본문 바로가기

Exploit:JS/DonxRef.A

벌새::Analysis 2014. 7. 18. 22:38 검색 도우미 : ORUM 언인스톨 특정 웹 사이트 접속시 웹 브라우저 화면 우측 영역에 "TOP AD" 광고 배너를 노출하는 국내에서 제작된 "ORUM 언인스톨" 프로그램에 대해 살펴보도록 하겠습니다.(※ 기존에 "OrumMedia 언인스톨" 이름으로 배포되었을 가능성이 매우 높습니다.) 포털 사이트에 추가되는 MemoThis 광고 주의 (2011.11.3) 해당 프로그램의 배포 방식은 정확하게 확인되지는 않고 있지만, 사용자가 특정 웹 사이트 접속시 ActiveX 설치 방식으로 설치를 유도하고 있을 것으로 추정되며, 위와 유사한 광고 프로그램으로 예전의 MemoThis가 존재하였으므로 참고하시기 바랍니다. [ActiveX 배포 정보] □ 파일 : C:\Windows\Downloaded Program Files\ORUMControl.oc..
벌새::Analysis 2014. 5. 19. 19:21 울지않는벌새 블로그 광고 배너를 통한 악성코드 유포 소식 (2014.5.19) 광고를 게시하는 블로그의 숙명인 광고 배너를 통한 취약점(Exploit) 방식의 악성코드 유포가 울지않는벌새 블로그에서 2014년 5월 18일 오후 5시~8시까지 최소 3시간 이상 유포가 이루어진 것으로 확인되었습니다. 유포 사실은 바이러스 제로 시즌 2 보안 카페 회원님이 제 블로그에 접속하였을 당시 ESET 보안 제품에서 국내 유명 의자 쇼핑몰에 삽입된 악성 스크립트를 JS/Kryptik.AQF 진단명으로 차단하는 모습을 올리면서 확인되었습니다. 개인적으로는 해당 게시글을 확인하지 않은 상태에서 오후 8시경 블로그를 확인하던 중 AhnLab V3 365 Clinic 보안 제품이 ESET 보안 제품과 동일한 URL 주소를 차단하면서 인지하였으며, 즉시 문제가 되는 광고 배너를 모두 제거하여 더 이상 유..
벌새::Analysis 2014. 3. 21. 22:22 디시인사이드 납치 사이트(api.tistory.us)를 이용한 악성코드 유포 주의 (2014.3.21) 2012년경부터 네이버(Naver) 검색을 통해 디시인사이드(DCInside) 커뮤니티 사이트를 접속하는 과정에서 "api.tistory.us" 웹 사이트를 경유하여 다양한 웹 사이트로 납치를 하는 문제에 대해 소개한 적이 있었습니다.(※ 호기심에 해당 웹 사이트 접속시 악성코드 감염이 발생할 수 있으므로 주의하시기 바랍니다.) ▷ 디시인사이드(DCInside) 접속시 "api.tistory.us" 사이트를 이용한 납치 문제 (2014.1.5) ▷ 오랜만에 보는 302 Redirection (2014.3.7) 당시 분석글에서는 납치 사이트(api.tistory.us)를 경유하는 과정에서 악성코드 유포 행위가 발생할 가능성에 대해 언급하였으며, 2014년 3월경부터 실제로 납치 사이트(api.tistory..
벌새::Analysis 2014. 3. 5. 14:51 블로그 광고 배너를 통한 인터넷뱅킹 악성코드 유포 주의 (2014.3.5) 어제밤(2014년 3월 4일) 늦은 시간에 특정 광고 배너가 포함된 티스토리(Tistory) 블로그를 보던 중 광고 배너를 통해 인터넷뱅킹 악성코드가 유포되고 있는 부분을 발견하였습니다. 해당 블로그 상에서 취약점(Exploit) 방식으로 유포되는 것으로 확인된 악성코드가 어떤 경로를 통해 노출이 이루어지고 있는지 확인해 보았습니다. 확인 결과 블로그 하단 영역에 추가한 CPC 광고 배너로 알려진 특정 광고 서버에 악성 iframe이 추가되어 노출이 발생하며, 이를 통해 접속한 사용자 PC에 설치된 특정 응용 프로그램의 보안 패치가 이루어지지 않은 경우 자동 감염(Drive-By Download) 방식으로 설치가 이루어질 수 있습니다. h**p://kong***.com/index.html (SHA-1 :..
벌새::Analysis 2014. 1. 28. 14:20 웹하드 접속시 인터넷뱅킹 악성코드 유포 주의 (2014.1.28) 최근 2주 연속으로 주말을 이용하여 국내 특정 웹하드 웹 사이트에 접속할 경우 보안 패치가 제대로 이루어지지 않은 사용자의 경우 취약점(Exploit)을 이용한 악성코드 자동 감염을 통해 인터넷뱅킹 악성코드가 설치되는 이슈가 발생하고 있는 것으로 확인되고 있습니다. 이번에 확인된 인터넷뱅킹 악성코드는 감염시 국내 금융 사이트와 유사하게 제작한 파밍(Pharming) 사이트로 납치를 하여 금융 정보를 탈취하는 방식이며, 여전히 사용자 PC에 설치된 응용 프로그램의 보안 업데이트를 하지 않는 사용자들은 쉽게 감염될 수 있습니다. 감염 방식을 살펴보면 웹하드의 특정 소스에 악성 iframe 스크립트를 추가하여 보안 패치가 이루어지지 않은 사용자가 웹하드에 접속할 경우 해킹된 웹 사이트에서 취약점 코드를 받아오..

티스토리툴바