본문 바로가기

벌새::Analysis

벌새::Analysis 2015. 1. 8. 18:00 검색 도우미 : SbToolN 인터넷 검색을 통해 웹 사이트 접속시 Internet Explorer 웹 브라우저의 좌측 영역에 사이드바 광고를 생성하는 국내에서 제작된 SbToolN 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : SbTool (2013.12.4) 해당 광고 프로그램은 기존의 SbTool 광고 프로그램의 변종으로 2014년 4월경 배포가 시작되었던 것으로 추정되므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\SbToolN C:\Program Files\SbToolN\SbToolN.exe :: 시작 프로그램 등록 파일, 메모리 상주 프로세스 C:\Program Files\SbToolN\SbToolNHelper.dll C:\Program Files\SbToolN\Un..
벌새::Analysis 2015. 1. 6. 18:46 해외 광고 프로그램 : XTab 앞서 소개한 WinZIP 압축 프로그램 설치시 제휴 프로그램으로 설치될 수 있는 "sweet-page uninstall" 광고 프로그램 설치 과정에서 사용자 몰래 설치되는 XTab 악성 광고 프로그램에 대해 살펴보도록 하겠습니다. 사용자 몰래 애드웨어(Adware) 설치를 유도하는 WinZIP 압축 프로그램 주의 (2015.1.5) XTab 악성 광고 프로그램은 기존의 SupTab 광고 프로그램의 변종으로 판단되므로 참고하시기 바랍니다. XTab 광고 프로그램의 설치 과정을 자세하게 살펴보면 "sweet-page uninstall" 광고 프로그램 설치시 특정 서버에서 다운로드된 2.zip 압축 파일 내부에 존재하는 "Taiming Li" 디지털 서명이 포함된 STab_Down.exe 파일(SHA-1 : ..
벌새::Analysis 2015. 1. 5. 20:03 사용자 몰래 애드웨어(Adware) 설치를 유도하는 WinZIP 압축 프로그램 주의 (2015.1.5) 대표적인 압축 프로그램으로 유명한 WinZIP 공식 사이트에서 제공하는 설치 파일을 다운로드하는 과정에서 일부 해외 보안 제품에서 진단되는 이슈가 있는 것을 확인할 수 있습니다. h**p://download.winzip.com/****/winzip19-home.exe (SHA-1 : ea5bcd41d7e31de9350bd2d60498503a3d14ad16) - Avira : Adware/InstallCore.906024, ESET : a variant of Win32/InstallCore.TS (VT : 6/54) 대표적으로 Avira, ESET 보안 제품에서 애드웨어(Adware) 계열로 진단이 이루어지고 있기에 무엇이 문제인지 확인해 보도록 하겠습니다. WinZIP 설치 파일을 이용하여 프로그램 설치..
벌새::Analysis 2015. 1. 2. 20:12 유니코드 확장명이 조작된 HTA 파일을 이용한 일본 성인 광고 주의 (2015.1.2) 일본(Japan) 성인 웹 사이트에서 주로 배포가 이루어지고 있는 HTA 파일 확장명을 가진 파일을 실행할 경우 지속적으로 성인 광고 팝업창이 생성되는 문제로 고생하는 사례를 예전부터 소개한 적이 있었습니다. hta 파일을 이용한 일본 성인 팝업 광고 주의 (2011.10.29) mshta.exe 프로세스를 이용한 일본 성인 광고 주의 (2012.12.5) 예약 작업에 등록된 일본 성인 광고 제거 방법 (2014.6.19) 그런데 최근에 2014년에 분석한 예약 작업과 시작 프로그램 영역에 시작값을 등록하여 시스템 시작시마다 자동으로 실행되는 일본 성인 광고가 유니코드 확장명을 조작하여 유포가 이루어지고 있는 부분을 발견하였습니다. 주요 배포 사이트는 일본(Japan) 성인 웹 사이트에서 제공하는 동영상..
