본문 바로가기

네이버

벌새::Analysis 2014. 3. 5. 14:51 블로그 광고 배너를 통한 인터넷뱅킹 악성코드 유포 주의 (2014.3.5) 어제밤(2014년 3월 4일) 늦은 시간에 특정 광고 배너가 포함된 티스토리(Tistory) 블로그를 보던 중 광고 배너를 통해 인터넷뱅킹 악성코드가 유포되고 있는 부분을 발견하였습니다. 해당 블로그 상에서 취약점(Exploit) 방식으로 유포되는 것으로 확인된 악성코드가 어떤 경로를 통해 노출이 이루어지고 있는지 확인해 보았습니다. 확인 결과 블로그 하단 영역에 추가한 CPC 광고 배너로 알려진 특정 광고 서버에 악성 iframe이 추가되어 노출이 발생하며, 이를 통해 접속한 사용자 PC에 설치된 특정 응용 프로그램의 보안 패치가 이루어지지 않은 경우 자동 감염(Drive-By Download) 방식으로 설치가 이루어질 수 있습니다. h**p://kong***.com/index.html (SHA-1 :..
벌새::Analysis 2014. 2. 25. 00:40 네이버(Naver) 피싱 사이트 "www.cl-air.com" 접속 주의 (2014.2.25) 국내 포털 사이트 네이버(Naver)의 로그인 웹 페이지와 유사하게 제작된 피싱(Phishing) 사이트 "www.cl-air.com"를 통해 계정 정보(아이디(ID), 비밀번호(Password))를 수집하는 사례가 발견되고 있습니다. 정확하게 어떤 방식으로 해당 사이트에 접속하도록 유도하는 것인지는 확인되지 않고 있지만, 일부 사용자의 경우 정상적인 네이버(Naver) 웹 사이트로 착각하여 로그인을 시도하고 있는 것으로 보입니다. ▷ 네이버(Naver) 계정 정보를 수집하는 스미싱 문자 주의 (2013.10.24) 참고로 네이버(Naver) 공지에서는 스미싱(Smishing) 문자 메시지를 통해 가짜 네이버(Naver) 웹 사이트로 접속을 유도하여 계정 정보를 수집하는 행위에 대해 경고를 한 적이 있었..
벌새::Analysis 2014. 2. 24. 20:29 네이버 지식인 출처 링크를 이용한 국내 애드웨어 유포 사례 (2014.2.24) 국내에서 제작된 애드웨어(Adware) 배포를 목적으로 네이버(Naver) 지식인의 답변 출처 기능을 이용하는 사례가 확인되어 살펴보도록 하겠습니다. 확인된 지식인 답변글을 살펴보면 Windows 정품 인증 관련 파일을 다운로드하도록 답변한 후 "답변 출처" 기능에 네이버(Naver) QR코드 주소(m.site.naver.com/qrcode)를 등록하여 클릭하도록 유도하고 있습니다. ▷ 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2.13) 특히 네이버(Naver) QR코드 주소는 사용자로 하여금 네이버(Naver) 도메인 주소로 표시되어 신뢰감을 준다는 점에서 국내 애드웨어(Adware) 유포에 활용되는 것으로 파악되고 있습니다. 이를 통해 최종적으로 다운로드된 파일은 "Pacif..
벌새::Analysis 2014. 2. 19. 21:01 국내 악성코드 : WMIPPlus 특정 검색 키워드 값을 이용하여 백그라운드 방식으로 인터넷 검색을 통해 특정 웹 페이지로 연결되며, 프로그램 삭제를 지원하지 않는 WMIPPlus 프로그램에 대해 살펴보도록 하겠습니다. ▷ 이니텍(INITECH) 프로그램으로 위장한 IniCert 프로그램 유포 주의 (2012.12.28) 외 6종 ▷ 국내 악성코드 : RealWeb + Search Helper _ nc. soft (2013.10.29) 외 5종 ▷ 국내 악성코드 : WNetPlus (2014.2.14) 해당 프로그램은 예전부터 유사 기능을 가진 다양한 변종을 유포하고 있었으므로 참고하시기 바랍니다. h**p://runty107.pnsweb.net/ls_install.asp?mac=(사용자 Mac Address)&code=A1111 프로그..
