본문 바로가기

벌새::Analysis

벌새::Analysis 2008. 10. 21. 19:38 PornTube와 허위 코덱 해외에서 YouTube 동영상 사이트 방식으로 꾸며진 악성코드 유포 사이트로 유명한 곳으로 PornTube가 있습니다. 해당 동영상을 보기 위해서 반드시 설치해야 한다는 방식으로 허위 코덱을 다운로드하여 사용자 컴퓨터에 설치를 유도하는 방식은 이제 일반적인 배포 방식이 된 것 같습니다. 여기에서 한 걸음 더 나아가 PornTube v2.0 이라는 또 다른 유사 사이트를 통해 유사한 방식으로 악성코드를 유포하고 있습니다. 해당 사이트에서 제공하는 코덱은 실제로는 허위 보안 제품의 추가적인 다운로드와 각종 애드웨어/스파이웨어 등이 설치될 수 있습니다. [zcodec.1459.exe] - 허위 코덱 설치 파일 Antivirus Version Last Update Result AhnLab-V3 2008.10.1..
벌새::Analysis 2008. 10. 17. 20:27 XP AntiSpyware 2009의 고객 관리 해외에서 제작된 허위 보안 제품 중의 하나인 XP AntiSpyware 2009라는 제품이 있습니다. 이 제품은 현재 다양한 도메인을 이용하여 사용자 컴퓨터에 감염을 시키며, 이메일을 통해서도 전 세계를 상대로 공격을 하고 있는 것으로 보입니다. Antivirus Version Last Update Result AhnLab-V3 2008.10.17.1 2008.10.17 - AntiVir 7.9.0.4 2008.10.16 TR/Fakealert.QE Authentium 5.1.0.4 2008.10.17 W32/Agent.L.gen!Eldorado Avast 4.8.1248.0 2008.10.15 - AVG 8.0.0.161 2008.10.16 - BitDefender 7.2 2008.10.17 - CAT..
벌새::Analysis 2008. 10. 16. 07:44 Spam 이메일 - Beat the high cost 미국 방송사 ABC News 마크를 도용한 비아그라 광고 이메일을 확인하였습니다. 해당 스팸 이메일은 상단에 ABC News 방송사 마크를 대담하게 해당 웹 사이트 서브 도메인에서 훔쳐와 이메일 발송에 이용하고 있습니다. 비아그라 스팸 이메일을 접하면서 보게 되는 Canadian Pharmacy 광고 웹 사이트는 해외에서 합법적인 사이트인지는 모르지만 Storm Worm 만큼이나 좀처럼 사라지지 않는 인터넷의 한 단면인 것 같습니다. 특히 이들은 수시로 접속 도메인 주소를 변경하는 것을 보면 인터넷 약장사는 이렇게 해야 한다는 것을 보여주는 교과서 같습니다. "약은 약사에게, 비아그라는 Canadian Pharmacy에게!"
벌새::Analysis 2008. 10. 13. 13:15 성인 동영상 프로그램 Hot-TV Player와 허위 보안 제품의 만남 해외 성인 사이트를 방문하다보면 위와 같이 해당 사이트에서 제공하는 동영상 플레이어(Player)를 접할 때가 있습니다. 사람의 호기심을 자극하는 유혹에 맛보기로 해당 플레이어를 다운로드하여 실행하면서 자신도 모르게 피해를 당할 수 있습니다. 해외에서 배포되는 Hot-TV Player를 통해 어떤 다양한 일이 일어나는지 살펴보겠습니다. 프로그램을 다운로드하여 설치를 시작하면 초기 화면에 해당 프로그램에 대한 이용약관이 있습니다. 해당 프로그램에 대한 설명 중에 이 프로그램은 Favorit Network에서 제공하는 광고가 삽입된 애드웨어 제품임을 알 수 있습니다. 하지만 실제 설치하는 사람들은 유심하게 살펴보지 않는게 특징입니다. 설치의 다음 단계는 없습니다. 바로 위와 같이 플레이어가 동작하면서 특정 ..
