본문 바로가기

벌새::Analysis

벌새::Analysis 2016. 5. 31. 20:46 검색 도우미 : Windows IE Site Manager 인터넷 검색 및 웹사이트 접속 시 다양한 광고창을 생성할 수 있는 국내에서 제작된 "Windows IE Site Manager" 광고 프로그램에 대해 살펴보도록 하겠습니다. 유해 사이트 차단 기능이 포함된 InternetSafeZone 광고 프로그램 (2015.10.22) 해당 광고 프로그램은 유사한 기능을 가진 기존의 InternetSafeZone 광고 프로그램의 변종이므로 참고하시기 바랍니다. 배포 방식을 유추해보면 WiseCommerce 디지털 서명을 사용하는 Microsoft Windows Wise Runner Process Cleaning Runtime - Korean, Windows Network IP Manager 등의 광고 배포용 프로그램을 통해 사용자 몰래 자동으로 설치되었을 것으로 보입..
벌새::Analysis 2016. 5. 31. 15:24 검색 도우미 : popfreeka Windows 부팅, 인터넷 검색 시 자동으로 다양한 광고창 및 광고탭을 생성하는 국내에서 제작된 popfreeka 광고 프로그램(SHA-1 : e4bfacf28eaf229be69cea91ebfa482c952b463e - Hauri ViRobot : Adware.Safeterra.3535960[h])에 대해 살펴보도록 하겠습니다. 우선 popfreeka 광고 프로그램의 배포 방식을 추적해보면 기존에 소개한 WiseCommerce 디지털 서명이 포함된 "Microsoft Windows Wise Runner Process Cleaning Runtime - Korean" 또는 "Windows Network IP Manager" 광고 배포용 프로그램을 통해 사용자 몰래 특정 일자에 백그라운드로 자동 설치되는 것..
벌새::Analysis 2016. 5. 29. 19:52 ISO 이미지 파일로 배포되는 SrpnFiles 프로그램 설치 주의 (2016.5.29) 최근 메일로 문의가 들어온 해외 사이트에서 배포되는 파일 다운로드 기능을 가진 SrpnFiles 프로그램의 배포 방식에 대해 전반적으로 살펴보도록 하겠습니다. 특정 파일 다운로드 목적으로 인터넷 검색을 통해 접속한 사이트에서는 RAR, ZIP 압축 파일 형태로 배포되는 다운로드 링크가 노출되는 것을 볼 수 있습니다. Microsoft Edge 웹 브라우저를 이용하여 파일 다운로드를 진행할 경우 The_Incident_2014.rar.iso 파일을 다운로드하는 것을 확인할 수 있습니다. 그런데 Windows 기본값에서는 "알려진 파일 형식의 파일 확장명 숨기기" 항목이 체크된 상태로 설치되므로 파일 탐색기에서는 ISO 이미지 파일이 아닌 RAR 압축 파일로 오해를 유발할 수 있습니다. 특히 ISO 이미지 ..
벌새::Analysis 2016. 5. 27. 16:11 .cryp1 파일 확장명으로 변신한 CryptXXX 랜섬웨어(Ransomware) 주의 (2016.5.27) 최근 국내에서도 다수의 감염자가 발생하고 있는 CryptXXX 랜섬웨어(Ransomware)가 지속적으로 암호화된 파일을 복구할 수 없도록 업데이트가 되는 과정에서 ".crypt → .cryp1" 파일 확장명으로 변경된 CryptXXX 랜섬웨어 변종이 확인되어 살펴보도록 하겠습니다. CryptXXX 2.0 랜섬웨어 복호화 도구 업데이트 소식 (2016.5.13) 안랩(AhnLab) CryptXXX 랜섬웨어 복구툴 공개 (2016.5.26) 참고로 현재 CryptXXX 2.x 버전에 감염되어 암호화된 파일에 대하여 안랩(AhnLab), Kaspersky 보안 업체에서 복구툴을 공개한 상태이므로 참고하시기 바라며, CryptXXX 3.x 버전에 감염된 경우에는 현재 공개된 복구툴이 없으므로 감염되지 않도록 ..
