧의 취약점을 이용하여 원격 코드 실행이 가능한 CVE-2012-0003 취약점에 대한 문제가 해결되었으며, 2012년 1월 20일경부터 해당 취약점을 이용한 정보 탈취 목적의 악성코드 유포가 국내 인터넷 사용자를 표적으로 유포가 이루어지기 시작한 것으로 추정됩니다. [긴급] MIDI 원격 코드 ..
벌새::Analysis 2011. 12. 10. 19:50 Oracle JRE 취약점을 이용한 온라인 게임 악성코드 유포 주의 (2011.12.10) 이번 주말을 이용하여 유포가 이루어지고 있는 온라인 게임 및 문화 상품권 계정 탈취 목적의 악성코드 유포 방식이 Oracle JRE(Java Runtime Environment) 취약점(CVE-2011-3544)을 이용하고 있는 부분을 확인하였습니다. 업데이트 : Java SE Runtime Environment(JRE) 6 Update 29 & 7 Update 1 (2011.10.19) Oracle JRE 플러그인 취약점과 관련하여 10월 19일에 최신 보안 패치를 공개하였으며, JRE 6 Update 27 또는 JRE 7 Java SE 이하 버전을 사용하는 사용자의 경우 자동으로 감염될 것으로 추정됩니다. 기존의 경우 Adobe Flash Player 취약점과 Internet Explorer 웹 브라..
벌새::Analysis 2011. 11. 20. 13:46 포털 사이트 메인 광고 배너를 통한 악성코드 유포 주의 (2011.11.20) 2011년 10월 하순경부터 주말을 기점으로 네이버(Naver) 메인 화면에 접속을 할 경우 avast! 보안 제품에서 JS:Iframe-DO [Trj] 진단명으로 악성코드 진단을 한다는 정보가 나오기 시작하였습니다. 어베스트가 계속 특정페이지만 이러한 창이뜹니다 (2011.10.22) 당시 개인적으로 확인하였을 때에는 유포 지점을 정확하게 찾을 수 없었으며, 메인 화면에 포함된 특정 외부 광고 또는 인터넷 쇼핑몰과 관련된 링크를 통해 불규칙적으로 구현되는 증상이 아닌가 의심이 되었습니다. 그러다가 어제(19일) 저녁 네이버 메인 화면에 접속할 경우 Kaspersky 보안 제품에서 HEUR:Trojan.Script.Iframer 진단명으로 또 다시 진단되는 이슈가 발생하여 유포와 관련된 부분을 확인하였습..
벌새::Analysis 2011. 11. 13. 12:25 kill.sys, ws2help.dll 파일을 이용한 계정 정보 수집 주의 (2011.11.13) 최근 중국발 악성코드 유포 과정에서 알약(ALYac) 2.1.0.3 최신 버전이 설치된 환경에서 감염이 발생할 경우, kill.sys 악성 드라이버 파일을 이용하여 국내 보안 제품을 무력화한 후 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일을 패치하는 악성코드 유포 행위가 확인되었습니다. 사용자 입장에서는 악성코드를 유포하는 사이트에 접속할 경우 알약(ALYac), AhnLab V3 보안 제품의 트레이 아이콘과 Internet Explorer 웹 브라우저가 죽는 현상으로 감염 여부를 경험할 수 있습니다. kill.sys 파일을 이용한 "MajorFunction Hook & Kill AntiVirus Process" (2011.11.13)이에 ..

티스토리툴바