본문 바로가기

난독화

벌새::Analysis 2016. 11. 7. 18:29 mp3 파일 검색으로 인한 Cerber 랜섬웨어(Ransomware) 감염 주의 (2016.11.7) 문서, 사진, 음악, 압축, 동영상 등의 개인 파일을 암호화하여 금전을 요구하는 Cerber 랜섬웨어(Ransomware)는 현재 국내 인터넷 사용자들이 가장 쉽게 감염될 수 있는 대표적인 랜섬웨어입니다. 랜덤(Random) 확장명으로 변신한 Cerber 랜섬웨어 소식 (2016.10.2) 현재 유포되는 Cerber 랜섬웨어(Ransomware)는 2016년 10월 초 (Random 파일명).(4자리 Random 확장명) 형태로 암호화되고 있으며, 2016년 10월 말경부터 Cerber Ransomware 4.1.x 버전으로 마이너 업그레이드가 이루어진 상태입니다. 그렇다면 실제 어떻게 사용자가 Cerber 랜섬웨어에 감염되어 파일 암호화가 진행되는지 시각적으로 공개된 정보가 없기에 감염 과정에 대해 살..
벌새::Analysis 2016. 11. 3. 20:48 메일에 첨부된 Windows 스크립트 파일(.wsf) 실행 시 Locky 랜섬웨어(.thor) 감염 주의 (2016.11.3) 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내부에 포함된 Windows 스크립트 파일(.wsf)을 실행할 경우 악성 DLL 파일을 추가 다운로드하여 문서, 사진, 음악 등 개인 파일을 .thor 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 변종이 국내에서 발견되어 살펴보도록 하겠습니다. 2016년 2월 중순경 : (Random 파일명).locky 2016년 6월 말 : (Random 파일명). zepto 2016년 9월 말 : (Random 파일명).odin 2016년 10월 24일 : (Random 파일명).shit 2016년 10월 25일 : (Random 파일명).thor 2016년 2월 중순경 최초 유포가 확인된 Locky 랜섬웨어는 악성 EXE 파일 형태 또는 악성 ..
벌새::Analysis 2016. 3. 18. 12:36 Invoice 악성 메일에 첨부된 MS Word 매크로 악성코드 유포 주의 (2016.3.18) 랜섬웨어(Ransomware) 유포의 한 축을 담당하는 메일 첨부 파일을 이용한 방식이 최근 Dridex 봇넷을 통해 국내에서도 대규모로 발견되고 있으며, 어제 소개한 JS 스크립트 방식 외에도 첨부된 서식있는 텍스트(rtf) 문서 파일을 오픈할 경우 감염을 유발시킬 수 있는 사례가 추가로 확인되었습니다. 스팸 메일에 첨부된 JS 스크립트 파일을 통한 Locky 랜섬웨어 감염 주의 (2016.3.17) 확인된 "Invoice KHINV55663 from Tip Top Delivery" 제목의 메일에는 Invoice_KHINV55663_from_tip_top_delivery.rtf 문서 파일(SHA-1 : 745f519e41610bd5a89edb1359ced486474cca7f - BitDefender :..
벌새::Analysis 2015. 1. 2. 20:12 유니코드 확장명이 조작된 HTA 파일을 이용한 일본 성인 광고 주의 (2015.1.2) 일본(Japan) 성인 웹 사이트에서 주로 배포가 이루어지고 있는 HTA 파일 확장명을 가진 파일을 실행할 경우 지속적으로 성인 광고 팝업창이 생성되는 문제로 고생하는 사례를 예전부터 소개한 적이 있었습니다. hta 파일을 이용한 일본 성인 팝업 광고 주의 (2011.10.29) mshta.exe 프로세스를 이용한 일본 성인 광고 주의 (2012.12.5) 예약 작업에 등록된 일본 성인 광고 제거 방법 (2014.6.19) 그런데 최근에 2014년에 분석한 예약 작업과 시작 프로그램 영역에 시작값을 등록하여 시스템 시작시마다 자동으로 실행되는 일본 성인 광고가 유니코드 확장명을 조작하여 유포가 이루어지고 있는 부분을 발견하였습니다. 주요 배포 사이트는 일본(Japan) 성인 웹 사이트에서 제공하는 동영상..
