본문 바로가기

Malwarebytes

벌새::Analysis 2017. 9. 11. 20:17 샌드박스(Sandbox) 자동 분석 환경을 우회할 수 있는 Locky 랜섬웨어(.lukitus) 유포 정보 (2017.9.11) 2017년 5월경까지 활발하게 유포되던 Locky 랜섬웨어는 한동안 조용하다가 8월 중순경에 스팸(Spam) 메일 첨부 파일을 통해 ----.diablo6 형태로 암호화하는 유포가 다시 시작되었습니다. 이후 최근에는 메일 첨부 파일 형태와 취약점(Exploit)을 이용하여 보안 패치가 제대로 이루어지지 않은 사용자가 웹 사이트 접속 시 자동 감염되는 방식으로 Locky 랜섬웨어 감염을 통해 ----.lukitus 형태로 암호화하고 있습니다. 취약점 방식으로 유포되는 Locky 랜섬웨어(.lukitus) 감염 주의 (2017.9.5) 취약점을 이용한 Locky 랜섬웨어(.lukitus) 유포 정보는 체크멀(CheckMAL) 블로그에서 공개한 내용을 참고하시기 바라며, 이 글에서는 메일 첨부 파일을 통해 유..
벌새::Software 2017. 7. 29. 13:24 Malwarebytes Anti-Exploit Premium 기능 무료 사용 방법 (2017.7.29) 악성코드 유포 방식 중 취약점(Exploit)을 이용한 자동 감염 방식은 사용자 몰래 시스템 감염을 유발할 수 있는 대표적인 방법이며, 국내의 경우 인터넷뱅킹 정보 수집을 위한 파밍(Pharming) 악성코드와 파일 암호화를 수행하는 랜섬웨어(Ransomware) 감염 방식으로 활용되고 있습니다. 취약점(Exploit)을 이용한 자동 감염은 최신 보안 패치가 설치되어 있지 않은 PC 환경에서 단순히 웹 사이트 접속 시 감염이 발생하거나 메일 첨부 파일로 수신된 악의적으로 조작된 문서 파일을 실행하는 과정에서 자동으로 감염될 수 있습니다. 이런 보안 위협으로부터 시스템을 보호하기 위한 Anti-Exploit 보안 솔루션으로 세계적으로 가장 유명한 단독 프로그램이 Malwarebytes Anti-Exploi..
벌새::Analysis 2016. 9. 13. 21:15 광고 업체 서명이 포함된 던파스킨 프로그램과 광고 배너 (2016.9.13) 최근 던전앤파이터 커뮤니티 카페를 통해 배포가 이루어지고 있는 던파스킨 프로그램이 광고 업체와 연관된 부분이 있어 살펴보도록 하겠습니다. 동일한 매니저에 의해 운영되는 네이버(Naver) 카페 2곳에서는 던파스킨런처 프로그램 링크를 제공하고 있는데 URL 주소가 기존에 확인되고 있는 광고 업체와 연관된 것으로 보여서 조사를 진행하게 되었습니다. 다운로드된 던파스킨 설치 파일(SHA-1 : 3bcadca7f78ca93a2e656c0a7a92fd7b7d3ae1b6 - BitDefender : Gen:Variant.Adware.Graftor.1190)에는 "INDOIT Co., Ltd." 디지털 서명이 포함되어 있습니다. 검색 도우미 : IEsearchtool (2015.3.4) 검색 도우미 : winapp ..
벌새::Analysis 2016. 8. 16. 20:13 스팀(Steam) 계정 정보 탈취 목적의 악성 화면 보호기(.scr) 주의 (2016.8.16) 최근에 스팀(Steam) 클라이언트를 통한 온라인 게임을 즐기는 과정에서 쪽지(문자)를 통해 특정 URL 주소를 전달하여 클릭 시 악성 화면 보호기(.scr) 파일을 다운로드하도록 유포되는 사례가 발견되고 있습니다. 확인된 문자 메시지는 "ahaha, lol h**p://imagehost.trade/image**" 형태로 구성되어 있으며, URL 주소를 클릭할 경우 Google 단축 URL(goo.gl) 주소를 경유하여 image41.scr 화면 보호기 파일을 다운로드하도록 구성되어 있습니다. image41.scr (SHA-1 : 38de43c12c1b4312804fc23b64c62eea781c2257 - BitDefender : Trojan.GenericKD.3469711) image41.scr (SH..