벌새::Analysis 2008. 10. 12. 14:44 국내 허위 보안제품 Virus Check와 AhnLab SpyZero의 문제점 바이러스 체크(Virus Check) 홈페이지 안철수연구소 분석 자료 (Win-Adware/Rogue.VCheck.339968) 국내에서 제작된 허위 보안 제품 바이러스 체크(Virus Check) 프로그램에 대해 살펴보면서 안철수연구소의 스파이제로(SpyZero) 제품이 해당 제품을 진단하는 부분에서 잘못된 부분을 언급하도록 하겠습니다. 먼저 Daum 신지식에서는 어느 회원님이 이런 부분을 지적하였습니다. 위와 같이 어느 날 자신의 핸드폰 문자 메시지로 1개월 요금이 3,500원에서 8,000원으로 인상되었다는 내용을 발송하고 이를 취소하려고 해도 매우 힘들어서 취소 방법을 모르겠다는 내용이었습니다.(아마 이용요금 변경안내처럼 약관의 동의 여부를 제대로 확인시키지 않고 일괄적으로 변경처리하면서 해지도 ..
벌새::Analysis 2008. 10. 10. 20:29 Messenger 서비스를 이용한 허위 제품 유포 네이버 지식인 관련 질문을 보던 중 최근에 아직도 Windows XP 초창기에 유행하던 Messenger 서비스를 이용한 메시지를 통해 허위 제품을 유포하는 경우를 확인할 수 있었습니다. 해당 스크린 샷을 보면 컴퓨터를 포멧하고 새롭게 윈도우를 설치하는 과정에서 서비스 팩 패치 등이 전혀 적용이 되지 않은 Windows XP 운영 체제 환경에서 각종 드라이버를 설치하던 중에 알림창을 수신한 것으로 보입니다. 먼저 위와 같은 메신저 서비스 알림창을 보지 않기 위해서는 사용자가 수동으로 [제어판 - 관리 도구 - 서비스 - Messenger] 항목에서 다음과 같이 설정하시면 해결이 됩니다. Messenger 항목을 찾아서 마우스 더블 클릭을 하시면 Messenger 속성창이 생성됩니다. 속성창에서 [시작 유..
벌새::Analysis 2008. 10. 9. 21:44 악성코드 유포 - Hotmail 서비스 광고 배너 (2) 2008/10/07 - [벌새::Analysis] - 악성코드 유포 - Hotmail 서비스 광고 배너 10월 7일 언급한 Hotmail 서비스의 특정 광고 배너로 인한 악성코드에 대한 글을 작성하였었습니다. 해당 글을 작성 당시 유포되던 샘플 확보에 실패하여 당시에는 자세한 정보를 기록하지 못하였는데 모연구소에서 해당 샘플을 문의를 하여 이번에는 다른 방식으로 접근을 하여 샘플을 확보하는데 성공하였습니다. 이전과 달리 이번에는 F-Secure 제품의 Web Traffic Scanning 방식으로 해당 악성코드가 어떤 경로로 진단을 하는지 파일 단위가 아닌 경로 단위로 추적을 해 보았습니다. 먼저 현재 Hotmail의 광고 배너는 다음과 같은 서버를 이용하는 것으로 보입니다. [Hotmail 광고 서버]..
벌새::Analysis 2008. 10. 8. 21:32 Spam 이메일 - Interesting dvd Nicole Kidman 해외 유명 연예인의 비디오를 미끼로 악성코드 유포로 사용되는 전형적인 방식입니다. 배포 사이트는 허위 YouTube를 통해 마치 신뢰할 수 있는 웹 사이트로 위장하고 있습니다. [pornivideo03y45i.exe] Antivirus Version Last Update Result AhnLab-V3 2008.10.3.2 2008.10.08 - AntiVir 7.8.1.34 2008.10.08 - Authentium 5.1.0.4 2008.10.08 - Avast 4.8.1248.0 2008.10.08 - AVG 8.0.0.161 2008.10.08 Agent BitDefender 7.2 2008.10.08 - CAT-QuickHeal 9.50 2008.10.08 (Suspicious) - DNAScan..

티스토리툴바