본문 바로가기

C&C 서버

벌새::Analysis 2016. 12. 22. 22:23 구매한 메이퀸(May Queen) 게임에 포함된 DDoS 악성코드 사례 바이러스 제로 시즌 2 보안 카페 회원 중 예전에 온라인 판매 업체를 통해 메이퀸(May Queen) 미연시 게임을 구매했는데 최근에 게임 내부에 악성코드가 존재한 것으로 확인되어 관련 정보를 제공해 주셨습니다. 정보를 제공해주신 분이 어떤 경로를 통해 구입했는지는 자세하게 기억하지 못하고 있으며, 구매한 게임이 CD로 제작된 정품은 아니지만 돈을 지불하고 개인이 아닌 판매 업체를 통해 구입하였다고 합니다. 전달받은 파일은 ZIP 압축 파일로 구성되어 있으며 내부에는 2015년 7월 24일경 유포된 것으로 보이는 Flash 아이콘 모양의 game.exe 파일(SHA-1 : bd593db85128d15628f1bb45e1c0c5c7f07e8825)에 대하여 AhnLab V3 보안 제품이 Trojan/Win..
벌새::Analysis 2016. 12. 10. 18:26 스타크래프트(Starcraft) 무설치 버전에 숨어있는 백도어(Backdoor) 주의 (2016.12.10) 여전히 많은 사랑을 받고 있는 스타크래프트(Starcraft) 게임을 무설치 버전을 이용하여 사용자 몰래 백도어(Backdoor)를 설치하여 좀비 PC로 만드는 행위가 여전히 발견되고 있기에 2016년 하반기에 유포된 사례를 통해 확인해 보도록 하겠습니다.(※ 관련 파일을 제공해주신 바이러스 제로 시즌 2 보안 카페 회원님께 감사드립니다.) 배포된 압축 파일 내부에는 대부분 2009년경 생성된 파일들이 존재하며, 이 중에서 스타크래프트(Starcraft) 실행 파일(StarCraft.exe)과 시디키 바꾸기.exe 파일이 2016년 9월과 11월에 수정된 것을 발견할 수 있습니다. 1. StarCraft.exe (SHA-1 : 63ce65353997b71c71869cd1cb812ff9dabb058e - ..
벌새::Analysis 2016. 11. 3. 20:48 메일에 첨부된 Windows 스크립트 파일(.wsf) 실행 시 Locky 랜섬웨어(.thor) 감염 주의 (2016.11.3) 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내부에 포함된 Windows 스크립트 파일(.wsf)을 실행할 경우 악성 DLL 파일을 추가 다운로드하여 문서, 사진, 음악 등 개인 파일을 .thor 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 변종이 국내에서 발견되어 살펴보도록 하겠습니다. 2016년 2월 중순경 : (Random 파일명).locky 2016년 6월 말 : (Random 파일명). zepto 2016년 9월 말 : (Random 파일명).odin 2016년 10월 24일 : (Random 파일명).shit 2016년 10월 25일 : (Random 파일명).thor 2016년 2월 중순경 최초 유포가 확인된 Locky 랜섬웨어는 악성 EXE 파일 형태 또는 악성 ..
벌새::Analysis 2016. 9. 4. 19:24 카카오톡(KakaoTalk) 파일로 위장한 백도어(Backdoor) 유포 정보 (2016.9.4) 최근 네이버 지식인, 커뮤니티에 감염 경로를 알 수 없는 방식으로 카카오톡(KakaoTalk), Skype 관련 파일처럼 위장하여 실행되는 악성코드에 대한 정보가 올라오는 경우가 확인되고 있습니다. [긴장] KakaoTalk.exe 바이러스가 돌고있습니다. (2016.9.3) 해당 악성코드에 대한 정보 확인을 위해 Ec0nomist's Lab. 보안 블로그 운영자님으로부터 기초 정보를 받아서 유포 방식 및 전반적인 부분에 대해 간단하게 살펴보도록 하겠습니다. 우선 감염 유포처는 확인할 수 없지만 토렌트(Torrent)와 같은 파일 공유 방식으로 유포가 이루어지고 있는 것으로 보이며, 실제 다음과 같이 감염 시 한컴오피스 설치와 관련된 부분을 발견할 수 있었습니다. 사용자가 인터넷 상에서 임의의 파일을 다..
