본문 바로가기

avast!

벌새::Analysis 2014. 1. 22. 15:35 검색 도우미 : window unit pop 특정 인터넷 검색 서비스를 이용할 경우 백그라운드 방식으로 외부 검색을 통해 불필요한 검색 트래픽을 유발하는 검색 도우미 "window unit pop" 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Local\Temp\nsite.db C:\Users\(사용자 계정)\AppData\Local\Temp\searchnqurl.dat C:\Users\(사용자 계정)\AppData\Local\Temp\site.db C:\Users\(사용자 계정)\AppData\Local\Temp\version.ini C:\Users\(사용자 계정)\AppData\Roaming\windowunitpop C:\Users\(사용자 계정)\AppData\Roam..
벌새::Analysis 2014. 1. 18. 22:32 해외 제휴 프로그램 : YoutubeAdblocker 해외에서 배포되는 파일 실행시 추가적으로 설치되는 제휴 프로그램 중 유튜브(YouTube) 광고를 차단할 수 있는 기능을 제공한다는 프로그램을 통해 광고 페이지로 자동 납치가 이루어지는 기능을 가진 YoutubeAdblocker 프로그램에 대해 살펴보도록 하겠습니다.(※ 해당 프로그램은 YoUTubeAdBlocke, YoutubeuAdBlocke, YYoutuubeAdBlocke 등의 다양한 이름으로 설치될 수 있습니다.) 해당 프로그램은 변종에 따라 "Block YouTube Ads" 이름으로 설치될 수 있는 것으로 보이며, 이전에 소개한 "Beat the Boss 3 크랙 파일(.apk)로 위장한 해외 광고 프로그램 유포 사례"를 통해 설치되는 것을 알 수 있었습니다. YoutubeAdblocker ..
벌새::Analysis 2014. 1. 9. 19:27 변조된 파일팝 다운로더를 통한 온라인 게임핵 유포 사례 (2014.1.9) 최근 국내 인터넷 사용자를 대상으로 유포되는 온라인 게임핵, 인터넷뱅킹 악성코드는 취약점(Exploit)을 이용한 유포 방식과 더불어 광고 프로그램을 통한 유포가 활발하게 이루어지고 있다는 소식이 전해지고 있습니다. ▷ [주의]애드웨어를 통한 메모리해킹 KRBanker 변종 악성파일 유포 (2013.12.23) ▷ [긴급]애드웨어 끼워팔기식의 메모리해킹 기법의 악성파일 급증 (2014.1.6) 국내에서 제작된 광고 프로그램을 이용한 악성코드 유포 방식은 기존부터 발견이 되고 있었지만, 최근에는 공격적으로 관리가 부실한 광고 프로그램을 이용하여 유포에 활용하고 있는 것 같습니다. 그 중에서도 2013년 5월경부터 현재까지 변조된 광고 프로그램 배포 목적으로 제작된 "파일팝 다운로더" 파일을 통해 온라인 게..
벌새::Analysis 2014. 1. 4. 16:33 PC 최적화 프로그램 : 라이트피씨(LitePC) 국내 (주)유씨에프 업체에서 제공하는 유료 PC 최적화 프로그램 라이트피씨(LitePC) 제품에 대해 살펴보도록 하겠습니다. ▷ PC 최적화 프로그램 : 라이트피씨(LightPC) (2012.9.12) 해당 프로그램은 동일 업체에서 제공하는 라이트피씨(LightPC) 프로그램과 이름이 유사하므로 혼동하지 않도록 하시기 바랍니다. [테스트 환경] ◆ 운영 체제(OS) : Windows 7 SP1 ◆ 설치 파일(SHA-1) : d463f563fc2d53c894545ccf18abe17b51b8fbc4 - AhnLab V3 : PUP/Win32.PowerBoan (VT : 24/48) ※ 해당 프로그램은 배포 방식 및 컴퓨터 환경에 따라 프로그램 정보가 일부 다를 수 있습니다. ※ 해당 내용은 게시글 작성일 기..
