본문 바로가기

벌새::Analysis

벌새::Analysis 2015. 6. 3. 19:43 토렌트에 포함된 도움말(.chm) 파일을 통한 백도어(Backdoor) 감염 주의 (2015.6.3) 2015년 5월경부터 보고되고 있는 토렌트(Torrent) 파일 공유 방식으로 다운로드된 도움말(.chm) 파일을 통해 백도어(Backdoor) 악성코드를 감염시키는 사례에 대해 살펴보도록 하겠습니다. 안랩, "도움말 파일"로 위장한 토렌트 악성코드 주의보 (2015.6.3) 유포되는 대표적인 토렌트(Torrent) 파일 공유 사이트를 살펴보면 다양한 드라마, 영화 파일에 포함되어 있으며, 대표적으로 "★★감상전에 꼭 필독!!★★.chm" 도움말 파일을 통해 사용자로 하여금 실행하도록 유도하고 있습니다. 동영상 파일과 함께 다운로드된 "★★감상전에 꼭 필독!!★★.chm" 도움말 파일은 2015년 5월 25일경 최초 보고되어 다수의 사용자에게 노출된 것으로 보입니다. 사용자가 "★★감상전에 꼭 필독!!★..
벌새::Analysis 2015. 6. 1. 20:33 Flash Player 업데이트를 요구하는 "Google App Play" 안드로이드(Android) 악성앱 주의 (2015.6.1) 언론 사이트 중 위키트리(wikitree)는 2014년 7월경 웹 사이트 접속시 악성코드 감염을 유발하는 이슈로 문제가 된 적이 있었지만 당시에 공지된 사항에서는 심각하게 받아들이지 않는 분위기였습니다. 위키트리, 악성코드 걱정 전혀 없습니다 (2014.7.31) 위키트리 공용모듈에 악성링크 삽입…PC 및 모바일 모두 위험 (2015.4.17)
벌새::Analysis 2015. 5. 30. 19:50 전화번호 입력을 요구하는 택배 스미싱(Smishing) 문자를 이용한 악성앱 주의 (2015.5.30) 2014년 하반기경부터 전파되는 택배 스미싱(Smishing) 문자 중에서는 가짜 택배 웹 사이트로 접속을 유도하여 문자를 수신한 휴대전화 번호를 입력해야지 APK 악성 파일을 다운로드하는 변칙적인 사례가 발견되고 있었습니다. [한진택배] 배송예약이 많아 1~2 배송문지연 배송정보 다시확인해주세요 h5fo.hiun3.com 최근에 유포된 한진택배 배송 지연 관련 스미싱(Smishing) 문자를 통해 자세하게 살펴보도록 하겠습니다. 수신된 스미싱(Smishing) 문자를 스마트폰 환경이 아닌 PC와 같은 다른 접속 환경으로 접속할 경우에는 자동으로 로젠택배 공식 사이트로 연결(※ 문자 내용과는 달리 한진택배로 연결되지 않습니다.)하여 분석을 방해하고 있으며, 해당 홈 페이지에서는 "운송장 번호 입력"을 통..
벌새::Analysis 2015. 5. 29. 15:36 특정인을 표적으로 한 보이스피싱에 사용된 백도어(Backdoor) 주의 (2015.5.29) 최근 특정인을 대상으로 보이스피싱 전화를 통해 가짜 서울동부지방검찰청(※ 공식 사이트 : spo.go.kr/eastseoul) 웹 사이트로 접속을 유도하는 방식으로 악성 프로그램 설치를 통해 금융 정보를 탈취하는 것으로 추정되는 사례가 확인되었습니다.
벌새::Analysis 2015. 5. 28. 21:40 모바일 청첩장 스미싱(Smishing) 문자를 통한 악성앱 설치 주의 (2015.5.28) 최근 악성앱이 감염된 안드로이드(Android) 스마트폰을 통해 주소록에 등록된 친구들에게 다음과 같은 스미싱(Smishing) 문자를 대량 발송하는 일이 있었습니다.(※ 관련 정보를 제공해주신 바이러스 제로 시즌 2 보안 카페의 "봄나무"님께 감사드립니다. ) 모u바m일,청j첩b장k이,도t착c하,엿z습c니r다 h**p://174.139.55.218:5566/?51263kb 스미싱(Smishing) 문자 자체가 필터링을 우회할 목적으로 정상적인 문장 형태가 아닌데도 용감하게 URL 주소를 클릭하여 감염되는 사람들은 반성을 하시기 바랍니다. URL 주소를 통해 최종적으로 연결되는 웹 서버에서는 중국(China) 업체에서 서비스하는 통계 카운터(Counter)가 포함되어 있으며, "174.139.55.220..
벌새::Analysis 2015. 5. 18. 19:24 검색 도우미 : winapp 인터넷 검색시 사용자 몰래 백그라운드 방식으로 추가적인 인터넷 검색을 시도하는 국내에서 제작된 winapp 광고 프로그램(SHA-1 : a9fb2ff5d651c7237157d9a3c99c35f165cc3159)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\winapp C:\Users\(사용자 계정)\AppData\Roaming\winapp\adarea.dll C:\Users\(사용자 계정)\AppData\Roaming\winapp\unins000.dat C:\Users\(사용자 계정)\AppData\Roaming\winapp\unins000.exe :: 프로그램 삭제 파일 C:\Users\(사용자 계정)\AppData\Roa..
벌새::Analysis 2015. 5. 16. 19:51 가상(VM) 환경에서는 노출되지 않는 InstallCore 해외 광고 프로그램 사례 (2015.5.16) 악성코드 중에서 분석을 방해할 목적으로 가상(VM) 환경에서 동작하지 않게 제작된 파일이 증가하는 것에 발맞춰 광고 프로그램 중에서도 동작시 사용자 PC 환경을 체크하여 실행 여부를 결정하는 사례가 심심찮게 발견되고 있습니다. Potentially Unwanted Program borrows tricks from malware authors (2014.12.31) 특히 해외에서 제작된 InstallCore 배포 파일을 통해 설치될 수 있는 다수의 불필요한 프로그램(PUP)이 가상 환경에서 자신의 노출을 피하는 부분에 대한 정보가 공개된 적이 있었습니다. 위와 같은 불필요한 프로그램(PUP)이 설치되지 않도록 제작사 홈 페이지에서 제공하는 파일을 이용하도록 권장하고 있지만 실상은 그렇지도 못하다는게 함정입..
벌새::Analysis 2015. 5. 14. 22:17 DDoS 공격을 유발하는 PIF 확장자를 가진 성인 동영상 파일 주의 (2015.5.14) 국내 인터넷 사용자를 대상으로 서비스가 이루어지고 있는 성인 토렌트에 등록된 동영상 파일을 다운로드하여 실행할 경우 추가적인 악성 파일 다운로드를 통해 DDoS 공격, 정보 유출 등의 백도어(Backdoor) 기능을 수행하는 유포 행위가 확인되어 살펴보도록 하겠습니다. 해당 토렌트 사이트에 등록된 시드 파일(.torrent)을 통해 다운로드되는 파일을 확인해보면 "[국!nO]돈벌려고 이걸택하기엔 너무 아리따운뇽 !! 완벽에 가깝네.avi.pif" 확장자명을 가진 파일(SHA-1 : BEFCA4A22D2AF85E51844D9B4B3C16A34D0B1E58)임을 알 수 있습니다. 실제 다운로드가 완료되는 순간 AhnLab V3 보안 제품에서는 실시간 검사를 통해 Trojan/Win32.Generic.C238..

티스토리툴바