본문 바로가기

벌새::Analysis

벌새::Analysis 2016. 10. 21. 19:14 바로가기 아이콘 생성 프로그램 : Windows Bookmark Service 즐겨찾기 영역에 다수의 인터넷 쇼핑몰 인터넷 바로 가기를 생성하는 국내에서 제작된 "Windows Bookmark Service" 광고 프로그램(SHA-1 : c210c8a662d2d2c0a9f3f87ad05bc075017b884b)에 대해 살펴보도록 하겠습니다. 바로가기 아이콘 생성 프로그램 : Windows Favorites Collection (2016.10.20) "Windows Bookmark Service" 광고 프로그램은 2016년 3월경부터 배포된 것으로 추정되며, 기존의 GJNetworks 디지털 서명을 사용하던 "Windows Favorites Collection" 광고 프로그램의 변종으로 확인되고 있습니다. 생성 폴더 / 파일 등록 정보 C:\Program Files\Windows B..
벌새::Analysis 2016. 10. 20. 20:17 바로가기 아이콘 생성 프로그램 : Windows Favorites Collection 2015년 4월 전후부터 배포가 이루어진 것으로 추정되는 즐겨찾기 항목에 다양한 인터넷 쇼핑몰 바로 가기 생성 및 추가적인 제휴 프로그램 설치를 유도할 수 있는 국내에서 제작된 "Windows Favorites Collection" 광고 프로그램(SHA-1 : 4eaa58887db6d6df6c652d748808cd449b044f92 - AVG : Generic.8D6)에 대해 살펴보도록 하겠습니다. 삭제를 제대로 지원하지 않는 "Windows Favorite Collection" 바로가기 아이콘 생성 프로그램 주의 (2014.12.22) 해당 광고 프로그램은 기존에 소개한 "Windows Favorite Collection" 바로 가기 아이콘 생성 프로그램과 이름이 매우 유사하므로 혼동하지 마시기 바랍니..
벌새::Analysis 2016. 10. 18. 22:29 토렌트를 통해 유포되는 정치적 목적의 악성코드? (2016.10.18) 기존부터 토렌트(Torrent)를 통해 악성코드를 유포하던 일명 WooriAdris 조직이 2016년 10월 17일경부터 한컴오피스 2010 교육용 포터블 버전을 이용하여 새로운 악성코드를 유포하는 것을 확인하여 살펴보도록 하겠습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) Adobe Photoshop CC 포터블 버전에 숨어있는 악성코드 주의 (2016.9.23) 토렌트(Torrent)를 통해 다운로드된 한컴오피스 2010 교육용 포터블 버전은 ZIP 압축 파일 내부에 다음과 같은 2개의 실행 파일이 포함되어 있습니다. 한글 2010 (교..
벌새::Analysis 2016. 10. 15. 00:13 검색 도우미 : Network Application Express - Grape 인터넷 검색 및 웹사이트 접속 시 다양한 광고창 생성 및 제어판을 통한 프로그램 제거를 방해하는 "Network Application Express" 광고 프로그램 시리즈의 새로운 변종인 Grape 프로그램(SHA-1 : 8e0f84ef48368bc8e70e893ff9ed4f6e6b265268 - avast! : Win32:Malware-gen)에 대해 살펴보도록 하겠습니다. 검색 도우미 : Network Application Express - Firebase (2016.8.14)검색 도우미 : Network Application Express - Godzilla (2016.8.15)검색 도우미 : Network Application Express - Kakaru (2016.8.18)프로그램 제거를 숨기..