벌새::Analysis 2014. 12. 16. 20:10 FedEx 스팸 메일을 통해 유포되는 AVC Plus 해외 가짜 백신 주의 (2014.12.16) 최근 FedEx 해외 화물 배송 업체에서 발송한 것처럼 위장한 악성 스팸 메일의 첨부 파일을 실행할 경우 해외 가짜 백신(FakeAV)에 감염되는 문제가 발견되고 있기에 관련 정보를 살펴보도록 하겠습니다. 특히 해외 직구가 국내에서 활발하게 이루어짐에 따라 해외 배송 관련 메일 수신시 첨부 파일 또는 메일 본문에 포함된 URL 주소를 클릭하여 악성코드에 감염되는 사례가 증가할 것으로 보입니다. □ 메일 제목 : ○○○, Problems with item delivery, n.000636619 □ 메일 내용 Dear ○○○, Support Agent. Please, open email attachment to print shipment label. Yours trully, Raul Schultz, Supp..
벌새::Analysis 2014. 6. 19. 01:13 예약 작업에 등록된 일본 성인 광고 제거 방법 (2014.6.19) 예전부터 일본 성인 사이트를 자주 방문하는 사용자들 중에서 동영상 재생을 목적으로 다운로드한 HTML 응용 프로그램(.hta) 파일을 실행하였다가 반복적으로 생성되는 일본 성인 광고 팝업창 때문에 고생하는 경우가 있었습니다. hta 파일을 이용한 일본 성인 팝업 광고 주의 (2011.10.29) mshta.exe 프로세스를 이용한 일본 성인 광고 주의 (2012.12.5) 그런데 이런 일본 성인 광고 팝업창이 근래에는 파일 방식이 아니라 시작 프로그램과 예약 작업 영역에 등록하여 구현되는 방식으로 인해 삭제에 어려움을 겪고 있기에 기본적인 제거 방법에 대해 살펴보도록 하겠습니다. 참고로 국내법 강화에 따라 일본 성인 사이트 상당수 접속시 "불법 · 유해 정보(사이트)에 대한 차단 안내" 사이트(warni..
벌새::Analysis 2014. 6. 5. 21:04 바로가기 아이콘 생성 프로그램 : LinkDirect 바탕 화면과 Internet Explorer 웹 브라우저의 명령 모음에 11번가, G마켓, 옥션 바로가기 아이콘을 생성할 수 있는 LinkDirect 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\LinkDirect C:\Program Files\LinkDirect\linkdirectT.exe :: 시작 프로그램 등록 파일 C:\Program Files\LinkDirect\Uninstall.exe :: 프로그램 삭제 파일 C:\Program Files\LinkDirect\url2.dll C:\Users\(사용자 계정)\Desktop\옥션에서 싸게 사자.url [생성 파일 진단 정보] C:\Program Files\LinkDirect\linkdire..
벌새::Analysis 2014. 4. 19. 19:43 백도어(Backdoor) 설치를 시도하는 "mspop 1.0" 광고 위장 프로그램 유포 주의 (2014.4.19) 2014년 4월 16일경부터 광고 프로그램의 설치가 이루어지는 제휴 프로그램 방식으로 광고 프로그램으로 위장한 악성코드가 유포되고 있는 부분을 발견하였으며, 주말을 이용하여 추가적인 악성 파일 다운로드 및 설치를 통해 원격 서버(C&C)와 통신을 시도하고 있기에 살펴보도록 하겠습니다.대표적인 유포처는 스팸(Spam) 블로그 등을 통해 정상적인 소프트웨어를 다운로드하는 과정에서 추가적으로 설치를 유도하는 제휴 프로그램 중 "그리드" 항목을 통해 설치가 이루어지고 있으며, 해당 "줌파일 다운로더"는은 기존에도 "나라소프트"와 같이 유사 변종을 유포하였던 것으로 확인되고 있습니다. ▷ 국내 악성코드 : Windows todayx86 (2012.11.29) ▷ 국내 악성코드 : Windows ctpop (201..

티스토리툴바