본문 바로가기

Win32:Malware-gen

벌새::Analysis 2018. 9. 14. 21:24 PC방에서 플레이되는 고포류 게임을 노리는 악성코드 정보 (2018.9.14) 2018년 8월 말부터 유포되었을 것으로 추정되는 국내에서 서비스되고 있는 고포류 게임을 통해 금전적 수익을 얻는 악성코드가 확인되어 살펴보도록 하겠습니다. 정확한 유포 경로는 확인되지 않고 있지만 기존에 이미 감염된 경로를 통해 패치되는 방식으로 전파가 이루어질 것으로 보이며, 특히 PC방 환경을 고려하여 제작된 것으로 보아 일반 개인 사용자에게는 노출되지 않았을 것으로 보입니다. 확인된 설치 파일(SHA-1 : 3a7fa60a969d9a51a570e74d5ee35a1d30cadfa6 - AhnLab V3 : Trojan/Win32.Downloader.C2433135) 또는 업데이트 파일(SHA-1 : e8ade2580be93921b51ff889130c3464e3b5cf25)을 통해 다음과 같은 사전 ..
벌새::Analysis 2017. 4. 14. 20:13 가짜 Internet Explorer 오류 메시지를 이용한 고포류 게임을 노리는 악성코드 유포 주의 (2017.4.14) 최근 특정 웹 사이트에 접속할 경우 가짜 Internet Explorer 웹 페이지 오류 메시지를 생성하여 다운로드되는 파일을 실행할 경우 국내 특정 고포류 게임을 표적으로 악성코드에 감염되는 사례가 공개되어 간단하게 살펴보도록 하겠습니다. 상대방의 패를 엿볼 수 있는 사행성 도박 게임용 악성파일 유포 중! (2017.4.14) 알약(ALYac) 블로그에서 공개한 정보에 의하면 북한(North Korea)말을 사용하는 공격자가 2016년 하반기경부터 국내를 표적으로 지속적인 악성코드 유포가 이루어지고 있음을 간접적으로 언급하고 있습니다. 어떤 방식으로 문제의 웹 사이트로 접속을 유도하는지 알 수 없지만 접속할 경우 "Internet Explorer에서 웹 페이지를 표시할 수 없습니다."라는 전형적인 오류..
벌새::Analysis 2016. 3. 22. 20:32 동의없이 광고 프로그램을 대량 설치하는 "Windows Network IP Manager" 프로그램 주의 (2016.3.22) 설치 시 네트워크 접속 정보를 표시하는 "Windows IPHelper - Network Utility" 창을 생성하는 "Windows Network IP Manager" 광고 배포용 프로그램이 사용자 몰래 다수의 국내 광고 프로그램을 몰래 설치하는 행위에 대해 살펴보도록 하겠습니다. Microsoft Platform SmartRun Management Tools 삭제 및 제거 정보 (2016.2.23) 사용자 몰래 다운로드되어 실행된 "C:\Temp\setupsmr01.exe" 파일은 WiseCommerce 디지털 서명이 포함된 "Microsoft Platform SmartRun Management Tools" 광고 프로그램을 "C:\Program Files\SmartRun" 폴더에 설치합니다. 이를 ..
벌새::Analysis 2015. 11. 2. 19:55 국내 악성코드 : catroot 사용자 몰래 설치되어 추가적인 광고 프로그램 설치를 시도할 수 있는 국내에서 제작된 catroot 악성 프로그램에 대해 살펴보도록 하겠습니다. 국내 악성코드 : wininlt (2015.10.30) 해당 프로그램은 국내에서 제작된 wininlt 악성 광고 프로그램이 설치된 환경에서 사용자 동의없이 자동으로 설치되는 방식으로 유포가 이루어지고 있습니다. 설치 과정을 살펴보면 배포 파일 다운로드 및 실행을 통해 업데이트 서버에 등록된 catroot 설치 파일을 추가 다운로드하여 "C:\Users\Public\Documents\catins1.exe" 파일로 생성되어 다음과 같은 프로그램 설치를 완료 후 자동 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Windows\System32\AppCompa..
