본문 바로가기

스크립트

벌새::Analysis 2013. 1. 28. 12:58 Referrer 체크를 통한 티스토리(Tistory) 블로그 악용 사례 (2013.1.28) 최근 네이버(Naver) 지식인 서비스에 다수의 계정을 이용하여 성인 화상 채팅 관련 홍보글을 작성하는 마케팅 행위에 티스토리(Tistory) 블로그를 이용하는 부분을 확인할 수 있었습니다. 실제 홍보에 이용된 글을 확인해보면 정상적인 티스토리 블로그 링크를 클릭하도록 하는 방식으로 구성되어 있습니다. 하지만 해당 블로그 URL 주소를 따로 추출하여 웹 브라우저를 이용해 접속해보면 그림과 같이 아무런 글이 존재하지 않는 홍보 목적으로 개설된 블로그로 보입니다. 그렇다면 과연 어떻게 사용자가 홍보글의 링크를 클릭하였을 경우 목적을 달성하는지 확인해 보도록 하겠습니다. 우선 네이버(Naver) 지식인 질문글에 등록된 부분의 소스를 확인해보면 티스토리(Tistory) 블로그 링크에는 어떠한 꼼수 태그(Tag)..
벌새::Security 2012. 8. 29. 13:34 Oracle Java 제로데이(0-Day) 취약점 : CVE-2012-4681 (2012.8.29) 2012년 8월 26일경 해외 보안 연구원에 의해 최초로 확인된 Oracle Java Runtime Environment(JRE) 7 최신 버전의 알려지지 않은 보안 취약점(CVE-2012-4681)을 이용한 악성코드 유포 행위가 발견되었습니다. ▷ Zero-Day Season is Not Over Yet (2012.8.26) ▷ Oracle Java JRE 신규 취약점 주의 권고 (2012.8.28) 해당 유포 행위는 특정 웹 사이트에 접속시 중국(China)에서 제작된 Dadong's JSXX 0.44 VIP 툴을 이용하여 제작된 악성 스크립트를 이용하여 Oracle Java Runtime Environment(JRE) 7 Update 6 최신 버전이 설치되어 있는 환경에서 자동으로 감염되도록 제작되..
벌새::Security 2012. 8. 28. 15:25 avast! 오진 : 수박씨닷컴 스크립트 - HTML:Script-inf (2012.8.28) 국내 온라인 교육 사이트 수박씨닷컴(soobakc.com) 웹 사이트에 접속시 해외 무료 백신으로 유명한 avast! 보안 제품에서 특정 스크립트 파일에 대하여 HTML:Script-inf 진단명으로 오진하는 부분을 확인하였습니다. h**p://www.soobakc.com/common/js/common.js (MD5 : e9f569607e7f041932fddf849fb4ebc9) h**p://www.soobakc.com/common/js/common2.js (MD5 : 344e179f72a7736027ed68ef090f9346) 문제가 된 2개의 스크립트 파일은 common.js 파일의 경우 2012년 1월 13일 등록되어 있으며, common2.js 파일은 2012년 8월 8일경에 서버에 등록된 것으로..
벌새::Security 2012. 8. 23. 19:11 부동산119 웹 사이트 오진으로 인한 알약(ALYac) 사과문 (2012.8.23) (주)이스트소프트(ESTsoft) 업체에서 제공하는 알약(ALYac) 무료 백신 제품이 "부동산119" 웹 사이트에 등록된 정상적인 스크립트 파일을 Exploit.JS.Iframe.Gen 진단명으로 오진하여 사과문을 공개하였습니다. ▷ [사과문] 부동산 119 사이트 오탐지 사과 안내 (2012.8.22) 특히 부동산119 웹 사이트의 공지문을 확인해보면 약 45일 동안 해당 웹 사이트의 common.js 스크립트 파일에 대하여 알약(ALYac) 백신 프로그램이 지속적으로 오진을 한 것이라고 주장하고 있습니다. 반면 알약(ALYac) 업체에서는 2012년 8월 20일 해당 오진에 대한 최초 보고가 확인이 되었으며, 최종적으로 8월 21일자 업데이트를 통해 진단 문제를 해결하였다고 밝히고 있습니다. 해당 ..
