본문 바로가기

알약

벌새::Software 2016. 6. 21. 13:04 AhnLab V3 백신의 디코이(Decoy) 파일 변경 탐지 방식의 랜섬웨어(Ransomware) 차단 기능 (2016.6.21) 파일 암호화를 통해 금전을 요구하는 랜섬웨어(Ransomware) 피해가 증가함에 따라 안랩(AhnLab) 보안 업체에서는 과거 AhnLab V3 365 Clinic 제품에 랜섬웨어 차단 기능을 추가하였던 적이 있었습니다. 랜섬웨어 차단 기능이 추가된 AhnLab V3 365 Clinic 업데이트 소식 (2015.12.23) 하지만 추가된 랜섬웨어 차단 기능이 특정 환경에서 블루스크린(BSoD) 발생 등의 문제를 유발함에 따라 금새 기능을 제거한 것으로 기억되며, 이후 AhnLab V3 보안 제품에서는 휴지통 영역에 디코이(Decoy) 파일을 추가하는 방식으로 변경되었습니다. 랜섬웨어 차단 알림 기능이 추가된 알약(ALYac) 무료 백신 (2015.12.23) 대표적인 디코이(Decoy) 파일을 활용하는..
벌새::Analysis 2016. 6. 18. 18:33 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) 2016년 초에 특정 이글루스(Egloos) 블로그를 악용하여 AutoHotkey로 제작된 악성코드 유포 활동이 이루어지고 있는 부분에 대해 살펴본 적이 있었습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 당시 분석글에서는 어떤 경로로 이글루스 블로그에 포함된 PNG 악성 파일을 체크하는지 확인하지 못하였는데, 최근 유포 행위의 시작점을 발견하여 추가적으로 살펴보도록 하겠습니다. 2015년 7월 6일경 특정 토렌트(Torrent) 파일 공유 사이트에 게시된 한글 2014 정품 프로그램을 배포하는 시드(Seed) 파일이 배포되기 시작하였습니다. 다운로드된 한글2014.zip 압축 파일 내부에는 성인 광고가 포함된 그림 파일 하나 외에는 ..
벌새::Analysis 2016. 6. 8. 21:05 악성 파일로 사용자 몰래 설치되는 "Smart internet API" 광고 프로그램 주의 (2016.6.8) 2016년 3~4월경에 유포된 것으로 추정되는 Internet Explorer 웹 브라우저의 기본 검색 공급자를 가로채기 시도하는 국내에서 제작된 "Smart internet API" 광고 프로그램이 악성 파일을 통해 사용자 몰래 설치된 정황이 확인되어 살펴보도록 하겠습니다. 최초 해당 이슈를 확인하게 된 동기는 Windows 종료 시 "FrmBrowser: SmartTech.exe - 응용 프로그램 오류" 창이 생성된다는 글을 통해 조사를 시작하였습니다. 확인된 악성 파일 4종은 2016년 4월 12일에 VirusTotal에 등록되어 있으며 세부적인 정보는 다음과 같습니다. SHA-1 : 6d162374dc6d22d8f3cc9407a7bd3b7db0ac7e93 - AhnLab V3 : Worm/Win3..
벌새::Analysis 2016. 5. 26. 18:38 1MB 파일 크기로 위장한 JS 스크립트 파일을 통한 Locky 랜섬웨어 유포 사례 (2016.5.26) 압축 파일이 첨부된 대규모 메일 발송을 통해 랜섬웨어(Ransomware) 감염을 유발하는 유포 행위 중 2016년 5월 12일경 확인된 1MB 크기를 가진 JS 스크립트 파일 사례를 살펴보도록 하겠습니다. 1. 메일 제목 : FW: vendors 해당 스팸(Spam) 메일에 첨부된 vendors_950B9A.zip 압축 파일은 다음과 같은 동일한 Hash값을 가진 JS 스크립트 파일이 포함되어 있습니다. balance 40482.js (SHA-1 : f7b68530e22363f935a8ad7459e91b521e8547c4) - 알약(ALYac) : Trojan.Downloader.JS.VB 특이한 점은 기존의 과는 다르게 JS 파일 크기가 1MB 수준으로 증가하였다는 점이며, 이는 백신 진단 우회 목적..
