본문 바로가기

Netmarble

벌새::Security 2013. 9. 17. 19:06 Netmarble Download 실행시 AVG 보안 제품에서 차단하는 문제 해결 방법 (2013.9.17) 넷마블(Netmarble)에서 제공하는 온라인 게임을 다운로드하기 위하여 Netmarble Download 프로그램을 실행할 경우 AVG 보안 제품에서 "C:\Netmarble\NetmarbleDownLoaderNet\GridDownload.exe" 파일에 대하여 위협 요소로 차단하는 문제에 대해 살펴보도록 하겠습니다. 해당 문제 구현을 위하여 넷마블(Netmarble) 게임 중 야채부락리 온라인 게임을 예로 사용하였으며, 게임 실행시 동작이 아닌 게임 설치를 위한 파일 다운로드 과정에서 문제가 발생하고 있습니다.Internet Explorer 웹 브라우저를 이용하여 넷마블의 야채부락리 온라인 게임을 설치할 목적으로 다운로드를 시도할 경우 NMGridDownActiveX.cab과 Netmarble Gri..
벌새::Analysis 2013. 3. 11. 11:54 국내 온라인 게임을 표적으로 한 Windows appcon(remove data) 프로그램 유포 주의 (2013.3.11) 최근 확인되지 않은 특정 프로그램이 설치된 환경에서 추가적인 다운로드를 통해 사용자 몰래 "Windows appcon(remove data)" 프로그램을 설치하여 온라인 게임을 표적으로 한 악성 프로그램을 설치하는 행위가 확인되고 있습니다. 유포에 활용되는 IP 서버(1.***.83.**)는 국내에 위치하고 있으며, 해당 서버에서 받아오는 파일(MD5 : 7b8bc55be7e828c51d4c5bb5135a2deb)을 통해 "Windows appcon(remove data)" 프로그램이 설치되도록 되어 있습니다. 참고로 해당 파일은 2013년 2월 20일경부터 유포가 확인되고 있으며, BitDefender 보안 제품에서는 Gen:Variant.Graftor.70979 (VirusTotal : 19/46) ..
벌새::Analysis 2012. 3. 17. 02:43 ahnurl.sys + olesau32.dll 파일을 이용한 온라인 게임 악성코드 유포 주의 (2012.3.17) 이번 주말을 이용한 중국발 온라인 게임 계정 정보를 수집하는 악성 파일 유포 중 루트킷(Rootkit) 방식으로 감염되어 자신을 보호할 목적으로 5초 간격으로 악성 파일을 복구하는 방식이 확인이 되었습니다. 현재 언론사 사이트를 통해 유포 중인 것으로 확인이 되고 있으며 최종 파일(MD5 : 583cc2f86f03ac02891bb70fc1bcc434)을 이용하여 감염으로 인하여 백신 프로그램의 치료가 어려운 경우 수동으로 문제를 해결할 수 있는 방법을 살펴보도록 하겠습니다. 참고로 해당 최종 설치 파일에 대해서는 알약(ALYac) 보안 제품에서 Trojan.Dropper.OnlineGames.au32 (VirusTotal : 3/42) 진단명으로 진단되고 있습니다. 또한 최종 파일은 "Tencent Te..
벌새::Security 2012. 1. 9. 12:40 avast! 오진 : 넷마블(NetMarble) ActiveX 스크립트 - HTML:Object-inf (2012.1.9) 국내 온라인 게임 넷마블(NetMarble)에서 제공하는 Netmarble Auto Updater, 키보드보안 K-Defense R6 Manager 관련 ActiveX 설치를 시도할 경우 avast! 보안 제품에서 URL 차단(URL:Mal) 및 HTML:Object-inf 진단명으로 오진하는 것을 확인하였습니다. 최초 사용자가 넷마블 웹 사이트에 접속을 시도할 경우 ActiveX 설치를 통해 배포되는 "Netmarble Auto Updater" 설치창이 생성될 경우, avast! 보안 제품에서는 해당 ActiveX 컨트롤러를 통해 다운로드되는 개체에 대하여 "악의적인 URL 차단" 메시지를 생성하는 것을 확인할 수 있습니다. h**p://download.netmarble.net/ActiveX/NMAut..
