본문 바로가기

Trojan.Win32.Downloader.824320.A[h]

벌새::Analysis 2016. 6. 18. 18:33 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) 2016년 초에 특정 이글루스(Egloos) 블로그를 악용하여 AutoHotkey로 제작된 악성코드 유포 활동이 이루어지고 있는 부분에 대해 살펴본 적이 있었습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 당시 분석글에서는 어떤 경로로 이글루스 블로그에 포함된 PNG 악성 파일을 체크하는지 확인하지 못하였는데, 최근 유포 행위의 시작점을 발견하여 추가적으로 살펴보도록 하겠습니다. 2015년 7월 6일경 특정 토렌트(Torrent) 파일 공유 사이트에 게시된 한글 2014 정품 프로그램을 배포하는 시드(Seed) 파일이 배포되기 시작하였습니다. 다운로드된 한글2014.zip 압축 파일 내부에는 성인 광고가 포함된 그림 파일 하나 외에는 ..
벌새::Analysis 2016. 1. 16. 22:29 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 최근 특정 사용자의 PC에서 실행되는 의심스러운 파일이 확인되어 조사를 하던 중 이글루스(Egloos) 블로그를 악용하여 악성코드 유포를 하는 부분이 존재하여 간단하게 살펴보도록 하겠습니다. 우선 확인되지 않은 프로그램을 사용자가 실행할 경우 다음과 같은 특정 이글루스 블로그에 접속할 수 있습니다. 해당 블로그에서는 2015년 7월 2일 야간에 영어로 작성된 2건의 게시글을 등록하였으며, 게시글 내용에는 각각 서로 다른 WordPress 계정에 등록된 PNG 그림 파일로 위장한 링크가 포함되어 있습니다. h**ps://******.files.wordpress.com/2015/08/acttom.png (SHA-1 : 496c83635fbd1475d871d5602977d5c97b914eb0) - AhnLab..
벌새::Analysis 2015. 7. 20. 12:32 상업적 키워드 입력을 통한 네이버(Naver) 자동 검색 프로그램 주의 (2015.7.20) 2014년 9월경부터 현재까지 "raten.cafe24.com / tens.cafe24.com" 웹 서버를 통해 상업적 검색 키워드를 이용하여 네이버(Naver) 포털 검색 서비스를 어뷰징하는 악성코드 유포 행위에 대해 살펴보도록 하겠습니다. 현재 인터넷 상에 공개된 실제 감염 PC 상태를 단적으로 보여주는 내용을 종합하여 한 장으로 압축해보면 Windows 시작시 "C:\Program Files (x64)\Microsoft.NET\rqsvz.exe" 악성 파일이 자동 실행되어 기능을 수행하다가, 주기적으로 새로운 변종을 서버에서 다운로드하여 "C:\Program Files (x64)\Microsoft.NET\mqsvz.exe" 파일로 변경하는 것으로 추정합니다. 32비트 : C:\Program File..

티스토리툴바