벌새::Analysis 2014. 12. 29. 16:15 결혼식 스미싱(Smishing) 문자를 이용한 "AhnLab V3 Mobile Plus 2.0" 악성앱 유포 주의 (2014.12.29) 스미싱(Smishing) 문자를 통한 악성앱 설치 사례 중 꾸준하게 인기있는 대표적인 사례가 결혼식 관련된 문자이며, 특히 감염된 친구 스마트폰 번호를 통해 문자가 전송된 경우에는 클릭할 확률이 더욱 높아질 것으로 보입니다. 토요일t결혼식c잊지말고y축복하러s와주세요g웨딩q사진첩 h**p://twr.kr/EKOX?****** 최근 무작위로 배포가 이루어지고 있는 대표적인 결혼식 스미싱(Smishing) 문자를 통해 다운로드된 악성 APK 파일을 통한 어떤 문제가 유발될 수 있는지 살펴보도록 하겠습니다.(※ 제발 스미싱(Smishing) 문자 필터링을 우회하려고 비정상적인 문자가 포함된 링크(URL)은 호기심이라도 클릭하지 마시기 바랍니다.) 스미싱(Smishing) 문자에 포함된 단축 URL 주소를 클릭할..
벌새::Analysis 2014. 12. 28. 14:40 검색 도우미 : Hellopop 인터넷 검색 후 Internet Explorer 웹 브라우저 종료시 광고창을 생성할 수 있는 국내에서 제작된 헬로팝(Hellopop) 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : PowerSearch (2013.7.23) 외 5종 검색 도우미 : window unit pop (2014.1.22) 검색 도우미 : IEsearchhelp (2014.5.13) 해당 프로그램은 2013년 하반기경부터 배포가 이루어졌을 것으로 추정되며 현재는 기존에 설치된 사용자 외에는 발견되지 않는 것으로 보입니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\Hellopop C:\Program Files\Hellopop\Hellopop.exe :: 시작 프로그램 등록 파일, 메모리 상주 프..
벌새::Analysis 2014. 12. 27. 19:04 삭제시 주의가 요구되는 SettingsGuard 해외 광고 보호 프로그램 (2014.12.27) 최근 해외 사이트에서 배포되는 다수의 제휴 프로그램과 함께 설치되는 프로그램 중 광고 프로그램이 지정한 홈 페이지 설정값을 보호하는 기능을 가진 SettingsGuard 프로그램이 설치되는 사례가 발견되고 있습니다. SettingsGuard 프로그램은 기존의 유사한 기능을 가진 "Settings Manager" 프로그램의 변종으로 공통적으로 제어판을 통한 삭제시 마치 삭제된 것처럼 표시되지만 전혀 삭제되지 않는 문제가 확인되고 있습니다. 대표적인 배포 방식을 살펴보면 해외 사이트에 노출되는 "Update Your Video Plugin?"와 같은 광고 배너를 클릭할 경우 다음과 같은 유사 웹 사이트로 연결됩니다. 연결된 웹 사이트에서는 온라인 동영상 재생을 위해 설치해야하는 코덱(Codec)이 필요하다는..
벌새::Analysis 2014. 12. 25. 15:22 국내 악성코드 : clover1217 인터넷 검색 활동 이후 Internet Explorer 웹 브라우저를 종료하는 시점에서 자동으로 광고창을 생성할 수 있는 국내에서 제작된 clover1217 악성 광고 프로그램에 대해 살펴보도록 하겠습니다. 국내 악성코드 : conhost (2013.8.6) 해당 프로그램은 기존에 유사한 기능을 가진 conhost 악성 광고 프로그램의 변종으로 확인되고 있으므로 참고하시기 바랍니다. 2014년 5월 12일 : h**p://clover77.net/***/clover.exe (SHA-1 : bfaea532b18a16e5566a561a32b48a6cfbca82ab) - Symantec : Trojan Horse (VT : 6/56) 2014년 8월 23일 : h**p://clover77.net/***/clov..

티스토리툴바