벌새::Analysis 2011. 12. 10. 19:50 Oracle JRE 취약점을 이용한 온라인 게임 악성코드 유포 주의 (2011.12.10) 이번 주말을 이용하여 유포가 이루어지고 있는 온라인 게임 및 문화 상품권 계정 탈취 목적의 악성코드 유포 방식이 Oracle JRE(Java Runtime Environment) 취약점(CVE-2011-3544)을 이용하고 있는 부분을 확인하였습니다. 업데이트 : Java SE Runtime Environment(JRE) 6 Update 29 & 7 Update 1 (2011.10.19) Oracle JRE 플러그인 취약점과 관련하여 10월 19일에 최신 보안 패치를 공개하였으며, JRE 6 Update 27 또는 JRE 7 Java SE 이하 버전을 사용하는 사용자의 경우 자동으로 감염될 것으로 추정됩니다. 기존의 경우 Adobe Flash Player 취약점과 Internet Explorer 웹 브라..
벌새::Analysis 2011. 11. 26. 11:06 V3LTrMsge.exe, vitsinware.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2011.11.26) 이번 주말을 기점으로 웹하드, 언론사 등 국내 다수의 인터넷 사이트 접속시 Windows 보안 패치 및 Adobe Flash Player 최신 버전을 사용하지 않는 사용자들은 자동으로 감염이 이루어지는 다양한 악성코드가 유포되고 있습니다. CVE-2010-0806 / CVE-2010-3962 취약점을 이용한 온라인 게임 계정 탈취 (2011.2.19) 오늘은 올해 초반에 확인되었던 온라인 게임 계정 탈취 목적의 악성코드와 유사한 성격을 가진 변종에 대해 살펴보도록 하겠습니다. 해당 샘플은 국내 모 언론 사이트 접속시 감염을 유발하는 악성코드 유포에서 최종 다운로드된 암호화된 최종 파일이 XOR을 거쳐 감염이 이루어지는 사례입니다. 참고로 최종 파일(MD5 : 12d58352839b155c98542cb34..
벌새::Analysis 2011. 11. 20. 13:46 포털 사이트 메인 광고 배너를 통한 악성코드 유포 주의 (2011.11.20) 2011년 10월 하순경부터 주말을 기점으로 네이버(Naver) 메인 화면에 접속을 할 경우 avast! 보안 제품에서 JS:Iframe-DO [Trj] 진단명으로 악성코드 진단을 한다는 정보가 나오기 시작하였습니다. 어베스트가 계속 특정페이지만 이러한 창이뜹니다 (2011.10.22) 당시 개인적으로 확인하였을 때에는 유포 지점을 정확하게 찾을 수 없었으며, 메인 화면에 포함된 특정 외부 광고 또는 인터넷 쇼핑몰과 관련된 링크를 통해 불규칙적으로 구현되는 증상이 아닌가 의심이 되었습니다. 그러다가 어제(19일) 저녁 네이버 메인 화면에 접속할 경우 Kaspersky 보안 제품에서 HEUR:Trojan.Script.Iframer 진단명으로 또 다시 진단되는 이슈가 발생하여 유포와 관련된 부분을 확인하였습..
벌새::Analysis 2011. 11. 16. 19:12 Anti-VM 기법을 이용한 계정 정보 수집 악성코드 유포 주의 (2011.11.16) 최근 Adobe Flash Player, Internet Explorer 웹 브라우저 취약점을 이용한 악성코드 감염 행위 중 가상 환경(VMware, Oracle VM VirturalBox)에서는 동작하지 않는 Anti-VM 기법이 포함된 악성코드 유포 행위를 확인하였습니다. 참고로 위와 같은 가상환경에서의 분석을 방해할 목적으로 배포되는 행위는 이전부터 종종 발견되었다고 하며, 개인적으로는 그동안 잘 피해 다니다가 이제서야 실제 보게 되었습니다. 취약점을 이용한 악성 스크립트를 통해 최종적으로 다운로드된 파일(MD5 : f4813d8a2761591ed4e1c07f1f6eedfb)은 중국 소프트웨어 업체에서 발행한 "Zhuhai Kingsoft Software Co.,Ltd" 유효하지 않은 디지털 인증서..

티스토리툴바