본문 바로가기

TR/Dropper.Gen

벌새::Analysis 2015. 2. 3. 20:04 검색 도우미 : Windows LiveToolbar Internet Explorer 웹 브라우저 상단에 LiveToolbar 광고 툴바(Toolbar)를 생성하는 국내에서 제작된 "Windows LiveToolbar" 프로그램(SHA-1 : 6b061324eeecec2de701707c260012d76bdc70fb)에 대해 살펴보도록 하겠습니다. 참고로 "Windows LiveToolbar" 광고 툴바 프로그램은 예전에 마이크로소프트(Microsoft) 업체에서 배포한 "Windows Live Toolbar" 프로그램과 이름이 매우 유사하므로 혼동하지 않도록 주의하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\LiveToolbar C:\Users\(사용자 계정)\AppData\Roaming\L..
벌새::Analysis 2014. 7. 3. 22:38 삭제 기능을 제공하지 않는 "Savepop + WizLine Toolbar" 광고 프로그램 주의 (2014.7.3) Internet Explorer 웹 브라우저에 위즈라인 툴바(WizLine Toolbar) 프로그램을 설치하면서 사용자 몰래 추가적으로 광고창 생성 기능을 가진 세이브팝(Savepop) 프로그램을 함께 설치하는 유포 사례에 대해 살펴보도록 하겠습니다. 특히 이들 광고 프로그램은 사용자에 의한 프로그램 삭제를 방해할 목적으로 제어판의 설치 프로그램 목록에 등록하지 않는 수법으로 설치되고 있으므로 삭제시 어려움이 예상됩니다. 설치 과정을 살펴보면 배포 파일을 통해 위즈라인 툴바(WizLine Toolbar) 설치 파일을 추가로 다운로드하여 "C:\Users\(사용자 계정)\AppData\Local\Temp\wizline_agent.exe" 파일로 생성 및 실행하여 "C:\Users\(사용자 계정)\AppDa..
벌새::Analysis 2013. 6. 29. 15:18 ehantk 바로가기 아이콘을 이용한 악성코드 유포 주의 (2013.6.29) 최근 11번가 바로가기 아이콘을 생성하면서 사용자 몰래 온라인 게임 정보 유출 목적으로 제작된 악성코드를 추가하는 사례를 소개한 적이 있었습니다. ▷ 11번가 바로가기 아이콘 프로그램에 추가된 정보 유출 악성코드 주의 (2013.6.24) 그런데 주말을 이용하여 다른 유포 경로를 통해 유사한 방식으로 Win-Trojan/Urelas (= Trojan/Win32.Depok, Trojan/Win32.PbBot) 계열 악성코드를 감염시키는 방식을 추가로 확인하였습니다. 배포 방식을 살펴보면 다양한 제휴(스폰서) 프로그램 배포를 목적으로 제작된 "Xecure speller Application" 프로그램이 설치된 환경에서 시스템 시작 후 일정 시간이 경과하면 "스펠러(잠김복사) 업데이트" 창을 생성합니다. 참고..
벌새::Analysis 2013. 6. 24. 16:48 11번가 바로가기 아이콘 프로그램에 추가된 정보 유출 악성코드 주의 (2013.6.24) 국내 인터넷 사용자를 타켓으로 하는 사이버 범죄 조직의 악성 프로그램 유포 방식 중에는 광고 프로그램 설치를 통해 추가적인 감염을 유발시키는 사례가 많이 발견되고 있으며, 그 중에서도 상당 기간 꾸준하게 활동하는 조직이 있지만 법적 처벌은 매우 어려운 것으로 보입니다. ▷ 국내 악성코드 : FavorIcon (2013.5.6) 2013년 1~2월경에 집중적으로 유포하던 조직이 2013년 5월경 재활동을 시작한 이후 감염된 시스템에 11번가 바로가기 아이콘을 사용자 몰래 설치하면서 정보 유출 목적으로 제작된 악성 프로그램을 추가로 설치하는 정황을 확인하였습니다. 유포 방식을 추정해보면 서비스에 등록된 확인되지 않은 악성 파일을 통해 시스템 부팅 과정에서 악성 파일(MD5 : 795fec2376a0d5874..
