본문 바로가기

avast!

벌새::Analysis 2011. 11. 20. 13:46 포털 사이트 메인 광고 배너를 통한 악성코드 유포 주의 (2011.11.20) 2011년 10월 하순경부터 주말을 기점으로 네이버(Naver) 메인 화면에 접속을 할 경우 avast! 보안 제품에서 JS:Iframe-DO [Trj] 진단명으로 악성코드 진단을 한다는 정보가 나오기 시작하였습니다. 어베스트가 계속 특정페이지만 이러한 창이뜹니다 (2011.10.22) 당시 개인적으로 확인하였을 때에는 유포 지점을 정확하게 찾을 수 없었으며, 메인 화면에 포함된 특정 외부 광고 또는 인터넷 쇼핑몰과 관련된 링크를 통해 불규칙적으로 구현되는 증상이 아닌가 의심이 되었습니다. 그러다가 어제(19일) 저녁 네이버 메인 화면에 접속할 경우 Kaspersky 보안 제품에서 HEUR:Trojan.Script.Iframer 진단명으로 또 다시 진단되는 이슈가 발생하여 유포와 관련된 부분을 확인하였습..
벌새::Analysis 2011. 11. 13. 12:25 kill.sys, ws2help.dll 파일을 이용한 계정 정보 수집 주의 (2011.11.13) 최근 중국발 악성코드 유포 과정에서 알약(ALYac) 2.1.0.3 최신 버전이 설치된 환경에서 감염이 발생할 경우, kill.sys 악성 드라이버 파일을 이용하여 국내 보안 제품을 무력화한 후 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일을 패치하는 악성코드 유포 행위가 확인되었습니다. 사용자 입장에서는 악성코드를 유포하는 사이트에 접속할 경우 알약(ALYac), AhnLab V3 보안 제품의 트레이 아이콘과 Internet Explorer 웹 브라우저가 죽는 현상으로 감염 여부를 경험할 수 있습니다. kill.sys 파일을 이용한 "MajorFunction Hook & Kill AntiVirus Process" (2011.11.13)이에 ..
벌새::Analysis 2011. 11. 3. 14:18 국내 악성코드 : 115.68.2.15 IP를 이용한 악성코드 유포 (2011.11.3) 국내에서 제작된 악성코드 중 2010년 초부터 외부에 알려진 것으로 추정되는 115.68.2.15 IP를 이용한 악성코드 유포 행위가 지속적으로 확인이 되고 있습니다. 이 중에서 최근 유포 중인 11종의 변종 악성 파일과 감염시 어떤 프로그램을 추가적으로 설치하는지에 대해 알아보도록 하겠습니다. MD5 : aaad09f2ae8495ee27663ef6f9cd52e2 (avast! : NSIS:Downloader-UZ) MD5 : d3af3542339dd285391122d59a599d9a (Kaspersky : Trojan-Downloader.Win32.Agent.gpyo) MD5 : 05547e3020860d549285f12e22338a19 (avast! : Win32:Dropper-gen) MD5 : 3..
벌새::Analysis 2011. 10. 29. 13:14 웹 사이트 변조로 인한 시스템 점검 중인 사이트를 통한 유포 (2011.10.29) 국내 온라인 게임 넥슨(Nexon) 메이플스토리(MapleStory) 팬 사이트로 알려진 모 사이트가 최근 외부 공격으로 인해 악성코드가 유포됨에 따라 시스템 점검 상태로 전환을 하고 있는 것을 확인하였습니다. 이런 경우 일반적으로 해당 사이트에 접속할 경우 시스템 점검 안내 메시지와 관련된 그림 파일 하나만 노출되어 실제 감염으로 연결되는 경우는 쉽게 발견되지 않았던 것으로 기억됩니다. 그런데 해당 사이트 메인 소스를 확인해보면 악성 스크립트(cccc.html)이 추가되어 있으며, 실제 사이트를 방문할 경우 Internet Explorer 웹 브라우저 및 Adobe Flash Player 보안 패치가 제대로 설치되어 있지 않은 경우 자동으로 감염이 발생하는 것을 확인할 수 있습니다. 파일명 보안 제품 ..