벌새::Software 2016. 5. 19. 12:05 TeslaCrypt 랜섬웨어 시대의 종말과 복호화 도구 공개 (2016.5.19) 2015년 초에 등장하여 최근까지 문서, 사진, 압축 파일 등을 암호화하여 돈을 요구하던 TeslaCrypt 랜섬웨어(Ransomware)가 최근 서비스를 완전히 종료함에 따라 제작자가 복호화 키를 공개하였다는 소식입니다. 이에 따라 BleepingComputer와 ESET 보안 업체에서는 TeslaCrypt 랜섬웨어로 암호화된 파일을 완벽하게 복구할 수 있는 복구툴을 공개함에 따라 사용 방법에 대해 살펴보도록 하겠습니다. ■ TeslaCrypt 랜섬웨어(Ransomware) 정보 TeslaCrypt 4.0 랜섬웨어(Ransomware) 출현 소식 (2016.3.19) TeslaCrypt 랜섬웨어는 2016년 3월 중순경 TeslaCrypt 4.0 버전으로 업데이트가 이루어졌으며, 파일 암호화 시도 과정..
벌새::Security 2016. 5. 8. 15:55 해킹당한 메일 유포 방식의 Locky 랜섬웨어 소식 (2016.5.8) 2016년 2월 등장한 Locky 랜섬웨어(Ransomware)는 주로 이메일 첨부 파일을 통해 매우 광범위하게 최근까지 감염을 시도하고 있으며, 감염 시 문서, 사진, 압축 등의 파일을 .locky 확장명을 변경하여 파일 암호화를 수행하여 비트코인(Bitcoin) 결제를 유도하고 있습니다. 최근 확인된 대표적인 Locky 랜섬웨어 유포를 살펴보면 "Bill Copy" 제목의 메일에 첨부된 ZIP 압축 파일을 다운로드하여 내부에 존재하는 VA290529256183653.js 스크립트 파일(SHA-1 : aa42b0c9432190c36e8dbafb8b22f68abb07c5b5 - 알약(ALYac) : JS:Trojan.JS.Downloader.IQ)을 실행하도록 구성되어 있습니다. h**p://barebo..
벌새::Analysis 2016. 5. 7. 22:57 고액을 요구하는 Lock Screen 방식의 7ev3n 랜섬웨어 정보 (2016.5.7) 2016년 1월 20일경부터 해외에서 발견된 7ev3n 랜섬웨어(Ransomware)는 파일 암호화 후 Windows 재부팅을 강제로 진행한 후 Lock Screen 방식으로 PC 사용을 차단한 후 680만원 상당의 고액을 요구하는 사례가 있어서 살펴보도록 하겠습니다. 생성 파일 등록 정보 C:\Users\(로그인 계정명)\AppData\Local\bcd.bat :: 작업 스케줄러(uac) 등록 파일 C:\Users\(로그인 계정명)\AppData\Local\del.bat :: 드랍퍼(Dropper) 삭제 기능 C:\Users\(로그인 계정명)\AppData\Local\system.exe :: 시작 프로그램(System) 등록 파일, 메모리 상주 프로세스 C:\Users\(로그인 계정명)\AppData\..
벌새::Analysis 2016. 4. 11. 18:54 FTP 서버 해킹을 통한 비트코인(BitCoin) 가상 화폐 채굴 프로그램 유포 주의 (2016.4.11) 다수의 FTP 서버 해킹을 통해 비트코인(BitCoin) 채굴 클라이언트를 설치하는 악성 프로그램 유포 사례가 확인되어 살펴보도록 하겠습니다.(※ 정보를 제공해주신 바이러스 제로 시즌 2 보안 카페 철이님에게 감사드립니다. ) 국내 특정 호텔 관련 사이트에 접속할 경우 자동으로 Photo.scr 화면 보호기 파일을 다운로드하는 시도를 확인할 수 있습니다. 연결 정보를 확인해보면 사이트 접속 과정에서 악성 iFrame을 로딩하여 동일 서버에서 Photo.scr 파일이 자동 다운로드될 수 있습니다. 다운로드된 Photo.scr 화면 보호기 파일(SHA-1 : aeccba64f4dd19033ac2226b4445faac05c88b76 - 알약(ALYac) : Misc.Riskware.BitCoinMiner, A..

티스토리툴바