본문 바로가기

Avira

벌새::Analysis 2016. 8. 27. 19:10 광고창 생성 기능이 포함된 보물섬 다운로드 도우미(SpeedDownload - Bomul) 주의 국내에서 운영되는 보물섬 자료실에 등록된 소프트웨어 다운로드를 위해 필수적으로 설치를 요구하는 "보물섬 다운로드 도우미 - SpeedDown" 프로그램(SHA-1 : 6834a2e438213cbbc01638d62025111f4b9bb733 - Avira : TR/Agent.5867232)을 설치할 경우 인터넷 이용 중 광고창이 생성되는 부분에 대해 살펴보도록 하겠습니다. 다운로드 도우미 : SpeedDown 1.0.0.2 (2014.5.26) 참고로 보물섬 다운로드 도우미 프로그램은 과거에는 광고 기능이 아닌 추가적인 제휴 프로그램 설치를 유도하는 행위가 있었으므로 참고하시기 바랍니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\Roaming\SpeedDown C:\..
벌새::Analysis 2016. 8. 24. 20:16 검색 도우미 : Network Application Express - Transfer 인터넷 검색 및 웹사이트 접속 시 자동으로 광고창을 생성할 수 있는 국내에서 제작된 "Network Application Express" 광고 프로그램 시리즈 중 Transfer 프로그램(SHA-1 : 3bb39f5a60e57cf08126842ae1cbe46441f9175d)에 대해 살펴보도록 하겠습니다. 검색 도우미 : Network Application Express - Firebase (2016.8.14) 검색 도우미 : Network Application Express - Godzilla (2016.8.15) 검색 도우미 : Network Application Express - Kakaru (2016.8.18) 프로그램 제거를 숨기는 "Network Application Express" 광고 프로..
벌새::Analysis 2016. 7. 31. 16:56 제거되지 않는 "MicroSearch Mapping Agents Program" 악성 광고 배포 프로그램 주의 (2016.7.31) 국내에서 제작된 다양한 광고 프로그램을 사용자 동의없이 몰래 설치하는 기능을 수행하는 "MicroSearch Mapping Agents Program" 광고 배포용 프로그램은 2016년 5월 중순경부터 은밀하게 유포되고 있었습니다. 국내 광고 프로그램을 몰래 설치하는 WiseComm 프로그램 주의 (2016.2.6) 동의없이 광고 프로그램을 대량 설치하는 "Windows Network IP Manager" 프로그램 주의 (2016.3.22) 기존에 BrowserShot, Microsoft Windows Wise Runner Process Cleaning Runtime - Korean, Windows Network IP Manager 등과 같은 유사한 기능을 가진 변종을 1년 넘게 운영하고 있으며, 특히 ..
벌새::Analysis 2016. 7. 14. 19:16 Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 스팸(Spam) 메일 방식을 이용하여 첨부된 JS 스크립트 파일을 실행할 경우 .locky 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 감염 방식은 2016년 3월경부터 지속적으로 확인되고 있었습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 특히 2016년 6월경 일시적으로 활동을 중지하였던 Locky 랜섬웨어는 다운로드되는 악성 파일에 대한 백신 진단 우회를 목적으로 XOR 암호화 방식까지 확인되고 있는 상태였습니다. 그런데 JS 스크립트 실행에 대한 경고가 높아짐에 따라 최근에는 Windows 스크립트 파일(.wsf) 형태로 변경되어 유포되고 있기에 전반적인 흐름을 살펴보도록 하겠습니다. 다양한 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내..
벌새::Analysis 2016. 6. 18. 18:33 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) 2016년 초에 특정 이글루스(Egloos) 블로그를 악용하여 AutoHotkey로 제작된 악성코드 유포 활동이 이루어지고 있는 부분에 대해 살펴본 적이 있었습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 당시 분석글에서는 어떤 경로로 이글루스 블로그에 포함된 PNG 악성 파일을 체크하는지 확인하지 못하였는데, 최근 유포 행위의 시작점을 발견하여 추가적으로 살펴보도록 하겠습니다. 2015년 7월 6일경 특정 토렌트(Torrent) 파일 공유 사이트에 게시된 한글 2014 정품 프로그램을 배포하는 시드(Seed) 파일이 배포되기 시작하였습니다. 다운로드된 한글2014.zip 압축 파일 내부에는 성인 광고가 포함된 그림 파일 하나 외에는 ..
벌새::Analysis 2016. 5. 31. 20:46 검색 도우미 : Windows IE Site Manager 인터넷 검색 및 웹사이트 접속 시 다양한 광고창을 생성할 수 있는 국내에서 제작된 "Windows IE Site Manager" 광고 프로그램에 대해 살펴보도록 하겠습니다. 유해 사이트 차단 기능이 포함된 InternetSafeZone 광고 프로그램 (2015.10.22) 해당 광고 프로그램은 유사한 기능을 가진 기존의 InternetSafeZone 광고 프로그램의 변종이므로 참고하시기 바랍니다. 배포 방식을 유추해보면 WiseCommerce 디지털 서명을 사용하는 Microsoft Windows Wise Runner Process Cleaning Runtime - Korean, Windows Network IP Manager 등의 광고 배포용 프로그램을 통해 사용자 몰래 자동으로 설치되었을 것으로 보입..
벌새::Analysis 2016. 4. 2. 21:54 국내 악성코드 : 플러스매칭(PlusMatching) - fusewill 기존에 살펴본 국내에서 제작된 "Windows Explorer usewillch .NET Service Pack 1" 악성 광고 프로그램이 업데이트 기능을 통해 삭제 기능을 제공하지 않는 또 다른 플러스매칭(PlusMatching) 변종 광고 프로그램을 설치하는 것으로 추정되는 사례를 살펴보도록 하겠습니다. 해당 악성 광고 프로그램(SHA-1 : c94b8aea13e1fa0b28340b4df1091beb798e3ae8 - ESET : a variant of Win32/Adware.Kraddare.KS)은 2015년 12월 초에 최초 발견된 것으로 추정되고 있습니다. 생성 폴더 / 파일 등록 정보 C:\Users\(로그인 계정명)\AppData\Roaming\fusewill C:\Users\(로그인 계정명..
벌새::Analysis 2016. 2. 22. 18:46 바로가기 아이콘 생성 프로그램 : Smart Icons 11번가, G마켓, 옥션 바로가기 아이콘을 생성할 수 있는 국내에서 제작된 "Smart Icons" 광고 프로그램에 대해 살펴보도록 하겠습니다. 2015년 10월경부터 배포가 이루어진 것으로 추정되는 해당 광고 프로그램은 배포 파일(SHA-1 : ac8399ad586f623b9a220012e4950478431c2fb9 - Avira : ADWARE/Kraddare.428824) 실행 시 서버에서 "Smart Icons" 설치 파일을 추가 다운로드하여 "C:\Program Files\SmartIconsVer1.0\SmartIconsSetup1.0.exe" 파일(SHA-1 : 4cc1835552eda0fc825c51d971ba49e862735227 - avast! : Win32:Adware-gen [Adw]..

티스토리툴바