벌새::Analysis 2013. 4. 7. 21:33 국내 악성코드 : Windows Waomiicontroller 1.1 시스템 시작시 "사용자 권장 업데이트" 창을 생성하여 사용자의 실수에 의한 동의 과정을 거쳐 다수의 수익성 프로그램들을 설치하는 "Windows Waomiicontroller 1.1" 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 351e43c1d698d843ff2f0d3363f89192)에 대하여 AhnLab V3 보안 제품에서는 Dropper/Win32.KorAd (VT : 10/46) 진단명으로 진단되고 있습니다.(※ 해당 프로그램은 유사한 프로그램을 통해 사용자 동의없이 설치가 이루어질 것으로 추정됩니다.) ▶ 국내 악성코드 : ezpopup code wepbob x86 (2012.12.21) 외 다수 ▶ 제휴(스폰서) 프로그램 : Windows jafeavcon (..
벌새::Analysis 2013. 3. 11. 11:54 국내 온라인 게임을 표적으로 한 Windows appcon(remove data) 프로그램 유포 주의 (2013.3.11) 최근 확인되지 않은 특정 프로그램이 설치된 환경에서 추가적인 다운로드를 통해 사용자 몰래 "Windows appcon(remove data)" 프로그램을 설치하여 온라인 게임을 표적으로 한 악성 프로그램을 설치하는 행위가 확인되고 있습니다. 유포에 활용되는 IP 서버(1.***.83.**)는 국내에 위치하고 있으며, 해당 서버에서 받아오는 파일(MD5 : 7b8bc55be7e828c51d4c5bb5135a2deb)을 통해 "Windows appcon(remove data)" 프로그램이 설치되도록 되어 있습니다. 참고로 해당 파일은 2013년 2월 20일경부터 유포가 확인되고 있으며, BitDefender 보안 제품에서는 Gen:Variant.Graftor.70979 (VirusTotal : 19/46) ..
벌새::Analysis 2012. 9. 7. 19:43 국내 악성코드 : Windows nupjinsys x86 글자수 세기 프로그램을 이용하여 시스템 시작시 사용자 동의없이 다수의 수익성 프로그램을 설치하는 "Windows nupjinsys x86" 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 43d53a55a81f470517f024eb9e1da9ed)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Agent.120035 (VirusTotal : 22/42) 진단명으로 진단되고 있습니다. ▷ 국내 악성코드 : Windows pdsallsys x86 (2012.9.6) 또한 해당 프로그램은 동일한 기능을 하는 "Windows pdsallsys x86" 프로그램을 통해 몰래 설치되는 것으로 확인되고 있으므로 참고하시기 바랍니다. 해당 프로그램의 설치 파일을 이용하여 수..
벌새::Analysis 2011. 8. 22. 11:31 메이플스토리 KMS 트레이너를 이용한 계정 정보 탈취 주의 (2011.8.22) 국내 온라인 게임 메이플스토리(MapleStory) 계정 정보를 탈취할 목적으로 제작된 KMS 트레이너가 유포되고 있으므로 주의가 요구됩니다. CT종합핵을 이용한 넥슨 메이플스토리 계정 수집 주의 (2011.5.27) 메이플스토리 게임핵을 이용한 계정 수집 주의 (2011.6.9) 지메일(GMail)을 이용한 메이플스토리 게임 계정 수집 주의 (2011.6.10) avast! 아이콘으로 위장한 메이플스토리 핵 주의 (2011.8.14) 이미 블로그 등을 통해 메이플스토리 핵, 트레이너 등으로 위장한 다수의 국내산 계정 정보 수집 파일이 유포된 적이 있으므로 참고하시기 바랍니다. 해당 KMS 트레이너 파일은 네이버(Naver) 블로그를 통해 첨부 파일 형태로 배포가 이루어지고 있으며, 파일에는 바이러스가 ..

티스토리툴바