본문 바로가기

광고

벌새::Analysis 2010. 12. 7. 20:44 pe.kr 도메인을 이용한 웹하드 광고 악성 스크립트 tuga.js 주의 (2010.12.7) 국내 인터넷 상에서 언제부터인지 pe.kr 도메인을 이용한 광고 행위가 증가하고 있으며, 특히 포털 사이트 검색에서 상위에 위치하거나 대량으로 등록하여 노출을 증가시키는 방식으로 웹하드 등 금전적 목적으로 이용되는 것을 확인할 수 있습니다. 특히 근래에는 해당 광고에 사용되는 tuga.js 스크립트 파일에 대해 일부 해외 보안 제품에서 악성코드로 진단하는 부분을 확인하였기에 전체적인 흐름을 살펴보도록 하겠습니다. 인터넷 사용자가 네이버(Naver)와 같은 검색을 통해 특정 검색어를 입력할 경우 블로그 영역의 최상단에 그림과 같은 4개의 결과 중 2개가 pe.kr 도메인을 포함한 내용이 노출이 되며, 해당 검색 내용은 의미가 없는 내용으로 구성되어 있는 것을 확인할 수 있습니다. [테스트 연결 URL 정보..
벌새::Analysis 2010. 12. 5. 10:23 인터넷 쇼핑몰 CJmall 도메인을 이용한 웹하드 광고 (2010.12.5) 국내 웹하드 추천인을 통한 수익을 창출하기 위하여 블로그 등 인터넷 게시판에 다양한 방식의 광고가 출현하고 있는데 이번에는 인터넷 쇼핑몰 CJmall(cjmall.com) 도메인을 이용한 광고가 확인이 되어 살펴보도록 하겠습니다. 최근에 작성된 특정 블로그의 게시물로 무료 MP3를 다운로드할 수 있다는 광고글을 통해 그림과 같이 링크를 통해 접속을 유도하고 있습니다. 해당 접속 URL 정보를 살펴보면 CJmall 도메인이 앞에 나오고 뒷 부분에 광고자가 추가한 리다이렉트(Redirect) 방식의 특정 URL가 포함되어 있습니다. 해당 접속 경로를 추적해보면 첫 번째로 확인할 수 있는 부분이 CJmall 도메인이 포함된 URL 정보에서 document.location.replace(URL) 스크립트를 이용..
벌새::Analysis 2010. 11. 29. 20:38 제휴(스폰서) 프로그램 : iBoxInfo 국내에서 제작되어 사용자 PC에 설치된 경우 Internet Explorer 실행 과정에서 광고 등의 정보가 노출될 것으로 추정되는 iBoxInfo 프로그램에 대해 살펴보도록 하겠습니다. [생성 파일 등록 정보] C:\Program Files\iboxinfo\iboxinfo.dll :: BHO 등록 파일 C:\Program Files\iboxinfo\iboxinfo.exe C:\Program Files\iboxinfo\iboxinfoun.exe :: 프로그램 삭제 파일 C:\WINDOWS\system32\iboxsetup.exe :: iBoxInfo 설치 파일 C:\WINDOWS\system32\inetko.dll C:\WINDOWS\system32\MSINET.OCX C:\WINDOWS\system32..
벌새::Analysis 2010. 11. 27. 21:35 티스토리(Tistory) 블로그 스킨 파일 업로드를 이용한 웹하드 광고 (2010.11.27) 티스토리(Tistory) 블로그를 활용한 웹하드 광고 기법은 댓글, 트랙백에 자동화된 프로그램을 이용하여 등록하는 방식에서 벗어나 최근에는 스킨(Skin) 파일 업로드 기능을 이용하여 웹하드 광고를 하는 것을 확인하였습니다. 외부 단축 URL과 같은 서비스를 이용하여 티스토리 특정 계정의 스킨 영역에 그림과 같은 html 파일을 등록하여 다양한 방식으로 접속을 유도합니다. 접속자는 해당 웹하드 등록 게시물처럼 구성된 페이지의 무료 보기 버튼을 클릭할 경우, 국내 특정 웹하드의 추천인 아이디가 등록된 경로를 통하여 가입 페이지로 연결되는 동작을 하고 있습니다. 실제 티스토리 블로그의 관리자 모드에서 스킨 파일 업로드 항목을 살펴보면, 그림과 같이 일반적으로 그림 파일로 등록되는 URL 주소가 해당 웹하드 ..
