본문 바로가기

벌새::Analysis

벌새::Analysis 2009. 8. 31. 15:48 검색 도우미 : HLGuide 국내에서 제작된 검색 도우미 프로그램 HLGuide 제품에 대해 살펴보도록 하겠습니다. 검색 도우미 : NlineGuide 검색 도우미 : ULineGuide 해당 프로그램은 이전에 살펴본 LineGuide 시리즈와는 달리 시작 프로그램에 특정 파일을 등록하는 동작을 가지고 있는 것이 특징입니다. 해당 프로그램이 설치된 환경에서는 윈도우 시작시 hlmon.exe 파일이 자동으로 시작되어 동작하며, 사용자가 Internet Explorer를 이용할 경우 hlguide.dll 모듈을 실행되어 국내 검색 사이트를 통해 접속한 특정 사이트의 IE 하단에 추천 사이트를 생성하는 동작을 하고 있습니다. 프로그램의 시작 프로그램 등록 방식이 일반적인 레지스트리 등록 방식이 아닌 윈도우 시스템 폴더에 존재하는 파일을 ..
벌새::Analysis 2009. 8. 30. 23:13 악성코드 치료 프로그램 : PC메딕(PCMedic) 국내 (주)KS.Zone 업체에서 서비스하는 악성코드 치료 프로그램 PC메딕(PCMedic) 제품에 대해 살펴보도록 하겠습니다. [테스트 환경] ● OS : Windows XP SP3 ● 설치 프로그램 : 제작사 배포 파일 ※ 해당 프로그램은 배포 방식에 따라 파일 구성 및 정보가 다를 수 있습니다. ※ 해당 내용은 게시글 작성 일자 기준이므로 실제와 다를 수 있습니다. ※ 해당 내용은 컴퓨터 환경에 따라 결과가 다를 수 있습니다. 1. 프로그램 설치 / 삭제 정보 1-1. 생성 폴더 / 파일 정보 [생성 파일 진단 정보] C:\Program Files\PCMedic\PCMedicUp.exe (AhnLab : Win-Adware/Rogue.PCMedic.323584) C:\Program Files\PCM..
벌새::Analysis 2009. 8. 30. 12:40 검색 도우미 : ULineGuide 국내에서 제작되어 타 웹 서비스를 이용할 경우 제휴 프로그램으로 설치가 되는 검색 도우미 프로그램 ULineGuide 제품에 대해 살펴보도록 하겠습니다. 검색 도우미 : NlineGuide 제작사에서 제공하는 설치 파일을 이용하여 설치시 설치 단계에서 어떠한 정보도 제공하지 않고 프로그램이 설치되고 있는 것을 확인할 수 있습니다. [프로그램 설치시 다운로드 경로] h**p://ulineguide.com/down/files.txt - h**p://down.ulineguide.com/down/ulineguidepack.dll - h**p://down.ulineguide.com/down/Uninstall.exe ※ 해당 프로그램의 설치 파일은 제작사 서버에 접속하여 Payload 방식으로 설치를 하고 있습니다..
벌새::Analysis 2009. 8. 29. 15:13 검색 도우미 : NlineGuide 국내에서 제작된 검색 도우미 프로그램 NlineGuide 제품에 대해 살펴보도록 하겠습니다. 해당 프로그램의 경우 제작사 사이트에서 제공하는 설치 파일을 이용할 경우 프로그램 상에서는 설치와 관련된 어떠한 정보도 제공하지 않고 설치가 되고 있습니다. [프로그램 설치 방식] h**p://nlineguide.com/down/files.txt - h**p://down.nlineguide.com/down/nlineguide.dll - h**p://down.nlineguide.com/down/Uninstall.exe ※ 해당 프로그램의 설치 파일은 제작사 서버에 접속하여 Payload 방식으로 설치를 하고 있습니다. 해당 프로그램의 기본적인 동작 방식은 설치된 환경에서 사용자가 Internet Explorer를 ..
