본문 바로가기

TrueUpdate Client

벌새::Analysis 2015. 11. 3. 15:31 검색 도우미 : AdmSvc Plugin 인터넷 검색시 11번가 상품 구매 페이지를 생성할 수 있는 국내에서 제작된 "AdmSvc Plugin" 광고 프로그램에 대해 살펴보도록 하겠습니다. 해당 광고 프로그램은 2014년 9월 1일경부터 배포가 이루어졌던 것으로 추정되며, 일부 프로그램상의 문제로 인해 현재는 정상적으로 동작하지 않을 수 있습니다. 설치 과정을 살펴보면 배포 파일 실행을 통해 업데이트 서버에서 설치 파일을 다운로드하여 "C:\Users\Public\Documents\setup.exe" 파일로 임시 생성하며, 광고 프로그램 설치가 완료될 경우 배포 및 설치 파일은 자동 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\Microsoft\admPlugin C:\Users..
벌새::Analysis 2015. 11. 2. 19:55 국내 악성코드 : catroot 사용자 몰래 설치되어 추가적인 광고 프로그램 설치를 시도할 수 있는 국내에서 제작된 catroot 악성 프로그램에 대해 살펴보도록 하겠습니다. 국내 악성코드 : wininlt (2015.10.30) 해당 프로그램은 국내에서 제작된 wininlt 악성 광고 프로그램이 설치된 환경에서 사용자 동의없이 자동으로 설치되는 방식으로 유포가 이루어지고 있습니다. 설치 과정을 살펴보면 배포 파일 다운로드 및 실행을 통해 업데이트 서버에 등록된 catroot 설치 파일을 추가 다운로드하여 "C:\Users\Public\Documents\catins1.exe" 파일로 생성되어 다음과 같은 프로그램 설치를 완료 후 자동 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Windows\System32\AppCompa..
벌새::Analysis 2012. 5. 12. 20:34 검색 도우미 : Window naverdown 최근 네이버(Naver)에서 제공하는 프로그램처럼 이름을 등록하여 인터넷 검색시 사용자 몰래 특정 코드를 추가하여 야후(Yahoo) 검색을 시도하는 검색 도우미 "Window naverdown" 프로그램에 대해 살펴보도록 하겠습니다. 특히 해당 프로그램은 2012년 2월 21일경 "naverdown.com" 도메인을 등록하여 마치 네이버(Naver) 관련 사이트처럼 오해를 유발하고 있습니다. 해당 프로그램의 설치 파일(MD5 : 6420099cd6fb56ae76d36872e51823d0)에 대하여 avast! 보안 제품에서는 Win32:Malware-gen (VirusTotal : 5/41) 진단명으로 진단되고 있습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\naverdowns..
벌새::Analysis 2012. 4. 4. 01:17 국내 악성코드 : Adware.Salumonia.816277 (Hauri ViRobot) 최근 국내에서 제작된 특정 광고 프로그램이 설치될 경우 사용자 몰래 추가적으로 설치가 이루어지는 Salumonia 악성 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : cd4518ae6ed2f715fdb7ff6d55446dda)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Salumonia.816277 (VirusTotal : 4/42) 진단명으로 진단되고 있습니다. 설치 과정을 살펴보면 "C:\Documents and Settings\(사용자 계정)\Local Settings\Application Data\salumonia\salumonia_setup.exe" 파일을 생성하여 다음과 같은 파일을 생성한 후 자가 삭제되도록 제작되어 있습니다. 참고로 salu..

티스토리툴바