본문 바로가기

Windows 호스트 프로세스(Rundll32)

벌새::Analysis 2016. 7. 10. 13:04 파일명과 확장명을 변경하는 CryptXXX 랜섬웨어 변종 유포 (2016.7.10) 암호화된 파일을 다양한 패턴으로 변경하던 CryptXXX 랜섬웨어(Ransomware)가 2016년 7월 8일경부터 파일명과 확장명 모두를 랜덤(Random)하게 변경하는 변종을 유포하고 있는 것을 확인하였습니다. 랜덤(Random) 확장명으로 암호화되는 CryptXXX 랜섬웨어 유포 주의 (2016.6.22) 이전에 파일 확장명을 랜덤(Random)하게 변경하던 CryptXXX 랜섬웨어는 지금까지 ".crypt → .cryp1 → .cryptz → 확장명 랜덤(Random) → 파일명/확장명 변경없음" 패턴으로 변화되어 오고 있었으며 이번에 확인된 변종은 파일명과 확장명 모두가 무슨 파일인지 알 수 없도록 변경합니다. "C:\Windows\SysWOW64\rundll32.exe" "C:\User\%Us..
벌새::Analysis 2014. 10. 27. 21:26 불법 사이트 접속시 자동 다운로드되는 cassgameInstaller.exe 악성 파일 주의 (2014.10.27) 2014년 9월 9일경부터 특정 불법 게임 사이트 접속시 자동으로 다운로드되는 cassgameInstaller.exe 악성 파일을 통해 특정 게임 및 정보 유출, DDoS 공격 등 다양한 악의적 기능을 수행할 수 있는 악성코드 유포 사례에 대해 살펴보도록 하겠습니다.(※ 해당 정보는 분석글 작성하는 시점에서도 유효한 공격이므로 호기심에 접속하는 일이 없도록 주의하시기 바랍니다.) 문제의 불법 게임 웹 사이트 접속과 동시에 자동으로 웹 서버에서 cassgameInstaller.exe 악성 파일이 다운로드되고 있으며, 실제 웹 사이트를 신뢰하는 불법 도박 게임 이용자는 파일을 실행할 가능성이 존재합니다. [사이트 변조] 제이쿼리(JQuery)함수를 이용한 악성코드 다운로드 방식 주의!! (2014.10.7)..
벌새::Analysis 2014. 10. 12. 15:27 해외 악성코드 : Assistant 최근에 해외에서 배포되는 광고 프로그램을 살펴보던 중 함께 설치가 이루어질 수 있는 Assistant 악성 프로그램에 대해 살펴보도록 하겠습니다. 해외 광고 프로그램 : GoSave - GoSaave (2014.10.6) Assistant 악성 프로그램은 GoSave 해외 광고 프로그램과 같은 다양한 광고 솔루션과 함께 설치될 수 있으며, 2014년 3월 초부터 국내에서도 발견된 기존의 SProtector, GS_Sustainer 1.80 악성 프로그램의 변종으로 추정됩니다. 프로그램 설치가 진행되면 "C:\Users\(사용자 계정)\AppData\Local\Temp\tf00294823.dll" 파일을 임시 생성하여 다음과 같은 프로그램을 설치한 후 자동 삭제 처리됩니다. 또한 설치 과정에서 네덜란드(N..

티스토리툴바