본문 바로가기

UtilZone

벌새::Analysis 2013. 5. 11. 20:03 제휴(스폰서) 프로그램 : 로또왕 로또 번호 자동 생성 프로그램을 이용하여 프로그램 설치 및 업데이트 과정에서 추가적인 수익성 프로그램의 설치를 유도하는 로또왕 프로그램(MD5 : 4422ee8b7ce9bfa8d86696538a60a73f)에 대해 살펴보도록 하겠습니다. ▷ 제휴(스폰서) 프로그램 : 도로명 검색(Doro-Search) (2013.3.25) 해당 프로그램과 유사성이 강한 프로그램이 다수 존재하는 것으로 추정되므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\kinglotto C:\Program Files\kinglotto\kinglotto.exe :: 프로그램 실행 파일 C:\Program Files\kinglotto\kinglottoUp.exe :: 시작 프로그램 등록 파일 C:..
벌새::Analysis 2013. 5. 6. 12:35 국내 악성코드 : FavorIcon 2013년 1월~2월경 국내에서 제작된 인터넷 쇼핑몰 바로가기 아이콘 생성 프로그램 FavorIcon을 이용하여 사용자 몰래 악성 프로그램을 추가로 설치하여 다양한 수익성 프로그램을 유포하던 사례에 대해 살펴보도록 하겠습니다.(※ 해당 내용은 2013년 초에 발생한 유포건에 대한 내용입니다.) 특히 해당 사례를 최근(2013년 5월 3일) 비슷한 방식으로 변종 프로그램을 재배포하고 있는 것으로 확인되고 있으므로 피해가 예상됩니다. ▷ 제휴(스폰서) 프로그램 : Xecure speller Application (2012.9.5) 유포처로 활용된 곳은 국내에서 제작된 "Xecure speller Application" 프로그램이 설치된 환경에서 업데이트 창을 통해 설치될 수 있는 수익성 프로그램 중 "Fav..
벌새::Analysis 2013. 3. 25. 19:36 제휴(스폰서) 프로그램 : 도로명 검색(Doro-Search) 국내 도로명을 검색해 주는 프로그램을 이용하여 다수의 수익성 프로그램 설치를 유도하는 "도로명 검색(Doro-Search)" 프로그램(MD5 : 38f9304e32123c8534b99f1b84f102e7)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\doro-search C:\Program Files\doro-search\doro-search.exe :: 프로그램(도로명 주소 찾기) 실행 파일 C:\Program Files\doro-search\doro-searchUp.exe :: 시작 프로그램 등록 파일 C:\Program Files\doro-search\partner.ini C:\Program Files\doro-search\Uninstall.exe ..
벌새::Analysis 2012. 12. 9. 14:21 제휴(스폰서) 프로그램 : ezpopup client x86 윈도우(Windows) 시작시 고정된 업데이트 창을 생성하여 다수의 수익성 프로그램의 설치를 유도하는 "ezpopup client x86" 프로그램(MD5 : e4156f715db84fdf5ea97e49e7bb11e2)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\wepop C:\Program Files\wepop\uninst.exe :: 프로그램 삭제 파일 C:\Program Files\wepop\wepop.exe :: 업데이트 창 생성 프로세스 C:\Program Files\wepop\wepsv.exe :: 서비스(wepop svc) 등록 파일 C:\WINDOWS\wepop.ini 해당 프로그램은 "C:\Program Files\wepop" 폴더에 파..
벌새::Analysis 2012. 10. 31. 21:02 다운로드 도우미 : 탑유틸(TopUtil) 유명 소프트웨어 파일로 위장한 파일을 블로그에 등록하여 실행시 사용자 몰래 "탑유틸(TopUtil)" 프로그램을 설치하며, 추가적인 15종의 제휴(스폰서) 프로그램의 설치를 유도하는 다운로드 런쳐(Download Launcher) 프로그램에 대해 살펴보도록 하겠습니다. 프로그램 배포 방식을 살펴보면 다수의 블로그 계정을 이용하여 AhnLab V3 Lite 무료 백신에 대한 소개와 함께 다운로드를 유도하고 있습니다. 실제 다운로드된 AhnLab V3 Lite 설치 파일은 "mediasave" 디지털 서명을 포함하고 있으며, 해당 파일(MD5 : e389c8a81e917714c2b3e37d5cbd7c02)에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Agent.1215928 (VirusTo..
벌새::Analysis 2012. 10. 21. 15:36 국내 악성코드 : Windows enwpdscon x86 글자수 세기 프로그램(Windows jachget sys x86)의 업데이트를 통해 사용자 몰래 설치되어 "업데이트 설치"창을 생성하는 "Windows enwpdscon x86" 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 0405b7aa297d19979d84c0b98c0853c2)에 대하여 BitDefender 보안 제품에서는 Gen:Variant.Graftor.40591 (VirusTotal : 10/44) 진단명으로 진단되고 있습니다. 해당 프로그램의 설치 파일을 이용하여 수동 설치를 진행할 경우에는 이용약관을 통해 "E.N.W Update controller"를 설치한다고 안내하고 있습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\enwpd..
벌새::Analysis 2012. 10. 19. 19:57 Recuva 한글판 웹 사이트를 이용한 제휴 프로그램 배포 주의 (2012.10.19) 해외 Piriform Ltd 업체에서 제공하는 삭제된 파일 복원 기능을 제공하는 Recuva 프로그램을 이용하여 제휴(스폰서) 프로그램을 배포하는 행위에 대해 살펴보도록 하겠습니다. 프로그램 배포 방식을 살펴보면 포털 사이트에서 특정 키워드 값으로 검색시 등록된 개인 도메인(pe.kr)을 통해 "Recuva 한글판"을 배포하는 것처럼 다운로드를 유도하고 있습니다. ▷ 해외 압축 프로그램을 이용한 스폰서 프로그램 유포 (2012.1.10) ▷ 가짜 Adobe 다운로드 자료실 주의 (2012.2.27) ▷ 클릭 투 트윅(Click To Tweak) 도메인을 이용한 제휴(스폰서) 프로그램 유포 사례 (2012.5.14) ▷ CPU-Z 한글판을 이용한 "사용자 업데이트 컨트롤(User dnControler ma..
벌새::Analysis 2012. 9. 9. 14:44 야간을 이용한 EasySearch.cab ActiveX 배포 주의 (2012.9.9) 최근 국내에서 제공되는 특정 무료 웹 카운터(Counter) 서비스를 이용할 경우 웹 사이트 관리자가 제대로 인지하지 못하는 방식으로 "EasySearch.cab" ActiveX 설치창을 생성하여 수익성 프로그램을 사용자 동의없이 설치하는 사례를 확인하였습니다. 특히 해당 ActiveX 설치창은 주간(낮)에는 생성되지 않으며, 야간(밤)에만 반복적으로 추가하여 은밀하게 뿌리는 수법을 이용하고 있으며, 이를 통해 설치된 광고 프로그램을 사용자가 삭제하여도 반복적으로 재설치가 이루어지는 문제가 있습니다. 실제 문제의 웹 카운터(Counter) 서비스를 이용하는 특정 웹 사이트에 접속을 한 경우 야간 시간에는 붉은색 사각형 영역의 "EasySearch.cab" ActiveX 설치창이 생성되는 것을 확인할 수 ..

티스토리툴바