벌새::Analysis 2010. 11. 27. 16:07 스프링노트(SpringNote) 계정을 이용한 악성 프로그램 유포 주의 (2010.11.27) 최근 몇 개월동안 국내에서 서비스하는 웹노트 서비스인 스프링노트(SpringNote) 계정을 이용하여 정상적인 소프트웨어, 게임, 불법 파일 등으로 위장한 악성 프로그램을 블로그에 업로드하여 설치를 유도하는 행위가 있으므로 주의가 요구됩니다. 국내 애드웨어 : T-Solution Package (2009.9.16) 해당 유포 방식은 2009년경 국내에서 블로그 등 인터넷 게시판을 통해 유포되던 Tpack21, T-Solution Package 방식과 유사하므로 참고하시기 바랍니다. 이번 유포 방식의 경우 개인적으로 다소 관리가 부실한 다음(Daum), 파란(Paran) 등의 블로그를 개설하여 그림과 같이 인터넷 사용자들이 많이 찾는 프로그램을 소개하는 방식으로 유도하여, 해당 게시글에서 제공하는 UPX ..
벌새::Analysis 2010. 11. 27. 11:40 검색 도우미 : addendum (ts) - 1.1.0.2 국내에서 제작된 인터넷 검색시 좌측 사이드바에 스폰서 링크 광고가 노출되는 검색 도우미 addendum (ts) - 1.1.0.2 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : addendum_ts - 1.0.0.1 해당 프로그램은 기존의 addendum_ts - 1.0.0.1 버전의 변형된 프로그램으로 추정되므로 참고하시기 바랍니다. 검색 도우미 : Addendum(멀티서치바) 검색 도우미 : Addendum - NM (2010.11.26) 검색 도우미 : Addendum - NM 제휴(스폰서) 프로그램 : Addendum(키워드플러스바) 그 외에도 다양한 Addendum 시리즈 관련 프로그램이 존재하므로 참고하시기 바랍니다. [생성 파일 등록 정보] C:\Program Files\addend..
벌새::Analysis 2010. 11. 17. 16:47 국내 악성코드 : P2P-Worm.Win32.Palevo.bhnc (Kaspersky) 국내 토렌트(Torrent) 공유 관련 사이트에서 제공하는 ActiveX를 통해 유포되어 설치가 이루어지는 [Windows IEK (Random 4자리 영문) Uninstall] 프로그램에 대해 살펴보도록 하겠습니다. [유포 경로] h**p://down.iekey****.com/setup/k004_trb1/torrenbada.cab ㄴ h**p://down.iekey****.com/setup/k004_trb1/setup.exe 인터넷 사용자가 해당 ActiveX가 노출되는 페이지에 접속할 경우 실제 어떤 프로그램이 설치될지 확인하기 매우 어려운 이름으로 설치를 유도하며, 다음과 같은 파일을 생성합니다. [생성 파일 등록 정보] C:\WINDOWS\Downloaded Program Files\torrenb..
벌새::Analysis 2010. 11. 15. 12:00 검색 도우미 : TSearch 국내에서 제작되어 인터넷 검색시 웹 브라우저 좌측 사이드바에 추천 사이트가 생성되는 검색 도우미 TSearch 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : 사이드그린(SideGreen) 해당 프로그램은 사이드그린(SideGreen) 프로그램과 연관성이 있는 것으로 추정되므로 참고하시기 바랍니다. 또한 해당 프로그램의 설치 파일(SHA1 : 18bf378767c818653d95c89fc36df919ec762cb0)에 대하여 nProtect 보안 제품에서는 Backdoor/W32.Agent_Packed.71680 (VirusTotal : 35/43) 진단명으로 진단되므로 참고하시기 바랍니다. [생성 파일 등록 정보] C:\Program Files\TSearch\TSearch.dll :: BHO 등..

티스토리툴바