본문 바로가기

벌새::Analysis

벌새::Analysis 2009. 7. 25. 01:30 윈도우 취약점을 악용한 네이트온 악성코드 네이트온(NateOn)을 통해 유포되는 악성코드를 실제 경험해보지 못하였지만 가끔 샘플을 확인하는 과정에서 지금까지는 잘 느끼지 못하였던 부분을 오늘 제대로 확인을 한 것 같습니다. [악성코드 유포 경로] h**p://cyworId.****.com/view/68890/Secret3421_JPG - h**p://www.tkle*****.co.kr/board/file/1248276034.sorry?/view/68890/Secret3421_JPG -> (파일 다운로드) h**p://mam**-****.org/gf/download/snippet/15/1207/Secret3421.scr 초기 싸이월드(Cyworld)가 포함된 유사 도메인을 이용하여 불특정인에게 링크를 배포합니다. 일반인의 경우 눈에 익숙한 링크와..
벌새::Analysis 2009. 7. 21. 17:36 심파일을 닮은 위험한 공개 자료실 글 제목이 다소 자극적입니다만 ActiveX를 통한 특정 서비스를 이용하는 것과 함께 추가적으로 제공되는 스폰서 프로그램의 문제에 대해 생각을 해 보도록 하겠습니다. 해당 게시글에서 예를 드는 특정 서비스의 명칭 및 해당 업체 정보는 모자이크 처리를 하였음을 밝힙니다. 이유는 해당 서비스는 제가 봐서는 심파일의 저작권을 침해하는 행위를 했다고 생각되기 때문입니다.(아니면 심파일의 동의를 구했는지도 모르겠습니다.) 최근 국내에 알려진 소프트웨어 공개 자료실 이외에 각종 포털 검색 사이트에 등록을 하여 사용자가 이용하도록 구성된 소규모 공개 자료실이 생겨나고 있습니다. 이런 공개 자료실은 큰 특징이 바로 ActiveX 설치를 통한 서비스 이용을 목표로 하고 있으며(물론 심파일 등 대부분의 자료실이 정상적인 ..
벌새::Analysis 2009. 7. 16. 13:09 검색 도우미 : 바로고 (Barogo) 엔에프아이네트웍 업체에서 서비스하는 인터넷 검색 도우미 바로고(Barogo) 툴바에 대해 살펴보도록 하겠습니다. 프로그램의 설치 단계에서는 이용약관을 제공하고 있으며 동의시 설치가 이루어집니다. 테스트 환경에서는 설치 다음 단계의 화면을 제공되지 않으므로 실제 사용자는 해당 툴바가 어느 폴더에 파일을 생성하는지 여부 등에 대해 확인할 수 없으며, 프로그램의 버그인지 해당 화면이 종료가 되지 않는 등의 문제가 발생하는 것을 확인할 수 있었습니다. 해당 프로그램의 생성 폴더는 [BPG Search Helper]라는 이름으로 등록되어 있으므로 사용자가 바로고라는 이름으로 검색시 찾기 어렵도록 구성된 느낌입니다. 특히, 프로그램의 삭제를 하기 위해 제어판의 삭제 목록을 찾아보면 해당 프로그램은 존재하지 않으며,..
벌새::Analysis 2009. 7. 13. 13:14 [삭제] 파일 공유 서비스 : 짱이야 (jjang2ya) YS 네트워크 업체에서 서비스하는 파일 공유 서비스 짱이야(jjang2ya) 프로그램이 삭제 후에 문제가 있는 부분을 발견하였습니다. 해당 테스트에서는 제작사 홈페이지에서 제공하는 수동 설치 파일을 통해 살펴보겠으며, 일반적으로 ActiveX 방식으로 설치하여 이용하는 것으로 추정이 됩니다. 제품 설치와 삭제 과정 및 추가적으로 설치되는 바로가기 아이콘에 대해서 자세하게 살펴보도록 하겠습니다. 1. 설치 과정 살펴보기 제품의 설치 파일은 그림과 같이 일반적인 프로그램의 초기 화면에서 제공하는 이름 제시 등이 미완성된 형태로 구성되어 있습니다. 다음 단계에서는 추가되는 옵션 항목이 제공되는데 그림과 같이 화면이 많이 깨지는 현상을 보이고 있습니다. 추가적으로 설치되는 항목 중에서 바탕화면에 옥션 바로가기 ..