벌새::Analysis 2014. 1. 1. 19:52 RollingPop 1.0 업데이트를 통한 Windows Explorer Plugin CertKey KB31113 자동 설치 사례 (2014.1.1) 최근 "RollingPop 1.0" 검색 도우미 프로그램이 설치된 환경에서 프로그램의 업데이트 기능을 통해 사용자 몰래 "Windows Explorer Plugin CertKey KB31113" 검색 도우미 프로그램으로 자동 변경되는 유포 사례를 확인하였습니다. 해당 유포 동작은 RollingPop 1.0 프로그램이 설치된 환경 또는 제휴 프로그램으로 유포가 이루어지고 있는 RollingPop 1.0 프로그램이 설치되는 과정에서 이루어지고 있는 것으로 추정되며, 특히 Windows XP 운영 체제 및 사용자 계정 컨트롤(UAC) 기능을 사용하지 않는 Windows Vista 이상의 운영 체제에서 발생하는 것으로 보입니다. 대표적인 유포 사례를 살펴보면 국내에서 제작된 메모리 최적화 프로그램 아웃메모리(O..
벌새::Analysis 2013. 12. 29. 22:22 검색 도우미 : searchgoo - searchgooys 인터넷 검색시 "열린 주소창 검색(dns3.ktguide.com)" 및 추가적인 광고 팝업창 등을 생성할 수 있는 검색 도우미 searchgoo 변종 프로그램에 대해 살펴보도록 하겠습니다. ▷ 국내 악성코드 : searchgoo (2013.12.14) ▷ 검색 도우미 : searchgoo - searchgooms (2013.12.17) ▷ 검색 도우미 : searchgoo - searchgoohs (2013.12.18) searchgoo 검색 도우미 프로그램은 프로그램 이름은 동일하지만 다양한 폴더와 파일로 구성된 변종 프로그램이 유포되고 있으므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\searchgooys C:\Program Files\searchgooys..
벌새::Analysis 2013. 12. 28. 19:51 매직케어(MagicCare) 유해 사이트 차단 프로그램을 이용한 "MC Program" 광고 주의 (2013.12.28) 매직케어(MagicCare) 유해 사이트 차단 프로그램 설치를 통해 필수적으로 포함되는 광고 기능을 통해 인터넷 검색시 광고창이 생성되며, 사용자에 의한 프로그램 삭제를 방해하는 것으로 확인되고 있는 "MC Program" 프로그램에 대해 살펴보도록 하겠습니다. ▷ 매직케어(MagicCare) 유해 사이트 차단 프로그램을 이용한 "MGCS System" 광고 주의 (2013.10.27) ▷ 매직케어(MagicCare) 설치로 인한 "MG Internet Platform(License Version 2.0)" 광고 주의 (2013.10.29) 특히 매직케어(MagicCare) 유해 사이트 차단 프로그램은 버전별로 다양한 프로그램 이름으로 배포가 이루어지고 있으므로 참고하시기 바랍니다. 해당 프로그램은 다양..
벌새::Analysis 2013. 12. 23. 23:32 검색 도우미 : honorzone Internet Explorer 웹 브라우저의 주소 표시줄에 검색어를 입력하여 검색을 시도할 경우 특정 검색 서버로 연결이 이루어질 것으로 추정되는 검색 도우미 honorzone 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Users\(사용자 계정)\AppData\Roaming\honorzone C:\Users\(사용자 계정)\AppData\Roaming\honorzone\honorzone.dll :: BHO 등록 파일 C:\Users\(사용자 계정)\AppData\Roaming\honorzone\honorzone.exe :: 시작 프로그램 등록 파일, 예약 작업(Windowshonorzone) 등록 파일 C:\Users\(사용자 계정)\AppData\Roaming\ho..

티스토리툴바