본문 바로가기

벌새::Analysis

벌새::Analysis 2017. 3. 24. 19:20 암호화된 파일이 삭제되지 않는 CryptoShield 2.0 랜섬웨어 주의 (2017.3.24) 2017년 2월경에 보안 패치가 제대로 이루어지지 않은 PC 환경에서 웹 사이트 접속 과정에서 취약점(Exploit)을 통해 CryptoShield 2.0 랜섬웨어(Ransomware)에 감염되어 문서, 사진, 음악 등의 개인 파일이 암호화될 수 있었습니다. 그런데 특이한 점은 암호화된 파일이 다음과 같이 비정상적인 확장명으로 변경됨으로 인하여 Windows 운영 체제에서 파일을 인식하지 못하는 문제가 발생합니다. 한글 파일명 : (원본 파일명).(Random).[R_SP@INDIA.COM].ID[(Random)].CRYPTOSHIELD. 영문 파일명 : (Random 파일명).(Random).[R_SP@INDIA.COM].ID[(Random)].CRYPTOSHIELD. 예를 들어 암호화된 파일의 맨 뒷..
벌새::Analysis 2017. 3. 14. 20:27 가짜 쪽지 메일로 자동 회원 가입이 이루어지는 TWOO 서비스 주의 (2017.3.14) 전혀 알지도 못하는 서비스로부터 쪽지 메일이 수신되어 메일에 포함된 링크를 클릭할 경우 자동 회원 가입이 이루어지는 사례가 있어서 살펴보도록 하겠습니다. TWOO 해외 소셜 커뮤니티 서비스에서 발송된 "Albert님이 쪽지를 보냈습니다." 제목으로 수신된 메일을 확인해보면 메시지 확인 버튼이 포함되어 있습니다. 메일을 수신한 사용자가 메시지 확인 버튼을 클릭할 경우 TWOO 웹 사이트로 연결되는 과정에서 사용자 이메일 주소를 기반으로 코드가 체크됩니다. 연결된 TWOO 페이지에는 Albert가 보낸 쪽지 부분이 Blur 처리되어 내용을 확인하기 위해서는 페이스북 계정 연결 또는 사용자가 직접 세부적인 개인 정보(이름, 성별, 생일, 도시)를 입력하도록 유도하고 있습니다. 이 단계에서 사용자는 회원 가입을..
벌새::Analysis 2017. 3. 4. 14:59 리셋(Reset) 프로그램 설치로 InPrivate 브라우징으로 열리는 Internet Explorer 문제 (2017.3.4) 네이버 지식인 질문글을 보다가 패스트핑(FastPing) 프로그램 설치 후 Internet Explorer 웹 브라우저가 InPrivate 브라우징으로 오픈되는 문제로 고생하는 분이 있어서 확인을 해보았습니다. 우선 Windows 7 x64 운영 체제를 기준으로 바탕 화면에 생성한 Internet Explorer 웹 브라우저의 기본 바로 가기 아이콘은 "C:\Program Files\Internet Explorer\iexplore.exe" 파일을 실행하도록 구성되어 있으며, 시작 위치는 %HOMEDRIVE%%HOMEPATH% 값으로 설정되어 있습니다. 제휴(스폰서) 프로그램 : 패스트링크(FastLink) (2013.3.12) 패스트핑(FastPing) 프로그램 설치 화면을 살펴보면 기본값에서 패스트링크..
벌새::Analysis 2017. 2. 25. 18:57 바로 가기 아이콘 생성 프로그램 : FVPlus 바탕 화면, 즐겨찾기 영역에 인터넷 쇼핑몰 바로 가기 아이콘을 생성하는 국내에서 제작된 FVPlus 광고 프로그램에 대해 살펴보도록 하겠습니다. 바로가기 아이콘 생성 프로그램 : FavoriteIconsV2 (2014.7.10) 해당 광고 프로그램은 기존의 인터넷 쇼핑몰 바로 가기 아이콘을 생성하는 FavoriteIconsV2 광고 프로그램의 변종으로 확인되고 있습니다. 2017년 8~9월경부터 배포된 것으로 추정되는 FVPlus 광고 프로그램의 대표적인 배포 방식은 멀티코덱(MultiCodec) 설치 시 "FavoriteIcons Plus" 이름으로 추가될 수 있습니다. 제휴 프로그램 설치에 동의할 경우 "C:\Users\%UserName%\AppData\Local\Temp\FVPlus_SETUP.ex..
