본문 바로가기

벌새::Analysis

벌새::Analysis 2017. 9. 9. 13:18 Windows 10 속도 향상 패키지로 위장한 Orcus RAT 악성코드 유포 주의 (2017.9.9) 토렌트(Torrent) 파일 공유 방식을 통해 Windows 10 속도 향상 패키지로 위장하여 불특정 다수에게 Orcus RAT 악성코드를 유포하는 사례가 확인되어 살펴보도록 하겠습니다. "윈도우10 속도향상 패키지"로 소개된 다운로드된 파일은 32 / 64 비트(Bit)별로 구분되어 있지만 모두 동일 파일(SHA-1 : 49a3b16f882e222b9a80d94facbed439705bcc24 - AhnLab V3 : Win-Trojan/MSILKrypt.Exp)입니다. Windows 10 정품 인증 패치 (SHA-1 : 6285ee958837c845ee819af336b1be9923b616f6 - Microsoft : VirTool:MSIL/Injector) 전력 최소화 채굴 프로그램 (SHA-1 : b..
벌새::Analysis 2017. 8. 14. 19:48 언더테일 게임 파일로 위장한 PC 자동 종료 주의 (2017.8.14) 최근 네이버 지식인에 올라온 문의 중 특정 파일을 실행한 후부터 PC가 자동으로 종료되는 증상에 대한 질문이 있어 살펴보도록 하겠습니다. 질문 내용을 보면 디시인사이드 특정 게시글에서 제시한 링크를 통해 다운로드한 파일을 실행하여 문제가 발생하였다고 언급되어 있습니다. 언더테일.exe (SHA-1 : 8f4594f6d8eff4c8a2219febf293ba64f4ba2460) 해당 게시글은 1년 전에 작성된 글로 해외 특정 파일 서비스에 등록된 언더테일(Undertale) RPG 게임 관련 파일을 다운로드하도록 유도하고 있습니다. 최초 사용자가 다운로드한 언더테일.exe 파일을 실행할 경우 "C:\Users\%UserName%\AppData\Local\Temp\.tmp\언더테일.bat" 배치 파일 생성 및..
벌새::Analysis 2017. 8. 11. 19:57 가짜 Adobe Flash Player 다운로드 사이트를 이용한 국내 광고 프로그램 유포 사례 (2017.8.11) 해외에서는 악성코드 또는 제휴 프로그램 유포 목적으로 가짜 Adobe Flash Player 설치 페이지를 제작하여 이용하는 경우가 있었는데 국내에서는 일반 사례를 그동안 볼 수 없습니다. 가짜 Adobe Flash Player 파일을 이용한 해외 광고 사례 (2013.12.4) 가짜 Adobe Flash Player 다운로드 사이트를 이용한 Locky 랜섬웨어 유포 주의 (2016.11.18) 그런데 국내에서도 광고 운영 조직이 가짜 Adobe Flash Player 다운로드 페이지를 이용하여 다수의 제휴 프로그램을 설치하도록 하는 사례가 확인되어 살펴보도록 하겠습니다. 확인된 가짜 Adobe Flash Player 설치 사이트는 최소 몇 개월 이전부터 운영되었던 것으로 추정되며 URL 주소상 국내 광..
벌새::Analysis 2017. 8. 5. 13:24 구글(Google)을 욕하는 국내 "Tech Joy Co." 광고 유포 조직 (2017.8.5) 다수의 광고 프로그램을 단 한 번의 클릭으로 화면에 표시되지 않고 자동으로 설치되도록 하는 것은 광고 유포 조직이 원하는 설치 방식입니다. 실제로 소프트웨어 설치를 위해 인터넷 검색을 통해 특정 블로그를 방문하여 파일을 다운로드하여 설치하는 과정에서 사용자의 부주의로 인하여 다수의 광고 프로그램이 자동으로 설치되는 피해를 당하는 사례가 많습니다. 그 중에서 2014년 전후부터 현재까지 운영되고 있는 "Tech Joy Co." 디지털 서명이 포함된 광고 배포 파일 유포 조직은 다수의 도메인을 사용하는 파일 서버을 통해 꾸준하게 활동하고 있습니다. "freedownloade.net" 서버를 이용한 국내 애드웨어 유포 사례 (2014.2.25) MediaFire 파일 공유 서비스를 이용한 국내 제휴 프로그램 ..
