본문 바로가기

Trojan.Win32.PatchedDll.C

벌새::Analysis 2012. 6. 3. 15:34 톡플레이어(TokPlayer) 설치 파일 변조를 통한 온라인 게임 악성코드 유포 주의 (2012.6.3) 주말마다 해킹된 웹 사이트 변조를 통해 온라인 게임 계정 정보를 탈취할 목적으로 유포가 이루어지는 방식이 최근 정상적인 소프트웨어의 설치 파일을 변조하는 방식으로 배포되고 있는 것이 확인되었습니다. 이번에 확인된 소프트웨어는 톡플레이어(TokPlayer) 홈 페이지에 등록된 동영상 재생 프로그램 설치 파일 중 32비트용 설치 파일을 변조하여 설치시 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일 패치를 통한 악의적인 동작이 이루어집니다.(※ 현재 글 작성 시점에서 여전히 유포가 이루어지고 있으므로 호기심에 파일을 다운로드하여 실행하는 일이 없도록 주의하시기 바랍니다.) 설치 파일을 비교해보면 우측의 정상적인 64비트 톡플레이어(TokPlayer..
벌새::Analysis 2011. 11. 13. 12:25 kill.sys, ws2help.dll 파일을 이용한 계정 정보 수집 주의 (2011.11.13) 최근 중국발 악성코드 유포 과정에서 알약(ALYac) 2.1.0.3 최신 버전이 설치된 환경에서 감염이 발생할 경우, kill.sys 악성 드라이버 파일을 이용하여 국내 보안 제품을 무력화한 후 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일을 패치하는 악성코드 유포 행위가 확인되었습니다. 사용자 입장에서는 악성코드를 유포하는 사이트에 접속할 경우 알약(ALYac), AhnLab V3 보안 제품의 트레이 아이콘과 Internet Explorer 웹 브라우저가 죽는 현상으로 감염 여부를 경험할 수 있습니다. kill.sys 파일을 이용한 "MajorFunction Hook & Kill AntiVirus Process" (2011.11.13)이에 ..
벌새::Analysis 2011. 10. 29. 13:14 웹 사이트 변조로 인한 시스템 점검 중인 사이트를 통한 유포 (2011.10.29) 국내 온라인 게임 넥슨(Nexon) 메이플스토리(MapleStory) 팬 사이트로 알려진 모 사이트가 최근 외부 공격으로 인해 악성코드가 유포됨에 따라 시스템 점검 상태로 전환을 하고 있는 것을 확인하였습니다. 이런 경우 일반적으로 해당 사이트에 접속할 경우 시스템 점검 안내 메시지와 관련된 그림 파일 하나만 노출되어 실제 감염으로 연결되는 경우는 쉽게 발견되지 않았던 것으로 기억됩니다. 그런데 해당 사이트 메인 소스를 확인해보면 악성 스크립트(cccc.html)이 추가되어 있으며, 실제 사이트를 방문할 경우 Internet Explorer 웹 브라우저 및 Adobe Flash Player 보안 패치가 제대로 설치되어 있지 않은 경우 자동으로 감염이 발생하는 것을 확인할 수 있습니다. 파일명 보안 제품 ..

티스토리툴바