벌새::Analysis 2014. 2. 14. 15:03 국내 악성코드 : WNetPlus 사용자 몰래 백그라운드 방식으로 특정 검색 키워드 값을 이용한 네이버(Naver) 검색을 시도하며, 가짜 프로그램 삭제 기능을 통해 사용자를 기만하는 국내에서 제작된 것으로 추정되는 WNetPlus 악성 프로그램에 대해 살펴보도록 하겠습니다. ▷ 이니텍(INITECH) 프로그램으로 위장한 IniCert 프로그램 유포 주의 (2012.12.28) 외 6종 ▷ 국내 악성코드 : MSTools (2013.6.18) 외 4종 ▷ 국내 악성코드 : RealWeb + Search Helper _ nc. soft (2013.10.29) 해당 악성코드는 2011년경부터 지속적으로 변종이 발견되고 있으므로 참고하시기 바랍니다. h**p://tyty9553.pnsweb.net/ls_install.asp?mac=(사용자 M..
벌새::Analysis 2014. 2. 13. 18:32 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2.13) 최근 스팸(Spam) 블로그를 통해 국내에서 제작된 광고 프로그램을 유포하는 방식을 보던 중 네이버(Naver) QR코드 주소를 이용한 파일 다운로드 수법이 확인되어 과정을 살펴보았습니다. 이번에 확인된 블로그의 경우에는 한컴오피스 2010 체험판을 다운로드할 수 있다는 홍보글을 통해 마치 블로그에 첨부 파일이 등록된 것처럼 사용자 눈을 속이고 있습니다. 실제 블로그에 첨부 파일을 업로드할 경우 파일 아이콘이 생성되는데, 해당 유포 블로그에서는 그림 파일(exe.gif)을 통해 첨부 파일이 블로그에서 다운로드되는 것처럼 꼼꼼하게 작성되어 있습니다. 하지만 실제 파일(hoffice2010trial.exe) 링크는 네이버 QR코드에서 사용하는 주소(m.site.naver.com/qrcode)로 연결이 되며,..
벌새::Software 2014. 2. 9. 14:59 파밍(Pharming), 피싱(Phishing) 사이트 접속을 경고하는 곰안티피싱 1.0 버전 최근 그래텍(Gretech) 업체에서 제공하는 동영상 플레이어 곰플레이어(GomPlayer) 프로그램을 설치할 때 곰안티피싱(GomAntiPhishing) 프로그램을 기본값으로 추가하여 배포하고 있습니다. 특별히 보안 솔루션을 서비스하는 업체가 아닌데 곰안티피싱 프로그램을 제공하는 이유는 정확하게 알려지지 않았지만, 국내 인터넷 사용자를 대상으로 한 인터넷뱅킹 악성코드가 광범위하게 유포되고 있다는 현실에 따라 배포하는 것이 아닌가 생각됩니다. 곰플레이어(GomPlayer)를 설치하는 과정에서 기본 설치 항목에 등록된 "곰안티피싱 설치"는 기본값으로 체크된 상태이며, 홈 페이지에서는 공개적으로 설치 파일은 따로 제공하지 않고 있습니다. 곰안티피싱 프로그램이 설치된 환경에서는 "C:\Program Files..
벌새::Analysis 2014. 2. 4. 16:25 검색 도우미 : newtab Internet Explorer 웹 브라우저의 홈 페이지 주소를 변경하며, 새 탭을 오픈하는 과정에서 특정 제휴 코드가 추가되는 것으로 추정되는 검색 도우미 newtab 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램은 2013년 1월~3월경 유포가 활발하게 이루어진 것으로 보이며, 기존의 clickup 검색 도우미의 업데이트 기능을 통해 사용자 몰래 파일 다운로드를 통해 설치가 이루어졌을 것으로 추정됩니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Local\newtab C:\Users\(사용자 계정)\AppData\Local\newtab\newtab.exe :: 시작 프로그램 등록 파일 C:\Users\(사용자 계정)\AppData\Local\newtab\..

티스토리툴바