벌새::Analysis 2011. 10. 11. 14:09 VSLay.dll를 이용한 온라인 게임 계정 탈취 목적의 루트킷(Rootkit) 악성코드 (2011.10.11) 주말을 중심으로 한 국내 인터넷 사용자들을 대상으로 한 온라인 게임 계정 탈취 목적의 악성코드는 6~7월경부터 쉘코드(ShellCode)를 이용한 VSLay.dll 파일을 통한 감염을 유발하는 사례가 발견되기 시작하였습니다. 특히 최근에는 Windows 탐색기로는 파일을 확인할 수 없는 루트킷(Rootkit) 방식으로 등록하여 사용자 PC에 설치된 보안 제품(AhnLab V3, 알약(ALYac), 네이버 백신(Naver Vaccine))의 기능을 방해하여 감염된 자신들을 보호하고 있습니다. 어느 날 자신의 컴퓨터에 설치된 이들 보안 제품이 동작하지 않거나 삭제되는 현상이 발생한다면 이런 류의 악성코드에 감염되었으므로 전용 백신 또는 제3의 보안 제품을 설치하여 안전모드에서 정밀 검사를 하시기 바랍니다. ..
벌새::Analysis 2011. 9. 22. 15:57 V3 엔진을 방해하는 국내 악성코드 Overtls 시리즈 국내에서 제작된 악성코드 중 금전적 수익을 목적으로 오랫동안 활동하며 꾸준히 변종을 제작 및 유포하는 것 중에 유명한 것이 Win-Trojan/Overtls(AhnLab 진단명 기준)가 있습니다. 해당 악성코드는 일반적으로 다양한 광고 프로그램이 법에서 정한 정상적인 동의 과정을 거쳐 설치가 이루어지는 프로그램을 통해 사용자 몰래 설치되는 경향이 있는 것으로 추정됩니다. 특히 해당 악성코드는 국내 보안 제품 중 AhnLab V3 Lite, 네이버 백신(Naver Vaccine)이 설치되어 있는지 체크를 하는 부분이 있는 것으로 보아, 설치시 보안 제품 무력화를 시도한다고 볼 수 있습니다. 검색 도우미 : WebManager (2010.6.21) 검색 도우미 : Keyword Search (2010.6.2..
벌새::Security 2011. 8. 21. 00:07 avast! 오토샌드박스 기능으로 인한 알툴즈 삭제 문제 해외 무료 백신으로 유명한 avast! Free AntiVirus 6 버전 환경에서 이스트소프트(ESTSoft)사에서 제공하는 알툴즈(ALTools) 제품군을 삭제할 경우 오토샌드박스(AutoSandbox) 기능으로 인하여 삭제가 되지 않는 문제에 대해 살펴보도록 하겠습니다. 어베스트 백신의 오토샌드박스(AutoSandbox) 활용 예제 (2011.3.17) avast! 제품의 오토샌드박스 기능은 일반적으로 사용자가 특정 파일(프로그램)을 실행할 경우, avast! 보안 제품에서 자동으로 해당 파일이 의심스럽다고 판단될 경우 오토샌드박스 환경에서 파일을 실행하도록 하여 시스템 파일의 감염을 사전에 차단할 수 있습니다. 그런데, 국내 사용자들이 많이 사용하는 알툴즈 제품군(알집, 알씨, 알송, 알쇼, 알툴..
벌새::Analysis 2011. 8. 16. 01:20 백도어 + 온라인 게임 계정 유출형 악성코드 유포 주의 (2011.8.16) 최근 해킹된 언론 사이트를 통해 유포되는 악성코드 중에서 백도어(원격 제어) 기능과 온라인 게임 계정 정보를 함께 수집하는 혼합된 방식의 악성코드가 발견되고 있습니다. 해킹된 웹 사이트 접속시 보안 취약점을 이용한 백도어 설치 주의 (2011.8.3) 이미 취약점을 이용한 악성코드 감염시 백도어(Backdoor) 기능을 하는 사례가 확인이 되었으며, 이는 네이트닷컴, 싸이월드 해킹처럼 플러스 효과를 노리는 것일 수도 있다고 판단됩니다. Microsoft Internet Explorer 긴급 보안 업데이트 : MS10-018 (2010.3.31) 업데이트 : Adobe Flash Player 10.3.183.5 & Adobe AIR 2.7.1 (2011.8.10) 이번 악성코드 유포 방식은 Internet..

티스토리툴바