본문 바로가기

USA

벌새::Analysis 2011. 8. 1. 11:51 Spam 이메일 : Twitter has sent you a notification (2011.8.1) 최근 세계적으로 유명한 SNS 서비스 트위터(Twitter)에서 발생한 이메일을 통해 불법 의약품 판매 사이트로 유도하는 링크가 발생된 스팸(Spam) 이메일이 확인되고 있습니다. 해당 이메일 제목은 [Twitter has sent you a notification]로 구성되어 있으며, 트위터 관리자가 발송한 것처럼 위장하고 있습니다. 이메일에서 제시된 링크는 외형적으로는 twitter.com으로 표기되어 있지만, 실제 내부 링크는 미국(USA)에 위치한 특정 웹 페이지로 연결을 시도합니다. 해당 링크에 접속할 경우 최종적으로 루마니아에 위치한 95.64.61.110 IP 주소로 연결이 이루어지고 있으며, 해당 IP 주소를 조회해보면 다수의 불법 의약품 판매와 연계된 것을 확인할 수 있습니다. 이번 사례..
벌새::Analysis 2011. 7. 30. 21:24 블로그 광고 배너를 통한 imm32.dll, shell64.dll 악성코드 유포 (2011.7.30) 저번 주말부터 블로그 광고 배너를 이용한 악성코드 유포 행위가 이번 주 금요일 밤부터 또 다시 유포가 이루어지고 있는 것을 확인하였습니다. 블로그 광고 배너를 통한 온라인 게임 악성코드 유포 (2011.7.24) 특히 토요일 오후경 해당 광고 배너 업체에서 해킹된 악성 스크립트를 제거하였지만 현재는 변경된 악성 스크립트를 이용하여 새로운 악성코드 유포가 진행되고 있습니다. [악성코드 유포 경로] h**p://banner.**get.co.kr/ads/adgetS2.js ㄴ h**p://bn.weather*.co.kr/images/x/win.html ㄴ h**p://bn.weather*.co.kr/images/x/q.html ㄴ h**p://bn.weather*.co.kr/images/x/v3.htm ㄴ h..
벌새::Analysis 2011. 7. 23. 13:35 온라인 게임 계정 탈취 목적의 ws2help.dll, Sleep.dll 악성코드 유포 (2011.7.23) 매주 주말마다 벌어지는 중국발 온라인 게임 계정 탈취 목적의 악성코드 유포가 꾸준히 발견되고 있습니다. 이번 시간에는 6월경부터 발견되고 있는 것으로 알려진 ws2help.dll 시스템 파일 패치 및 Sleep.dll 파일을 이용한 보안 제품 무력화와 온라인 게임 계정 정보 수집에 대한 내용을 살펴보도록 하겠습니다. ws2help.dll 시스템 파일을 패치하는 온라인 게임 계정 탈취 악성코드 (2011.6.19) 시스템 파일 교체 악성코드는 계속 변화 중... (2011.7.18) 해당 악성코드와 관련된 이전의 게시글을 함께 참고하시면 이해하시는데 도움이 되시리라 생각됩니다. [악성코드 유포 경로] h**p://www.ci**se***.com/common/com_cineseoul.js ㄴ h**p://2..
벌새::Analysis 2011. 6. 26. 12:07 Audio.sys 후킹을 통한 온라인 게임 계정 탈취 악성코드 (2011.6.26) 주말마다 국내 인터넷 사이트 변조를 통해 특정 소프트웨어 취약점이 존재하는 사용자가 문제의 사이트에 접속시 자동 감염을 유발하여 온라인 게임 계정 탈취 목적의 악성코드를 설치하는 행위가 꾸준하게 이루어지고 있습니다. 이번 주말에는 모 웹하드에서 발견된 루트킷(Rootkit) 방식의 악성코드 감염시 수동으로 해결할 수 있는 방법을 살펴보도록 하겠습니다. 수동 해결 방식을 공개하는 이유는 해당 악성코드 감염시 국내 사용자가 많이 사용하는 보안 제품을 무력화하여 감염시 치료를 방해하기 때문에 임시로 문제 해결을 하도록 하기 위함이므로 해당 방법이 100% 안정성과 제거를 보장하지 않으므로 반드시 임시 해결 후 국내 보안 제품으로 정밀 검사를 하시기 바랍니다. [악성코드 유포 경로] h**p://script.s..