벌새::Analysis 2017. 2. 8. 20:05 불법 도박 광고 문자와 위험한 토렌트 다운로드 앱 주의 (2017.2.8) 최근에 특정 휴대폰 번호(010)로 불법 도박 광고 메시지가 수신되어 스팸 전화번호 검색 서비스로 조회해 보았지만 개인 휴대폰으로 추정되기에 호기심에 추가적인 조사를 진행해 보았습니다. 문자 메시지에 표기된 웹 사이트로 접속을 할 경우 스포츠 베팅 관련 애플리케이션 홍보 사진이 노출되고 있으며, 실제 Google Play에서 해당 애플리케이션을 찾아보면 정식으로 등록되어 있는 것을 확인할 수 있습니다. 최초 문자에 표기된 웹 사이트 주소를 조사해보면 일본(Japan)에 서버가 존재하며, 추가적인 다수의 주소를 수집할 수 있었습니다. 그런데 해당 불법 도박 조직이 운영하는 것으로 추정되는 안드로이드(Android) 기반 토렌트 다운로드 애플리케이션이 존재하며, 트위터(Twitter)를 비롯한 다양한 방식으..
벌새::Analysis 2017. 2. 4. 13:52 검색 도우미 : BomulHelper 인터넷 검색 시 웹 브라우저 상단에 광고바를 생성하는 국내에서 제작된 BomulHelper 광고 프로그램에 대해 살펴보도록 하겠습니다. 2016년 11월경부터 배포된 것으로 추정되는 BomulHelper 광고 프로그램 배포 파일(SHA-1 : c7609314e7355878ee6a5e4842848b93a5126194 - BitDefender : Trojan.GenericKD.3754038)이 실행될 경우 설치 파일을 추가적으로 다운로드합니다. 다운로드된 설치 파일은 "C:\Users\%UserName%\AppData\Local\Temp\GetBomulHelperSetup.exe" 파일(SHA-1 : 1142a1a3e79ea4a46fb85dae742e948062b21c8d - ESET : a variant ..
벌새::Analysis 2017. 2. 2. 19:34 파일 암호화 후 바로 가기(.lnk) 파일을 생성하는 Spora 랜섬웨어 주의 (2017.2.2) 최근 해외에서 발견된 Spora 랜섬웨어(Ransomware)는 파일 암호화 후 특정 위치에 존재하는 폴더명으로 생성된 바로 가기(.lnk) 파일을 통해 재감염 및 다른 PC로 전파할 수 있는 기능이 포함되어 있기에 살펴보도록 하겠습니다. Spora 랜섬웨어의 대표적인 유포 방식은 메일 첨부 파일 또는 취약점(Exploit)을 이용하여 감염이 발생할 수 있습니다. 대표적인 취약점(Exploit) 감염 방식에서는 기존과 다르게 사용자가 변조된 웹 사이트 방문 시 가짜(Fake) Chrome 메시지 창을 생성하여 사용자로 하여금 Update 버튼 클릭을 통해 악성 파일을 다운로드하여 직접 실행하도록 유도하고 있습니다. 다운로드된 악성 파일(SHA-1 : e93a37a63e32bea5b05df63a48c9f8..
벌새::Analysis 2017. 1. 17. 20:54 검색 도우미 : 라이브 아이콘(Live Icon) - 운세사주 바로가기 서비스 바탕 화면에 바로 가기 아이콘 생성 및 광고 팝업창을 생성할 수 있는 국내에서 제작된 라이브 아이콘(Live Icon) 계열의 "운세사주 바로가기 서비스" 광고 프로그램(SHA-1 : da6b5b32af015e001e8775be016014e3941670be)에 대해 살펴보도록 하겠습니다. 검색 도우미 : 라이브 아이콘(Live Icon) - 메인쿠폰 바로가기 서비스 (2017.1.13) 검색 도우미 : 라이브 아이콘(Live Icon) - 고민상담 바로가기 서비스 (2017.1.14) 해당 광고 프로그램은 2016년 6월경부터 다양한 이름의 바로 가기 아이콘 생성을 위해 제작되어 배포되고 있으므로 참고하시기 바랍니다. 생성 폴더 / 파일 등록 정보 C:\Program Files\Windows Allimy..

티스토리툴바