벌새::Analysis 2016. 5. 26. 18:38 1MB 파일 크기로 위장한 JS 스크립트 파일을 통한 Locky 랜섬웨어 유포 사례 (2016.5.26) 압축 파일이 첨부된 대규모 메일 발송을 통해 랜섬웨어(Ransomware) 감염을 유발하는 유포 행위 중 2016년 5월 12일경 확인된 1MB 크기를 가진 JS 스크립트 파일 사례를 살펴보도록 하겠습니다. 1. 메일 제목 : FW: vendors 해당 스팸(Spam) 메일에 첨부된 vendors_950B9A.zip 압축 파일은 다음과 같은 동일한 Hash값을 가진 JS 스크립트 파일이 포함되어 있습니다. balance 40482.js (SHA-1 : f7b68530e22363f935a8ad7459e91b521e8547c4) - 알약(ALYac) : Trojan.Downloader.JS.VB 특이한 점은 기존의 과는 다르게 JS 파일 크기가 1MB 수준으로 증가하였다는 점이며, 이는 백신 진단 우회 목적..
벌새::Analysis 2016. 5. 26. 14:57 제어판에 등록되지 않는 "Windows Internet Explorer Distribution Of Earnings" 광고 프로그램 주의 (2016.5.26) 최근 외국어 자동 번역 프로그램으로 표시되는 국내에서 제작된 "Windows Internet Explorer Distribution Of Earnings" 광고 프로그램(SHA-1 : dfe0920b8a16c6f5bf950714e2d27d3c6aa12ed9 - ESET : a variant of Win32/Adware.Hebogo)이 여전히 설치 시 제어판을 통한 삭제 기능을 제공하지 않는 방식으로 배포되는 것을 확인하였습니다. 삭제를 방해하는 "Internet Explorer Distribution Of Earnings - ProVersion + Retain" 광고 프로그램 정보 (2014.5.21) 해당 광고 프로그램의 기존 이름은 "Internet Explorer Distribution Of Ear..
벌새::Analysis 2016. 5. 22. 15:58 2016년 5월 네이버(Naver) 피싱 사이트 정보 (2016.5.22) 최근 일부 관리가 부실한 웹사이트 해킹을 통해 네이버(Naver) 계정 정보를 수집할 목적으로 가짜 네이버 로그인 창으로 연결을 시도하는 피싱(Phishing) 활동이 확인되어 살펴보도록 하겠습니다. 패션 쇼핑몰 정보를 제공하는 A 사이트는 과거에도 취약점(Exploit)을 이용한 악성코드 유포에 악용된 적이 있으며, 현재 사이트 접속 과정에서 다음과 같은 외부 사이트에 등록된 스크립트 파일을 체크합니다. 연결된 JS 스크립트 파일을 확인해보면 접속자의 adfwersfs= 쿠키(Cookie) 파일을 체크하여 기존에 접속한 적이 없는 사용자를 네이버(Naver) 피싱 사이트로 연결합니다. 연결된 가짜 네이버(Naver) 로그인 페이지는 정상적인 화면과 일치하여 웹 브라우저 주소창에 표시된 주소를 제대로 확..
벌새::Analysis 2016. 5. 18. 19:40 커피 체인점 와이파이를 통한 정보 탈취 악성앱 주의 (2016.5.18) 2016년 3월 9일경 이메일을 통해 제보받은 안드로이드(Android) 악성앱을 사정상 열어보지 않았다가 최근에서야 확인하게 되었습니다. 공용 와이파이 접속시 유포되는 Skype Voice 악성앱 주의 (2015.11.10) 해당 악성앱은 유명 S 커피 체인점을 방문하여 제공되는 와이파이(Wi-Fi) 접속 시 다운로드되었다고 하며, 2015년경에도 매우 유사한 "Skype Voice" 악성앱이 커피 체인점 무선 인터넷망을 통해 유포된 적이 있었습니다. systemapp.apk (SHA-1 : 6fbda43c89252cabf17a257e4418b8f0b073cc4e) - AhnLab V3 Mobile : Android-Trojan/SMSstealer.6984 자동 다운로드된 악성 APK 파일을 사용자가 ..

티스토리툴바