벌새::Analysis 2009. 8. 28. 15:07 도메인 판매 웹 페이지 진단 테스트 어제 우연히 발견한 서비스가 종료된 특정 도메인에 접속시 안철수연구소(AhnLab) 보안제품에서 HTML/Agent 진단명으로 진단을 하는 것을 확인할 수 있었습니다. 도메인 판매 웹 페이지가 악성 페이지? 오늘 또 다른 유사 사이트에서 동일한 진단을 하고 있는 것을 확인하고 어떤 부분에 대한 진단으로 인한 문제인지 확인을 해 보았습니다. 해당 진단 파일의 내부 소스를 확인해보면 이전의 페이지와 동일하게 스크립트 소스 일부와 다양한 링크로 구성되어 있습니다. 그 중 특정 스크립트 소스 한 줄만 제외를 하고 보안제품을 통해 재확인을 해보았습니다. 1번의 HTML/Agent 진단 파일은 여전히 진단을 하지만, 해당 소스를 제외한 파일의 경우에는 진단을 하지 않는 것을 확인할 수 있었습니다. 해당 사이트가 과..
벌새::Analysis 2009. 8. 28. 12:39 검색 도우미 : 인사이드바(InSideBar) 국내에서 제작된 검색 도우미 프로그램 인사이드바(InSideBar) 제품에 대해 살펴보도록 하겠습니다. 검색 도우미 : 인홀드바(Inholdbar) 해당 프로그램이 설치되면 시작 프로그램에 sidehlp.exe 파일을 등록하여 윈도우 시작시 프로그램 업데이트 체크 및 프로세스 상주를 통하여 사용자가 Internet Explorer를 통하여 국내 검색 사이트 등 등록된 사이트를 이용시 좌측에 추천 사이트 등을 표시하는 기능을 하는 것으로 보입니다. 그러므로, 프로그램의 종료를 위해서는 sidehlp.exe 프로세스를 종료해야 합니다. 프로그램의 삭제는 제어판의 [In Side Help] 삭제 항목을 이용하여 삭제하실 수 있습니다. [생성 레지스트리 등록 정보] HKEY_LOCAL_MACHINE\softwa..
벌새::Analysis 2009. 8. 26. 22:58 검색 도우미 : 인홀드바(Inholdbar) 국내에서 제작된 검색 도우미 관련 프로그램 인홀드바(Inholdbar) 제품에 대해 살펴보도록 하겠습니다. [설치 파일 진단 정보 - MD5 : 6f714a12b5c951d9561b80f2fab1783d] 제작사에서 제공하는 설치 파일의 경우 국내 보안업체 하우리(Hauri)에서 애드웨어(Adware)로 진단하고 있는 것을 확인할 수 있었습니다. [생성 파일 진단 정보] C:\Program Files\Inholdbar\Inholdbar.dll (ViRobot : Adware.IHBar.155648) C:\Program Files\Inholdbar\Inholdbar.exe (ViRobot : Adware.IHBar.327680) %Temp%\InholdbarUpdate.exe (ViRobot : Adwar..
벌새::Analysis 2009. 8. 25. 16:05 악성코드 치료 프로그램 : 닥터컴(DoctorCom) - Doctor2Com 국내 (주)KS.ZONE 업체에서 서비스하는 악성코드 치료 프로그램 닥터컴(DoctorCom) - Doctor2Com 제품에 대해 살펴보도록 하겠습니다. [테스트 환경] ● OS : Windows XP SP3 ● 설치 프로그램 : 제작사 배포 파일 ※ 해당 프로그램은 배포 방식에 따라 파일 구성 및 정보가 다를 수 있습니다. ※ 해당 내용은 게시글 작성 일자 기준이므로 실제와 다를 수 있습니다. ※ 해당 내용은 컴퓨터 환경에 따라 결과가 다를 수 있습니다. 1. 프로그램 설치 / 삭제 정보 1-1. 생성 폴더 / 파일 정보 해당 프로그램은 제작사에서 제공하는 설치 파일 기준으로 설치 단계에서 사용자가 프로그램 설치 폴더 위치를 지정하야 되므로, 테스트에서는 프로그램 폴더 내의 [Doctor2Com]을 지..

티스토리툴바