본문 바로가기

트래픽

벌새::Analysis 2015. 10. 8. 14:50 검색 도우미 : Windows Desktop MBT Icons Ver 6.1.1.4 바탕 화면 및 즐겨찾기 영역에 서치바이미 바로가기 아이콘을 생성하며, 사용자 몰래 특정 검색 키워드 값으로 인터넷 검색을 시도하는 국내에서 제작된 "Windows Desktop MBT Icons Ver 6.1.1.4" 광고 프로그램에 대해 살펴보도록 하겠습니다. 국내 악성코드 : Windows Desktop Batang Icon Ver 3.1.1.2 (2013.10.23) 옥션 바로가기 아이콘 생성 프로그램 : Windows Desktop BT Icons Ver 5.1.1.4 (2014.2.15) 해당 프로그램은 기존의 유사한 기능을 가진 CloverPlus 광고 프로그램의 변종이므로 참고하시기 바랍니다. 설치 과정을 살펴보면 배포 파일 실행을 통해 특정 서버에서 암호화된 파일 정보를 통해 다음과 같은 ..
벌새::Analysis 2015. 10. 7. 15:24 검색 도우미 : Windows Internet Explorer KKeywork V.3.2.1.1 다양한 검색 키워드 값을 이용하여 백그라운드 방식으로 "열린 주소창 검색(dns.ktguide.com)" 서비스에서 인터넷 검색을 수행하는 국내에서 제작된 "Windows Internet Explorer KKeywork V.3.2.1.1" 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : Windows Internet Explorer KoreanKeyword V.2.2.1.1 (2012.10.16) 해당 프로그램은 기존에 배포된 WinKeyword 광고 프로그램의 변종이므로 참고하시기 바랍니다. 설치 과정을 살펴보면 배포 파일 실행을 통해 생성된 c_updater.exe 파일(= KKeywork_Up.exe)은 특정 서버에서 암호화된 값을 체크하여 다음과 같은 생성 파일을 다운로드하여 프로그램..
벌새::Analysis 2015. 8. 27. 15:16 검색 도우미 : WindowMix 인터넷 검색시 광고창 생성 및 백그라운드 방식으로 네이트(Nate) 검색을 수행하는 국내에서 제작된 WindowMix 광고 프로그램에 대해 살펴보도록 하겠습니다. 설치 과정을 살펴보면 배포 파일 실행을 통해 특정 서버에서 설치 파일을 다운로드하여 "C:\Users\(사용자 계정)\AppData\Local\Temp\Windowmix_setup.exe" 파일로 생성하여 설치가 진행됩니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\WindowMix C:\Users\(사용자 계정)\AppData\Roaming\WindowMix\Address.dll C:\Users\(사용자 계정)\AppData\Roaming\WindowMix\vtshare.dll C:\Use..
벌새::Analysis 2015. 7. 24. 20:35 검색 도우미 : AllKeyTab Uninstall 시스템 트레이 알림 아이콘 상단에 광고 팝업창 생성 및 사용자 몰래 자동으로 인터넷 검색을 시도할 수 있는 국내에서 제작된 "AllKeyTab Uninstall" 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : visual allkeytab plugin Ver 1.0.3 (2015.3.30) 해당 프로그램은 유사한 기능을 가진 "visual allkeytab plugin Ver 1.0.3" 광고 프로그램의 변종이므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\allkeytab C:\Users\(사용자 계정)\AppData\Roaming\allkeytab\allkt.exe :: 메모리 상주 프로세스 C:\Users\(사용..
벌새::Analysis 2015. 7. 20. 12:32 상업적 키워드 입력을 통한 네이버(Naver) 자동 검색 프로그램 주의 (2015.7.20) 2014년 9월경부터 현재까지 "raten.cafe24.com / tens.cafe24.com" 웹 서버를 통해 상업적 검색 키워드를 이용하여 네이버(Naver) 포털 검색 서비스를 어뷰징하는 악성코드 유포 행위에 대해 살펴보도록 하겠습니다. 현재 인터넷 상에 공개된 실제 감염 PC 상태를 단적으로 보여주는 내용을 종합하여 한 장으로 압축해보면 Windows 시작시 "C:\Program Files (x64)\Microsoft.NET\rqsvz.exe" 악성 파일이 자동 실행되어 기능을 수행하다가, 주기적으로 새로운 변종을 서버에서 다운로드하여 "C:\Program Files (x64)\Microsoft.NET\mqsvz.exe" 파일로 변경하는 것으로 추정합니다. 32비트 : C:\Program File..
벌새::Computer & IT 2015. 7. 12. 14:03 Chrome 웹 브라우저의 HTTP 캡처를 못하는 Fiddler 문제와 해결 방법 Fiddler Web Debugging 프로그램은 웹 브라우저 및 응용 프로그램의 HTTP/HTTPS 트래픽을 캡처할 수 있는 유용한 프로그램으로 잘 사용하고 있었습니다. 그런데 언제부터인지 Google Chrome 웹 브라우저를 사용할 경우 트래픽 캡처가 이루어지지 않는 문제가 발생하여 원인을 모르고 있던 중 최근에 Ec0nomist's Lab. 블로그를 운영하시는 분이 문제 해결을 위한 힌트(Hint)를 제공해 주셔서 원인과 해결 방법을 살펴보도록 하겠습니다. 기본적으로 모든 WinINET 트래픽은 Fiddler Web Debugging 프로그램을 경유하여 통신을 하도록 설정되어 HTTP/HTTPS 캡처가 가능한 원리인데 Google Chrome 웹 브라우저를 통해 동작하는 확장 프로그램 (chrom..
벌새::Analysis 2015. 7. 9. 20:53 동영상 소리가 흘러나오는 vdc.exe 해외 광고 파일 (2015.7.9) 바이러스 제로 시즌 2 보안 카페에 의심스러운 파일로 추정되는 문의글이 올라와서 관련된 정보를 살펴보았습니다. 어떤 경로를 통해 설치되었는지 알 수 없지만 루트(Root) 폴더에 vdc.exe 파일명으로 단독으로 생성되어 있습니다. 안랩(AhnLab) 파일 분석 보고서를 통해 이력을 살펴보면 2014년 12월에 최초 보고되었으며 AhnLab V3 보안 제품에서는 안전 파일로 분류되어 있습니다. 하지만 행위 정보에서는 다량의 패킷을 전송하며 의심스러운 사이트 연결 및 파일 다운로드 행위가 존재할 수 있는 것으로 추정됩니다. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run - vdc = c:\vdc.exe 해당 파일이 설치된 환경에서는 Wi..
벌새::Analysis 2015. 5. 18. 19:24 검색 도우미 : winapp 인터넷 검색시 사용자 몰래 백그라운드 방식으로 추가적인 인터넷 검색을 시도하는 국내에서 제작된 winapp 광고 프로그램(SHA-1 : a9fb2ff5d651c7237157d9a3c99c35f165cc3159)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\winapp C:\Users\(사용자 계정)\AppData\Roaming\winapp\adarea.dll C:\Users\(사용자 계정)\AppData\Roaming\winapp\unins000.dat C:\Users\(사용자 계정)\AppData\Roaming\winapp\unins000.exe :: 프로그램 삭제 파일 C:\Users\(사용자 계정)\AppData\Roa..

티스토리툴바