벌새::Analysis 2016. 7. 24. 14:59 바이너리(Binary)가 포함된 JavaScript 파일을 이용한 Locky 랜섬웨어 유포 (2016.7.24) 메일을 통해 감염을 유발하는 Locky 랜섬웨어(Ransomware)는 지금까지 첨부된 JavaScript 파일(.js), MS Word 문서(.doc / .docm), Windows 스크립트 파일(.wsf)을 실행 시 웹 서버에서 악성 파일을 다운로드하여 동작하는 구조였습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 그런데 최근에 첨부된 JavaScript 파일(SHA-1 : 153d4cc2da095967f8a60f3ae0f015ff40bbffd4 - 알약(ALYac) : Trojan.JS.Agent.MJE)의 경우에는 코드 내부에 바이너리(Binary) 코..
벌새::Analysis 2016. 7. 16. 16:18 MS Word 문서로 유포되는 CryptXXX 랜섬웨어 변종 주의 (2016.7.16) 그 동안 CryptXXX 랜섬웨어(Ransomware)의 유포 방식은 대부분 Exploit Kit을 이용하여 보안 패치가 제대로 이루어지지 않은 PC가 특정 웹사이트 접속 시 자동 감염되는 방식으로 유포되고 있었습니다. Spam, Now With a Side of CryptXXX Ransomware! (2016.7.14) 그런데 최근 메일에 첨부된 MS Word 문서(.doc)에 포함된 매크로(Macro) 기능을 통해 CryptXXX 랜섬웨어가 유포되고 있다는 정보가 공개되어 살펴보도록 하겠습니다. 참고로 CryptXXX 랜섬웨어 감염으로 인해 암호화된 파일은 변종에 따라 파일명과 확장명이 ".crypt → .cryp1 → .cryptz → 확장명 랜덤(Random) → 파일명/확장명 변경없음 → 파일명..
벌새::Analysis 2016. 7. 14. 19:16 Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 스팸(Spam) 메일 방식을 이용하여 첨부된 JS 스크립트 파일을 실행할 경우 .locky 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 감염 방식은 2016년 3월경부터 지속적으로 확인되고 있었습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 특히 2016년 6월경 일시적으로 활동을 중지하였던 Locky 랜섬웨어는 다운로드되는 악성 파일에 대한 백신 진단 우회를 목적으로 XOR 암호화 방식까지 확인되고 있는 상태였습니다. 그런데 JS 스크립트 실행에 대한 경고가 높아짐에 따라 최근에는 Windows 스크립트 파일(.wsf) 형태로 변경되어 유포되고 있기에 전반적인 흐름을 살펴보도록 하겠습니다. 다양한 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내..
벌새::Analysis 2016. 6. 23. 19:56 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 2016년 3월경부터 스팸(Spam) 메일에 첨부된 JS 스크립트 파일을 이용하여 활발하게 유포가 이루어졌던 Locky 랜섬웨어(Ransomware)는 2016년 5월을 끝으로 일시적으로 활동이 중지되었다는 소식이 있었습니다. It's Quiet...Too Quiet: Necurs Botnet Outage Crimps Dridex and Locky Distribution (2016.6.9) 그런데 한동안 잠잠하던 Locky 랜섬웨어가 Necurs 봇넷을 이용하여 다시 활동을 시작했다는 소식과 함께 실제 국내에서도 다수의 스팸(Spam) 메일을 통해 전파되고 있는 것이 확인되고 있습니다. Necurs Botnet Returns With Updated Locky Ransomware In Tow (2016.6..

티스토리툴바