벌새::Analysis 2009. 7. 9. 12:05 적립금 프로그램 : 캐쉬백모아 (Cashbackmoa) 오마이비즈 업체에서 서비스하는 적립금 프로그램 캐쉬백모아(Cashbackmoa) 제품에 대해 살펴보도록 하겠습니다. 국내 악성코드 치료 프로그램 - 코드마스터 (CodeMaster) 해당 테스트에서는 제작사 홈페이지에서 제공하는 설치 파일을 이용하였으며, 해당 설치 파일은 그림과 같이 해외 보안제품 다수가 악성코드로 진단하고 있는 것을 확인할 수 있습니다. 국내 보안제품이 진단하지 않는 이유는 진단정책에 따른 문제로 추정됩니다. 제품의 설치 단계에서는 어떠한 이용약관을 제공하지 않으면서 그림과 같이 약관에 동의를 하였다고 표시가 되고 있습니다. 단지 해당 제작사 홈페이지에서는 회원 가입 단계에서 이용약관을 제시하고 있는 것을 확인할 수 있었습니다. [생성 레지스트리 정보] HKEY_CLASSES_ROOT..
벌새::Analysis 2009. 7. 6. 20:22 파일 공유 가제트 분석 (주)하나로네트웍스 업체에서 서비스하는 파일 공유 서비스 가제트 프로그램을 이용하시는 분들이 참고할 몇 가지 사항에 대해 살펴보도록 하겠습니다. 일반적으로 국내에서 서비스되는 대다수의 파일 공유 서비스는 해당 서비스 이용 여부와 관계없이 사이트의 특정 컨텐츠에 접근하는 것만으로도 ActiveX 방식의 프로그램을 설치할지 여부를 묻고 있습니다. 이로 인하여 사용하지 않을 경우에도 설치될 수 있으며, 일부 프로그램의 경우에는 해당 서비스에서 제공하는 삭제 방식을 이용하더라도 추가적인 삭제를 하지 않을 경우 해당 사이트 접속으로도 재설치가 될 수 있는 부분이 있습니다. 해당 파일 공유 서비스 역시 ActiveX 방식으로 설치를 시도하고 있으며, 테스트에서는 ActiveX 방식을 통해 설명을 하겠습니다. 해당 ..
벌새::Analysis 2009. 7. 6. 13:46 검색 도우미 : 프리탭서치 (FreeTabSearch) 엠브이(MV) 커뮤니케이션 업체에서 서비스하는 검색 도우미 프로그램 프리탭서치(FreeTabSearch) 제품에 대해 살펴보도록 하겠습니다. 국내 악성코드 치료 프로그램 - 디비클린 (DB Clean) 해당 프로그램은 일반적으로 타 서비스에 스폰서 프로그램 방식으로 추가가 되리라 생각되며, 설명에서는 해당 제작사에서 제공하는 설치 파일을 통해 설명해 드리겠습니다. 일부 사용자의 경우 자신의 컴퓨터에 설치된 경우 프로그램 목록 상에는 보이지 않으며, 제어판의 삭제 목록에만 제시되어 실제 해당 프로그램이 어떤 기능을 하는지, 어떤 경로로 설치되었는지 모르는 경우가 존재한 것으로 알려져 있습니다. 해당 제품은 설치시 이용약관 제시와 동의과정을 거치는 정상적인 프로그램입니다. [이용약관에서 밝히는 제품 소개] ..
벌새::Analysis 2009. 7. 4. 23:04 국내 애드웨어 : 가짜 네이버 동영상 코덱을 가장한 Tpack21 분석 2009년 4월 중순경부터 확인되기 시작한 각종 사회적 이슈 동영상으로 위장한 국내 광고 설치를 유도하는 방식의 애드웨어에 관해 이야기를 하면서 그 중심에 Tpack21 서버와 관련된 부분을 마지막으로 5월경까지 배포되는 것을 확인하였습니다. K-Lite Codec Pack으로 위장한 국내 애드웨어 배포 군대 하극상 동영상으로 위장한 국내 애드웨어 유포 국내 애드웨어 전문 유포자를 추적해 보자! 국내 애드웨어의 유포 방식 - Tpack21 사례 그 후로도 국내 보안업체 업데이트 목록에서는 가끔씩 해당 악성코드에 대한 추가적인 변종을 포함하는 것을 보며 여전히 배포가 이루어지고 있음을 알고 있었는데 최근 네이버(Naver) 블로그를 통해 방대한 글을 이용하여 배포를 하는 것을 확인하여 해당 악성코드에 대한..

티스토리툴바