벌새::Analysis 2012. 5. 29. 03:35 네이버 외부 위젯 서비스에 등록된 악성 위젯 주의 (2012.5.29) 이번 주말경부터 네이버(Naver) 블로그를 중심으로 해킹된 네이버 계정으로 추정되는 블로그에 다음(Daum) 위젯 뱅크에 등록된 특정 악성 위젯을 심는 방식으로 네이버 블로그 접속시 납치 행위를 하는 사례를 확인하였습니다. 우선 현재 네이버 블로그에서는 네이버 자체에서 제공하는 위젯 이외에 외부(위자드 팩토리, 다음 위젯 뱅크)에서 위젯을 불러올 수 있는 서비스를 베타(Beta) 테스트하고 있는 것으로 알고 있습니다. 이에 따라 외부에 노출된 네이버 계정 정보로 접속한 사이버 범죄자는 해당 계정 사용자가 운영하는 블로그 설정을 변경하여 사용자가 인지하지 못하는 위젯을 등록하여 해당 블로그 방문시 특정 블로그로 자동 납치를 하여 웹하드 광고 행위를 하고 있습니다. 특히 몰래 추가된 위젯은 1px 크기로 ..
벌새::Analysis 2012. 4. 30. 21:39 Spam 이메일 : LInkedin pending messages (2012.4.30) 해외에서 서비스하는 비즈니스 소셜 네트워크 서비스 링크드인(LinkedIn)에서 발송한 초대 메시지로 위장한 스팸(Spam) 메일을 이용하여 사용자가 링크(URL)를 클릭할 경우 Java 취약점을 이용한 제우스봇(ZBot) 악성코드를 감염시키는 사례를 확인하였습니다. 이메일 제목은 "LInkedin pending messages"으로 되어 있으며, 내용은 Nortel 직원이 초대를 하였다는 내용을 포함한 링크가 3개 포함되어 있는 형태입니다. 수신된 메일의 링크 속성값을 확인해보면 수상한 링크라는 것을 눈치챌 수 있으며, 일반적으로 이런 방식의 이메일이 온 경우에는 링크 속성값을 반드시 확인하시고 접속을 하는 습관을 가지시기 바랍니다. 해당 링크를 통해 접속을 시도해보면 다양한 서버로부터 js.js 스크..
벌새::Security 2012. 1. 31. 23:05 AhnLab V3 오진 : 메이플스토리 jquery.easing.1.3.js - JS/Agent (2012.1.31) 안철수연구소(AhnLab) V3 보안 제품에서 (주)넥슨코리아에서 제공하는 메이플스토리(MapleStory) 홈페이지에 접속할 경우 불러오는 jquery.easing.1.3.js 스크립트 파일을 JS/Agent (DB : 2012.01.31.04) 진단명으로 오진하는 사고가 발생하였습니다. 참고로 메이플스토리 홈페이지를 비롯한 특정 JQuery 스크립트를 사용하는 웹 사이트 접속시 동일한 진단명으로 오진이 발생할 것으로 보입니다. ▶ h**p://maplestory.nexon.com/js/common/jquery.easing.1.3.js (MD5 : 6516449ed5089677ed3d7e2f11fc8942) 해당 jquery.easing.1.3.js 파일은 "jQuery Easing v1.3" 파일로 ..
벌새::Security 2012. 1. 9. 12:40 avast! 오진 : 넷마블(NetMarble) ActiveX 스크립트 - HTML:Object-inf (2012.1.9) 국내 온라인 게임 넷마블(NetMarble)에서 제공하는 Netmarble Auto Updater, 키보드보안 K-Defense R6 Manager 관련 ActiveX 설치를 시도할 경우 avast! 보안 제품에서 URL 차단(URL:Mal) 및 HTML:Object-inf 진단명으로 오진하는 것을 확인하였습니다. 최초 사용자가 넷마블 웹 사이트에 접속을 시도할 경우 ActiveX 설치를 통해 배포되는 "Netmarble Auto Updater" 설치창이 생성될 경우, avast! 보안 제품에서는 해당 ActiveX 컨트롤러를 통해 다운로드되는 개체에 대하여 "악의적인 URL 차단" 메시지를 생성하는 것을 확인할 수 있습니다. h**p://download.netmarble.net/ActiveX/NMAut..

티스토리툴바