벌새::Analysis 2011. 6. 19. 19:47 ws2help.dll 시스템 파일을 패치하는 온라인 게임 계정 탈취 악성코드 (2011.6.19) 최근 주말을 중심으로 이루어지는 국내 인터넷 사이트 변조를 통한 악성코드 유포는 감염시 정상적인 시스템 파일을 패치하는 방식을 통해 꾸준하게 이루어지고 있습니다. lpk.dll 시스템 파일을 패치하는 악성코드 자동 감염 주의 (2011.6.12)대표적으로 imm32.dll, lpk.dll 시스템 파일 패치가 많은 것으로 보이며, 감염시 인터넷을 이용하는 과정에서 웹 브라우저가 죽는 현상과 국내 보안 제품(V3, 알약)의 동작을 방해하는 현상이 있습니다.이번 주말에는 새로운 시스템 파일 ws2help.dll (Windows Socket 2.0 Helper for Windows NT)을 패치하는 악성코드가 발견되었기에 해당 악성 파일에 감염시 수동으로 문제를 해결하는 방법에 대해 살펴보도록 하겠습니다.[악성..
벌새::Analysis 2011. 6. 12. 22:20 lpk.dll 시스템 파일을 패치하는 악성코드 자동 감염 주의 (2011.6.12) 주말을 이용하여 웹하드 등 국내 유명 사이트들이 제로데이(0-Day) 취약점으로 추정되는 악성코드로 인하여 보안 패치가 완벽하게 이루어진 시스템에서도 자동 감염이 이루어질 수 있는 부분을 발견하였습니다. Windows 7 + Internet Explorer 9 환경에서 악의적으로 변조된 인터넷 사이트에 접속할 경우 사용자 계정 컨트롤(UAC) 기능을 통해 사용자 몰래 다운로드되어 실행되려는 scvhost.exe 파일의 허용 여부를 묻는 창이 생성되는 것을 확인할 수 있습니다. 만약 Window XP + Internet Explorer 8 환경에서는 위와 같은 UAC 보안 기능이 없으므로 해킹된 인터넷 사이트에 접속하는 동작만으로 자동으로 감염되는 것을 확인하였으며, 감염 후 자동으로 웹 브라우저가 종료되..
벌새::Analysis 2011. 5. 21. 23:14 lpk.dll 시스템 파일을 패치하는 온라인 게임 탈취 악성코드 (2011.5.21) 중국에서 국내 온라인 게임 계정 탈취를 목적으로 제작된 악성코드 중에서는 Windows 시스템 파일을 패치(Patch)하는 방식을 많이 이용하고 있습니다. 기존의 comres.dll / imm32.dll / midimap.dll 파일과 더불어 최근에 lpk.dll 시스템 파일을 패치하는 방식이 발견되고 있습니다. 현재 국내에서 감염을 유발하는 방식은 대체로 악의적으로 변조된 국내 인터넷 사이트에 접속하는 시점에서 Internet Explorer 웹 브라우저 취약점, Adobe Flash Player 취약점을 이용한 방식으로 매월 정기적으로 제공되는 Windows 보안 패치 미설치자와 함께 Adobe Flash Player 최신 버전 미사용자의 경우에는 보안 제품의 진단이 이루어지지 않을 경우 자동으로 감..
벌새::Security 2011. 5. 6. 21:21 에브리존 터보패치(EveryZone TurboPatch)로 위장한 악성코드 유포 (2011.5.6) 국내 보안 업체 (주)에브리존에서 공지를 통하여 자사에서 제공하는 보안 패치 관리 프로그램 터보패치(TurboPatch) 설치 파일로 위장한 악성코드가 유포된다는 긴급 공지를 등록하였습니다. 해당 공지 내용을 살펴보면 이메일을 통하여 북한 관련 이슈를 근거로 제공되는 에브리존 터보백신 설치 파일로 위장한 URL 링크를 통해 제공되는 프로그램을 설치하도록 유도하고 있습니다. 실제 URL 표기는 에브리존으로 되어 있지만, 실제로는 미국(USA)에 등록된 67.228.81.181 IP로 연결되어 파일 다운로드가 이루어지는 것으로 추정됩니다. 흥미로운 점은 이미 해당 악성코드 유포와 관련하여 2011년 1월 중순경에 동일한 이메일을 통해 악성코드 유포 행위가 있었던 것으로 안철수연구소(AhnLab) ASEC 리..

티스토리툴바