본문 바로가기

모든 사용자의 프로세스 표시

벌새::Analysis 2016. 1. 20. 20:11 검색 도우미 : smart cam bridge on service 특정 웹 사이트 접속 또는 인터넷 검색시 광고 배너(창)가 생성될 수 있는 국내에서 제작된 "smart cam bridge on service" 광고 프로그램(SHA-1 : 7cb19066e2cdd9463b8ad54aad2889b385b76930)에 대해 살펴보도록 하겠습니다. 검색 도우미 : ORUM 언인스톨 (2014.7.18) 검색 도우미 : wizbiz uninstall (2015.8.24) 검색 도우미 : QadSoftware 1.0 (2015.12.30) 해당 광고 프로그램은 기존에 유사성을 가진 변종이 확인되고 있으며, 이 외에도 "qbridge Network Service" 광고 프로그램도 존재한 것으로 파악되고 있습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\..
벌새::Analysis 2014. 11. 11. 18:52 검색 도우미 : freeset control 특정 검색 키워드를 이용한 인터넷 검색시 광고창을 생성하는 국내에서 제작된 "freeset control" 광고 프로그램(SHA-1 : 92824e1b40574d69896bcd1597236fb908323b18)에 대해 살펴보도록 하겠습니다. 검색 도우미 : searchup (2012.8.6) 검색 도우미 : Wordkey Reader (2014.8.21) 해당 프로그램은 기존에 유사성이 강한 변종 프로그램이 존재하였으므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Local\Temp\fsControlB.exe C:\Users\(사용자 계정)\AppData\Roaming\freeset C:\Users\(사용자 계정)\AppData\Roaming\f..
벌새::Analysis 2014. 10. 27. 21:26 불법 사이트 접속시 자동 다운로드되는 cassgameInstaller.exe 악성 파일 주의 (2014.10.27) 2014년 9월 9일경부터 특정 불법 게임 사이트 접속시 자동으로 다운로드되는 cassgameInstaller.exe 악성 파일을 통해 특정 게임 및 정보 유출, DDoS 공격 등 다양한 악의적 기능을 수행할 수 있는 악성코드 유포 사례에 대해 살펴보도록 하겠습니다.(※ 해당 정보는 분석글 작성하는 시점에서도 유효한 공격이므로 호기심에 접속하는 일이 없도록 주의하시기 바랍니다.) 문제의 불법 게임 웹 사이트 접속과 동시에 자동으로 웹 서버에서 cassgameInstaller.exe 악성 파일이 다운로드되고 있으며, 실제 웹 사이트를 신뢰하는 불법 도박 게임 이용자는 파일을 실행할 가능성이 존재합니다. [사이트 변조] 제이쿼리(JQuery)함수를 이용한 악성코드 다운로드 방식 주의!! (2014.10.7)..
벌새::PUP Info 2014. 9. 30. 13:25 해외 광고 프로그램 : IePluginService12.27.0.3326 / SupTab / WindowsMangerProtect20.0.0.722 (2014.9.30) ◇ [공지] 광고 프로그램 삭제 관련 문의 방법 광고 프로그램 문제로 인하여 Runscanner 프로그램을 이용하여 문의가 들어오는 run 파일을 살펴보던 중 해외에서 제작된 광고 프로그램 세트가 지속적으로 발견되어 일부 정보를 공개해 드리도록 하겠습니다. 해당 해외 광고 프로그램은 최소 3~4종이 함께 설치가 이루어지는 경우가 많은 것으로 보이며, 다양한 변종에 따라 제어판에 등록되는 프로그램 이름이 다르거나 또는 제어판에 표시되지 않는 경우도 발견되고 있습니다. ■ IePluginService12.27.0.3326 변종 프로그램 정보 파일 경로 C:\ProgramData\IePluginServices\PluginService.exe MD5 5E0C29FCD859AB8D5B1C859F034D8F2F 진..
벌새::Analysis 2014. 8. 21. 19:02 검색 도우미 : Wordkey Reader 웹 사이트 접속 및 검색 키워드 값을 특정 광고 서버로 전송하는 검색 도우미 "Wordkey Reader" 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : searchup (2012.8.6) 해당 프로그램은 기존의 유사한 기능을 가진 searchup 광고 프로그램의 변종이므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Local\Temp\wkp.exe C:\Users\(사용자 계정)\AppData\Roaming\wordkey C:\Users\(사용자 계정)\AppData\Roaming\wordkey\su C:\Users\(사용자 계정)\AppData\Roaming\wordkey\wk_.exe :: 메모리 상주 프로세스 C:\Users\(사..
벌새::Analysis 2014. 7. 24. 21:28 검색 도우미 : SpaceAD Internet Explorer 웹 브라우저 여백 영역에 광고 배너를 생성할 수 있는 국내에서 제작된 스페이스애드(SpaceAD) 광고 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\SpaceAD C:\Program Files\SpaceAD\spacead.exe :: 메모리 상주 프로세스 C:\Program Files\SpaceAD\SpaceAdb.dll :: BHO 등록 파일 C:\Program Files\SpaceAD\spaceadrn.exe C:\Program Files\SpaceAD\SpaceAdSv.exe :: 서비스(SpaceAdSv) 등록 파일 C:\Program Files\SpaceAD\spacebanner.html C:\Progra..
벌새::Analysis 2014. 7. 18. 22:38 검색 도우미 : ORUM 언인스톨 특정 웹 사이트 접속시 웹 브라우저 화면 우측 영역에 "TOP AD" 광고 배너를 노출하는 국내에서 제작된 "ORUM 언인스톨" 프로그램에 대해 살펴보도록 하겠습니다.(※ 기존에 "OrumMedia 언인스톨" 이름으로 배포되었을 가능성이 매우 높습니다.) 포털 사이트에 추가되는 MemoThis 광고 주의 (2011.11.3) 해당 프로그램의 배포 방식은 정확하게 확인되지는 않고 있지만, 사용자가 특정 웹 사이트 접속시 ActiveX 설치 방식으로 설치를 유도하고 있을 것으로 추정되며, 위와 유사한 광고 프로그램으로 예전의 MemoThis가 존재하였으므로 참고하시기 바랍니다. [ActiveX 배포 정보] □ 파일 : C:\Windows\Downloaded Program Files\ORUMControl.oc..
벌새::Analysis 2014. 4. 27. 19:18 웹하드 서비스 파일 변조를 통한 인터넷뱅킹 악성코드 유포 (2014.4.27) 2014년 4월 26일 새벽을 중심으로 국내 일부(5곳 추정) 웹하드 서비스 이용을 위해 설치한 프로그램의 업데이트 기능을 통해 서비스 파일을 악성 파일로 업데이트하여 인터넷뱅킹 악성코드를 설치하는 행위가 있었습니다.(※ 현재는 해당 유포 행위는 모두 해결된 것으로 추정됩니다.) 그 중 당시 유포가 이루어지고 있었던 업데이트 서버 상태를 확인해보면 특정 웹하드 서버에 등록된 ShareBoxService.exe 악성 파일을 다운로드하도록 등록되어 있는 것을 확인할 수 있었습니다. 유포에 사용된 해당 웹하드 프로그램을 비롯하여 상당수 웹하드 서비스는 사용자가 프로그램 사용과 관계없이 시스템 시작시 자동 실행되어 업데이트 체크를 수행하는 동작이 있다는 점에서 이번 유포는 파급력이 상당히 컸을 것으로 추정됩니다..

티스토리툴바