벌새::Analysis 2017. 7. 22. 18:02 한국인(Korean)이 개발하고 있는 Jigsaw 랜섬웨어(.korea) 정보 (2017.7.22) 2017년 7월 중순경 한국어(Korean)를 모국어로 사용하는 것으로 추정되는 사람이 Jigsaw 랜섬웨어(Ransomware)를 한국어 버전으로 개발하고 있던 파일이 발견되었다는 소식이 있었습니다. 한국인이 제작한 것으로 추정되는 ‘직소 랜섬웨어 변종’ 발견 (2017.7.20) Jigsaw 랜섬웨어는 2016년 상반기에 최초 발견되어 현재까지 다양한 변종이 발견되고 있으며 간혹 영어(English) 버전이 아닌 특정 언어로 수정되어 유포되고 있는 것으로 알려져 있습니다. 이번에 발견된 Jigsaw 랜섬웨어 한국어 버전(SHA-1 : 101451bb44567c75205106e64f78ebcd26c6716c - Microsoft : Ransom:MSIL/JigsawLocker.A)은 WindowsApp..
벌새::Analysis 2017. 7. 15. 15:26 CRBR Encryptor 랜섬웨어로 암호화된 파일 복구 가능성 (2017.7.15) 국내에서 가장 감염률이 높은 Cerber 랜섬웨어(Ransomware)는 2017년 6월 하순경부터 CRBR Encryptor 랜섬웨어(Ransomware)로 이름이 변경되어 꾸준하게 유포가 이루어지고 있다는 소식을 전한 적이 있습니다. "Cerber 랜섬웨어 → CRBR Encryptor 랜섬웨어" 이름 변화와 대응 방법 (2017.7.2) 이미 Cerber 랜섬웨어(Ransomware) Red 버전의 경우 특정 폴더(드라이브) 영역만을 암호화하는 방식과 시스템 복원 기능을 삭제하지 않기 때문에 암호화된 파일을 복구할 수 있는 가능성에 대해서도 언급한 적이 있었습니다. Cerber 랜섬웨어(Red 버전) 암호화 파일 복구 방법 (2016.12.23) 이번에 이름이 변경된 CRBR Encryptor 랜섬..
벌새::Analysis 2017. 7. 8. 15:09 검색 도우미 : NGPlus 바탕 화면 영역에 바로 가기 아이콘 생성 및 시스템 부팅 시 WindowsAD 광고창을 생성하는 국내에서 제작된 NGPlus 광고 프로그램(SHA-1 : f5ff5952a823390bf85d16673a2a68ea66369ffa - BitDefender : Trojan.GenericKD.5576386)에 대해 살펴보도록 하겠습니다. 검색 도우미 : newgoplus (2017.5.22) 해당 광고 프로그램은 기존에 공개된 newgoplus 광고 프로그램의 업데이트 버전이므로 참고하시기 바랍니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\Local\Temp\C_1572.NLS C:\Users\%UserName%\AppData\Local\Temp\C_1623.NLS C:..
벌새::Analysis 2017. 7. 2. 14:22 "Cerber 랜섬웨어 → CRBR Encryptor 랜섬웨어" 이름 변화와 대응 방법 (2017.7.2) 국내 인터넷 사용자 중 랜섬웨어(Ransomware) 감염으로 피해를 입는 경우 90%~95% 가량이 Cerber 랜섬웨어로 추정될 정도로 1년 넘게 가장 활발하게 유포가 이루어지고 대표적인 랜섬웨어입니다. mp3 파일 검색으로 인한 Cerber 랜섬웨어(Ransomware) 감염 주의 (2016.11.7) Cerber 랜섬웨어(Ransomware)의 가장 대표적인 감염 방식은 보안 업데이트가 제대로 이루어지지 않은 PC 환경에서 취약점(Exploit) 코드가 포함된 웹 사이트에 접속하는 과정에서 자동으로 감염되는 방식이며, 일반적으로 광고 배너를 차단하면 된다고 알려져 있지만 실제로는 문제 사이트에 접속하는 것 자체가 감염의 시작점이 될 가능성이 높습니다. 그런데 2017년 6월 27일경부터 기존의 C..

티스토리툴바