벌새::Analysis 2015. 10. 30. 22:28 국내 악성코드 : wininlt 사용자 몰래 다음(Daum), 네이버(Naver) 검색 서비스에 특정 검색 키워드를 이용한 인터넷 검색을 자동으로 수행하며, 업데이트 기능을 통해 다수의 광고 프로그램을 사용자 동의없이 설치할 수 있는 국내에서 제작된 wininlt 악성 광고 프로그램에 대해 살펴보도록 하겠습니다. 확인된 배포 파일은 2015년 8월 14일경 발견되고 있지만, 최초 배포는 2014년 12월경부터 지속적으로 변종을 배포한 것으로 추정됩니다. 설치 과정을 살펴보면 배포 파일 실행을 통해 "C:\Program Files\Windows Sidebar\wininlt_setup.exe" wininlt 설치 파일을 임시 생성하여 프로그램 설치가 진행된 후 자가 삭제 처리됩니다. 참고로 정상적인 PC 환경에서도 존재하는 "C:\Prog..
벌새::Analysis 2015. 10. 29. 20:50 국내 악성코드 : Windows Explorer usewillch .NET Service Pack 1 국내 광고 프로그램 설치 목적으로 제작된 "Windows Explorer usewillch .NET Service Pack 1" 악성 프로그램을 설치한 후 삭제 기능을 제공하지 않는 플러스매칭(PlusMatching) 광고 프로그램을 추가하는 유포 사례가 확인되어 살펴보도록 하겠습니다. 해당 악성코드는 2015년 9월 1일경부터 유포가 이루어진 것으로 보이며, 최초 배포 파일을 통해 다음과 같은 설치를 진행합니다. [생성 폴더 / 파일 및 진단 정보] C:\Users\(사용자 계정)\AppData\Roaming\usewill C:\Users\(사용자 계정)\AppData\Roaming\usewill\plusmat.exe :: 예약 작업(usewill) 등록 파일, 메모리 상주 프로세스 - SHA-1 : ..
벌새::Analysis 2015. 10. 24. 18:59 바로가기 아이콘 생성 프로그램 : KeywordBacon 인터넷 검색 키워드 값을 기반으로 바탕 화면 및 즐겨찾기에 추가된 바로가기 아이콘을 변경할 수 있는 국내에서 제작된 KeywordBacon 바로가기 아이콘 생성 프로그램에 대해 살펴보도록 하겠습니다. 프로그램 설치 과정을 살펴보면 배포 파일 실행을 통해 keybacon.exe 설치 파일을 임시 생성하여 프로그램 설치 후 자동 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\KeywordBacon C:\Program Files\KeywordBacon\baconuninst.exe C:\Program Files\KeywordBacon\BaseInfo.dat C:\Program Files\KeywordBacon\icon C:\Program Files\KeywordBacon\Ic..
벌새::Analysis 2015. 10. 19. 19:32 검색 도우미 : cleversearchgt 인터넷 검색 키워드 값을 감시하여 "열린 주소창 검색(dns.ktguide.com)"으로 연결을 시도할 수 있는 국내에서 제작된 cleversearchgt 광고 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : searchgoo - searchgooys (2013.12.29) 외 35건 검색 도우미 : WinsearchOpen (2014.7.30) 외 6건 검색 도우미 : snbmedia (2015.4.20) 검색 도우미 : searchrun (2015.9.3) 검색 도우미 : MSUTIL (2015.9.10) 해당 프로그램은 2012년 11월경부터 배포가 이루어졌던 것으로 보이며, 유사한 기능을 가진 다양한 변종이 발견되고 있으므로 참고하시기 바랍니다. 설치 과정을 살펴보면 배포 파일 실행을 통해..

티스토리툴바