본문 바로가기

벌새::Analysis

벌새::Analysis 2015. 5. 11. 21:19 검색 도우미 : Windows Enkrs 마이크로소프트(Microsoft) 폴더 내에 설치되어 인터넷 쇼핑몰 바로가기 아이콘 생성 또는 특정 웹 사이트 접속시 제휴 코드 추가를 할 수 있는 국내에서 제작된 "Windows Enkrs" 광고 프로그램에 대해 살펴보도록 하겠습니다. 프로그램 설치 과정을 살펴보면 배포 파일을 통해 "C:\Program Files\Enkrs_setup.exe" 파일을 생성하여 다음과 같은 파일을 생성한 후 자동 삭제 처리되도록 구성되어 있습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windowns Enkrs C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\Windowns Enkrs\encl.exe C:\Users..
벌새::Analysis 2015. 5. 9. 13:07 Google Docs를 악용한 해외 광고 프로그램 유포 사례 (2015.5.9) 인터넷 상에서 사용자가 원하는 콘텐츠를 찾는 과정에서 온라인 문서 작성 기능을 제공하는 구글 문서 도구(Google Docs) 서비스를 이용하여 해외 광고 프로그램을 유포하는 사례에 대해 살펴보도록 하겠습니다. 예를 들어 특정 인터넷 검색 키워드를 이용하여 구글(Google) 검색 과정에서 Google Docs 주소(docs.google.com)로 연결되는 부분을 발견할 수 있습니다. 연결된 웹 페이지는 Google Docs 서비스를 이용하여 문서를 작성하였으며 내부에는 파일 다운로드 또는 비디오 감상을 위해 특정 웹 사이트로 연결되는 링크가 포함되어 있습니다. 연결된 웹 사이트에서는 마치 동영상 재생을 할 수 있는 것처럼 구성되어 있으며 이를 위해서 제공되는 파일을 다운로드하도록 유도하고 있습니다. 참..
벌새::Analysis 2015. 5. 5. 14:24 검색 도우미 : ADart 인터넷 검색 및 웹 브라우저 종료시 광고창을 생성할 수 있는 국내에서 제작된 ADart 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : WinDisplay (2013.8.11) 해당 프로그램은 기존의 인터넷 쇼핑몰 바로가기 아이콘 및 광고창을 생성하는 WinDisplay 광고 프로그램의 변종입니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Local\adart C:\Users\(사용자 계정)\AppData\Local\adart\11st.ico C:\Users\(사용자 계정)\AppData\Local\adart\adart.exe :: 시작 프로그램(adart) 등록 파일 C:\Users\(사용자 계정)\AppData\Local\adart\adartex.e..
벌새::Analysis 2015. 5. 4. 14:24 바로가기 아이콘 생성 프로그램 : Win icon yogiyo 배달 서비스 요기요(yogiyo) 웹 사이트 홍보를 목적으로 바탕 화면 및 즐겨찾기에 바로가기 아이콘을 생성하는 "Win icon yogiyo" 광고 프로그램에 대해 살펴보도록 하겠습니다.(※ 해당 프로그램은 2012년 9월경 배포가 이루어졌습니다.) 프로그램 설치 과정을 살펴보면 "C:\Program Files\yogiyo\install.exe" 파일을 임시 생성하여 프로그램 설치를 진행한 후 자동 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\yogiyo C:\Program Files\yogiyo\ToolbarRestore.exe :: 시작 프로그램 등록 파일 C:\Program Files\yogiyo\uninstall.exe :: 프로그램 삭제 파일 C:\Prog..
벌새::Analysis 2015. 4. 29. 20:56 검색 도우미 : StickerBox 사용자가 입력한 인터넷 검색 키워드 값을 참조하여 웹 브라우저 종료시 광고창을 생성할 수 있는 StickerBox 국내 광고 프로그램(SHA-1 : a91f5b535beb40c1123411415691e43ca2924be1)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\StickerBox C:\Program Files\StickerBox\filterurl.dat C:\Program Files\StickerBox\local_version.ini C:\Program Files\StickerBox\StickerBox.exe :: 시작 프로그램(StickerBox) 등록 파일, 메모리 상주 프로세스 C:\Program Files\StickerBox\StickerB..
벌새::Analysis 2015. 4. 27. 19:16 공인인증서 폴더(NPKI)를 악용하는 incminfo 광고 프로그램 주의 (2015.4.27) 2015년 2월 하순경부터 국내 인터넷 사용자를 대상으로 배포가 이루어지고 있는 광고 프로그램 중 공인인증서 폴더(NPKI)에 자신을 생성하여 사용자의 눈을 속이고 있는 incminfo 광고 프로그램에 대해 살펴보도록 하겠습니다. 해당 광고 프로그램의 서버는 자신의 존재를 숨길 목적으로 2014년 11월 24일경 GoDaddy 해외 도메인 등록 업체에 등록되어 있습니다. 프로그램 설치가 진행되면 "C:\Program Files\NPKI\incminfo_setup.exe" 설치 파일을 생성하여 다음과 같은 프로그램 설치 후 자가 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\NPKI\incminfo C:\Program Files\NPKI\incminfo\cincminfo..
벌새::Analysis 2015. 4. 23. 14:42 Oracle Java SE 자동 업데이트시 추가되는 "Search App by Ask" 광고 프로그램 (2015.4.23) 2015년 3월경 해외 정보에 의하면 Macintosh 운영 체제에서 Oracle Java SE 설치시 제휴 프로그램이 추가되었다는 소식을 전하고 있습니다. Oracle extends its adware bundling to include Java for Macs (2015.3.5) 사용자가 더 많은 Windows 운영 체제에도 제휴 프로그램이 들어오는 것은 시간 문제였으며, 2015년 4월 15일경에 이루어진 "Oracle Java SE 8 Update 45" 버전 자동 업데이트까지는 제휴 프로그램이 포함되어 있지 않았던 것으로 기억됩니다. 그런데 2015년 4월 22일에 확인된 Oracle Java SE 제품의 자동 업데이트를 통해 설치가 진행될 경우 "Search App by Ask" 제휴 프로그램..
벌새::Analysis 2015. 4. 22. 18:33 cab 첨부 파일이 포함된 CTB-Locker 랜섬웨어(Ransomware) 이메일 주의 (2015.4.22) 해외에서 발송된 스팸(Spam) 메일에 첨부된 파일을 실행할 경우 PC에 존재하는 개인 파일(사진, 문서 등)을 암호화하여 금전을 요구하는 CTB-Locker 랜섬웨어(Ransomware)에 대해 살펴보도록 하겠습니다. Trojan.Ransom.CTBLocker 주의! (2015.1.20) Cab 첨부한 스타일 (2015.1.29) Cab 확장자 이용한 랜섬웨어 이메일 확산 주의 (2015.1.29) cab 확장자와 이메일로 국내에 퍼지는 크립토락커 (2015.4.21) CTB-Locker 랜섬웨어(Ransomware)에 대한 유포는 2015년 1월경부터 발견되고 있었으며, 국내에서도 최근까지 다수의 사용자가 메일을 통해 수신되고 있습니다. 유포에 사용된 메일을 살펴보면 "Lumezzane ITALY" ..

티스토리툴바