벌새::Analysis 2016. 7. 25. 20:30 기본 검색 공급자를 가로채는 "주소창 검색" 광고 프로그램 (2016.7.25) Internet Explorer 웹 브라우저의 기본 검색 공급자 설정값을 가로채기하여 주소 표시줄에 검색어를 입력할 경우 네이트(Nate) 검색으로 자동 연결되는 "주소창 검색" 광고 프로그램(SHA-1 : 71976ee9242b933cc3a9a4c48422bafb4f7936d9)에 대해 살펴보도록 하겠습니다. 검색 도우미 : 네이트 주소창 검색 (2013.10.21) 검색 도우미 : 네이트 주소창 검색 - ipagent (2015.11.24) "주소창 검색" 광고 프로그램은 2016년 6월 10일경부터 배포된 것으로 보이며 기존의 "네이트 주소창 검색" 프로그램으로 현재는 외부 광고 업체에서 운영하는 것으로 추정됩니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\R..
벌새::Analysis 2016. 7. 1. 19:22 파일 삭제 후 금전을 요구하는 가짜(Fake) AnonPop 랜섬웨어 정보 (2016.7.1) 최근 해외에서 발견된 금전을 요구하는 랜섬웨어(Ransomware)처럼 구성된 악성 프로그램 중 실제로는 파일 암호화 대신 파일 삭제 후 랜섬웨어처럼 동작하는 사례가 확인되어 간단하게 살펴보도록 하겠습니다. 최초 감염 방식은 이메일에 첨부된 complaint376878.pdf.bat 파일(SHA-1 : 9006330bc21723788d4b67cda684bb97bd548f67 - Sophos : Bat/Ransom-DHA)로 PDF 문서 파일로 착각하여 실행하도록 구성되어 있습니다. complaint376878.pdf.bat 배치 파일을 살펴보면 Windows PowerShell 기능을 통해 아마존(Amazon) 서버에 등록된 wr6.bat 배치 파일(SHA-1 : fcc0a0da13f5eb16d30f54..
벌새::Analysis 2016. 6. 8. 21:05 악성 파일로 사용자 몰래 설치되는 "Smart internet API" 광고 프로그램 주의 (2016.6.8) 2016년 3~4월경에 유포된 것으로 추정되는 Internet Explorer 웹 브라우저의 기본 검색 공급자를 가로채기 시도하는 국내에서 제작된 "Smart internet API" 광고 프로그램이 악성 파일을 통해 사용자 몰래 설치된 정황이 확인되어 살펴보도록 하겠습니다. 최초 해당 이슈를 확인하게 된 동기는 Windows 종료 시 "FrmBrowser: SmartTech.exe - 응용 프로그램 오류" 창이 생성된다는 글을 통해 조사를 시작하였습니다. 확인된 악성 파일 4종은 2016년 4월 12일에 VirusTotal에 등록되어 있으며 세부적인 정보는 다음과 같습니다. SHA-1 : 6d162374dc6d22d8f3cc9407a7bd3b7db0ac7e93 - AhnLab V3 : Worm/Win3..
벌새::Analysis 2016. 1. 18. 18:51 비정상적인 방식으로 배포되는 Norton 360 백신 프로그램 (2016.1.18) 해외 사이트에서 노출되는 광고 배너 중에서는 접속자를 체크하여 한글로 표시되는 경우가 있음을 예전에 소개한 적이 있었습니다. 한글화된 해외 광고로 인한 프로그램 다운로드 주의 (2013.10.7) 그런데 최근 한글화된 Adobe Flash Player 업데이트 광고 배너를 이용하여 Norton 360 백신 프로그램을 독특한 방식으로 설치하는 사례가 확인되어 살펴보도록 하겠습니다. 그림과 같이 "이 콘텐츠는 플래시 플레이어 업데이트가 필요합니다. 지금 설치 하시겠습니까?"라는 한글 광고 배너를 통해 클릭을 유도하고 있으며, 클릭시 "www.adnetworkperformance.com" 웹 서버를 경유하여 연결되도록 구성되어 있습니다. FlashVideoPlayer.exe (SHA-1 : a30f2c7fe8..

티스토리툴바