벌새::Analysis 2016. 10. 10. 19:46 포털 사이트 메인에 광고 배너를 생성하는 DP_AD 광고 정보 국내 포털 사이트 메인 페이지 접속 시 좌측 사이드 영역에 알 수 없는 광고 배너를 생성하는 DP_AD 광고 배너에 대해 살펴보도록 하겠습니다. 배포 방식을 살펴보면 인터넷 쇼핑몰에서 제공하는 "EVENT COUPOON" ActiveX 설치 방식으로 설치될 수 있으며, 설치 과정에서 프로그램에 대한 이용약관을 전혀 제시하지 않습니다. 이름 DP_AGENT Control 게시자 (주) 다음사람 유형 ActiveX 컨트롤 CLSID {C09D855D-2263-4B1E-BFBA-9E73F9C0174D} 폴더 / 파일 C:\Windows\Downloaded Program Files\DP_AGENT.ocx 설치 완료 후 최초 실행 시 "C:\Windows\System32\DP_AD.exe" 178 (32비트) 또..
벌새::Analysis 2016. 10. 6. 18:23 "[Daum] 해외 로그인이 차단되었습니다" 피싱(Phishing) 메일 주의 (2016.10.6) 국내 최대 포털 사이트 네이버(Naver) 계정 정보를 수집할 목적으로 과거부터 지속적으로 피싱(Phishing) 사이트를 제작하여 로그인 정보를 입력하게 유도하는 사례는 블로그를 통해 꾸준하게 공개하고 있었습니다. 2016년 5월 네이버(Naver) 피싱 사이트 정보 (2016.5.22) 인터파크(InterPark) 쇼핑몰에 삽입된 네이버(Naver) 피싱 코드 (2016.7.26) 반면 다음(Daum) 계정과 관련된 피싱(Phishing) 사이트의 경우에는 한 번도 소개한 적이 없었기에 최근 미국(USA)에 위치한 종교 사이트를 해킹하여 다음(Daum) 포털 사이트 로그인 정보를 수집하는 사례에 대해 살펴보도록 하겠습니다.(※ 관련 정보를 제보해주신 분에게 감사드립니다. ) 접근 방법에 대해 살펴보면..
벌새::Analysis 2016. 10. 3. 14:24 웹하드 설치 시 추가되는 "CCDN Service" 그리드(Grid) 프로그램 정보 국내 웹하드 서비스 이용 시 설치되는 프로그램은 필수적으로 파일 전송 분산을 목적으로 그리드(Grid) 프로그램이 설치되는 경우가 대부분으로 보입니다. 이렇게 설치되는 그리드(Grid) 프로그램은 개별 소프트웨어로 추가되며, 최초 웹하드 프로그램 설치 시 제대로 안내하지 않는 문제로 사용자는 추가적으로 포함된 그리드(Grid) 프로그램의 존재에 대해 제대로 인지하지 못할 가능성이 높습니다. 실제로 가장 많은 설치가 이루어지는 그리드(Grid) 프로그램 중의 하나인 "NAT Service"의 경우 설치 시 "C:\Program Files\(웹하드 프로그램 이름)\svc_setup_kgrid.exe" /VERYSILENT /SUPPRESSMSGBOXES 명령어를 통해 화면 상으로는 표시되지 않도록 배포가 이..
벌새::Analysis 2016. 10. 2. 16:34 랜덤(Random) 확장명으로 변신한 Cerber 랜섬웨어 소식 (2016.10.2) 2016년 3월 초 처음 등장한 Cerber 랜섬웨어(Ransomware)는 파일 암호화 완료 후 텍스트 음성 변환(TTS) 기능을 활용하여 여성 목소리로 암호화 시실을 출력하는 특징을 가지고 있습니다. 특히 장기간 활발하게 유포가 이루어짐에 따라 마이크로소프트(Microsoft)에서는 2016년 7월 정기 보안 업데이트를 통해 Microsoft Windows 악성 소프트웨어 제거 도구(MSRT)에서 Win32/Cerber 진단명으로 제거를 시작하였습니다. 우선 기존에 유포된 Cerber 랜섬웨어는 총 3종의 암호화된 파일 패턴을 가지고 있었으며, 스팸 메일에 첨부된 스크립트 파일 또는 웹사이트 접속 시 취약점(Exploit)을 통해 자동 감염이 이루어지는 방식을 전파되고 있습니다. 2016년 3월 초 ..

티스토리툴바