본문 바로가기

Window for smart update

벌새::Analysis 2014. 9. 2. 21:57 다운로드 도우미 : 조이유틸(JoyUtil) 국내에서 제작된 다양한 광고 프로그램 배포를 목적으로 운영되는 "조이유틸(JoyUtil)" 파일 자료실은 스팸(Spam) 블로그를 통해 다양한 소프트웨어 다운로드를 제공하는 과정에서 자동으로 설치되는 "조이유틸 업데이터"와 좁은 영역에 숨어있는 다수의 제휴 프로그램에 대해 살펴보도록 하겠습니다. 예를 들어 블로그에 게시되어 링크 또는 첨부 파일 형태로 배포가 이루어지고 있는 mediasave 디지털 서명이 포함된 스누피 고스트(Snoopy Ghost) 관련 파일을 통해 확인해 보도록 하겠습니다. 웹 상에서 다운로드한 파일을 실행하면 "초고속 다운로드 런쳐" 창이 생성(C:\Program Files\JoyUtil\JoyUtilDown.exe)되어 "필수 설치 프로그램"으로 스누피 고스트(Snoopy Gho..
벌새::Analysis 2014. 9. 1. 19:37 사용자 몰래 "Windows Total SyncKit v.1.0" 광고 프로그램을 설치하는 Popupgate 주의 (2014.9.1) 2014월 8월 21일경부터 국내에서 제작된 Popupgate 광고 프로그램이 제휴 프로그램 방식으로 유포되면서 사용자 몰래 "Windows Total SyncKit v.1.0" 광고 프로그램이 함께 설치되는 부분을 발견하였습니다. popupgate.exe (SHA-1 : da9c30e475c9fd1cecf9719c74cef892f9b9bdfc) - AhnLab V3 : PUP/Win32.AboutTab.C219266 (VT : 22/55) setup_popupa.exe (SHA-1 : 1e43ed7ca0f83733746c2ec48a994f3b024b256d) - avast! : Win32:Adware-gen [Adw] (VT : 23/55) 배포 파일을 확인해보면 내부에 Popupgate, Window..
벌새::Analysis 2014. 8. 11. 15:57 커뮤니티 사이트의 자료실을 이용한 제휴 프로그램 배포 방식 (2014.8.11) 국내 인터넷 사용자를 대상으로 커뮤니티 게시판 중심으로 운영하는 다○○ 사이트에 포함된 파일 자료실이 다수의 제휴 프로그램 설치를 유도하는 사례가 확인되어 살펴보도록 하겠습니다. 문제의 웹 사이트의 게시판 중 "자료실" 메뉴를 클릭할 경우 AhnLab V3 365 Clinic 보안 제품에서 "불필요한 사이트(PUS) 접근 차단" 창을 통해 자료실 접속을 차단하는 동작을 확인할 수 있습니다. 해당 웹 사이트 자체는 차단하지 않는 반면 자료실 게시판만을 차단하는 이유를 살펴보면 국내에서 제작된 다양한 광고 프로그램 배포 목적으로 운영되는 파일 자료실 형태를 발견할 수 있습니다. 참고로 자료실 게시판 접속시 파트너 URL 값을 이용하여 외부의 유틸바다(Utilbada) 웹 서버로 연결되는 것을 확인할 수 있습..
벌새::Analysis 2014. 7. 3. 14:14 툴뭉도우미 스타크래프트(StarCraft) 립버전을 이용한 국내 애드웨어 설치 주의 (2014.7.3) 예전부터 다양한 유포 경로를 통해 스타크래프트(StarCraft) 립버전을 다운로드하여 설치하는 과정에서 사용자의 부주의에 의해 국내 광고 프로그램 다수가 함께 설치되는 사례가 보고되고 있었습니다. 이번에 대표적인 "툴뭉도우미 스타크래프트(StarCraft) 립버전"을 이용하여 어떤 방식으로 설치를 유도하는지에 대해 자세하게 살펴보도록 하겠습니다. 특정 블로그에 게시된 스타크래프트(StarCraft) 다운로드 링크를 통해 대용량의 실행 파일을 다운로드하는 사례를 확인할 수 있습니다. h**p://www.play***.com:8080/StarCraft.exe (SHA-1 : 7FE6B394843CFD4646A31549B140B978672D15F9) h**p://www.open****.co.kr:8080/S..
벌새::Analysis 2014. 1. 5. 15:37 Window for smart update 기능을 몰래 등록하는 SSI 프로그램 주의 (2014.1.5) 최근 국내에서 제작된 SSI 검색 도우미 프로그램이 설치되는 과정에서 사용자 몰래 추가적인 파일을 등록하여 Windows 시작시 특정 조건을 체크하여 "Window for smart update" 창을 생성하여 제휴 프로그램의 설치를 유도하는 행위가 확인되고 있습니다. ▷ 검색 도우미 : SSI (2013.10.20) SSI 검색 도우미 프로그램은 2013년 10월경부터 유포가 확인되고 있으며, 2013년 12월경부터 추가적인 파일을 등록하고 있는 것이 아닌가 의심되고 있습니다. 우선 최근 배포가 이루어지고 있는 SSI 검색 도우미 설치 파일을 이용하여 프로그램이 설치될 경우 "C:\Users\(사용자 계정)\AppData\Local\Temp\adm\ssiinstall.exe" 파일을 생성하여 다음과 같..

티스토리툴바