본문 바로가기

eset

벌새::Analysis 2016. 9. 24. 15:32 검색 도우미 : KMPHelper 1.0 인터넷 검색을 통한 웹 사이트 접속 시 검색 키워드 값을 참조하여 다양한 광고창을 생성할 수 있는 국내에서 제작된 "KMPHelper 1.0" 광고 프로그램에 대해 살펴보도록 하겠습니다. 대표적인 배포 방식을 확인해보면 KMPlayer 동영상 재생 프로그램의 제휴 프로그램으로 포함되어 있으며, 기본값에서 체크된 상태로 배포되고 있으므로 사용자의 현명한 판단이 필요합니다. 설치가 진행될 경우 downkmphelper.exe 배포 파일(SHA-1 : e64b050240cbea8fa989826c46c03634e685858f - Trend Micro : TROJ_GEN.R02KC0PFM16)을 다운로드 및 실행하여 KMPHelper 1.0 설치 파일(SHA-1 : 3081e0c3fcd8954af32ae4ea74..
벌새::Analysis 2016. 9. 12. 19:03 광고 기능이 포함된 "한국 전화번호부" 프로그램 정보 2016년 1월경부터 배포된 것으로 추정되는 "한국 전화번호부" 프로그램(SHA-1 : e62002dd4eb648c5ad2f9d68323634c7a8995b27 - Microsoft : Program:Win32/Hadsruda!bit) 설치 시 내부에 포함된 광고 기능을 통해 인터넷 검색 시 광고탭이 자동으로 생성되는 기능이 있는 것으로 확인되어 살펴보도록 하겠습니다. 해당 프로그램의 배포 경로는 확인되지 않지만 정황상 국내 특정 보안 업체에서 운영하는 프로그램의 제휴 프로그램으로 설치되지 않았나 추정됩니다. 생성 폴더 / 파일 등록 정보 C:\Program Files\iSuperPage C:\Program Files\iSuperPage\icon C:\Program Files\iSuperPage\icon..
벌새::Analysis 2016. 9. 10. 20:06 CDSpace 업데이트로 유포되는 파밍(Pharming) 악성코드 주의 (2016.9.10) 국내 인터넷뱅킹 정보를 수집할 목적으로 제작된 파밍(Pharming) 악성코드가 시디스페이스(CDSpace) 가상 드라이브 프로그램의 업데이트 서버를 통해 2016년 9월 10일 오후 3시경부터 유포되는 것이 확인되어 살펴보도록 하겠습니다. 해당 악성코드 감염 방식을 살펴보면 시디스페이스(CDSpace) 구버전이 설치된 환경에서 업데이트를 시도할 경우 "C:\Program Files\CDSpace\CDSpace8\CDSpaceUpdate.exe" 파일이 생성되어 최신 버전으로 패치가 이루어지는 과정에서 다음과 같이 악성 파일이 다운로드될 수 있습니다. h**p://update.cdspace.com/CDSpace******/CDSpace8.exe (SHA-1 : 51a1b3f8774f3cd5049c361b..
벌새::Analysis 2016. 9. 9. 20:39 검색 도우미 : Windows Internet Explorer Smart Service 인터넷 검색 시 11번가 검색 결과를 자동으로 생성할 수 있는 국내에서 제작된 "Windows Internet Explorer Smart Service" 광고 프로그램(SHA-1 : a9af6dccc4fe6c7498a176b66d85869a1c44e965 - Avira : ADWARE/Hebogo.ljjt)에 대해 살펴보도록 하겠습니다. 해당 광고 프로그램은 기존의 Micronames Multi Language Convert Service, Internet Explorer Distribution Of Earnings, Windows Internet Explorer Distribution Of Earnings 이름으로 최소 7년 이상 운영되고 있는 변종입니다. 생성 폴더 / 파일 등록 정보 C:\Users..
벌새::Analysis 2016. 9. 6. 19:17 검색 도우미 : Windows Cookiemon 인터넷 검색 시 다수의 광고창 생성 및 추가적인 제휴 프로그램 설치가 이루어질 수 있는 국내에서 제작된 "Windows Cookiemon" 광고 프로그램(SHA-1 : 966c05b3372a4f83735267bc8edcfdf3d35c99fd - Hauri ViRobot : Adware.Safeterra.6000536[h])에 대해 살펴보도록 하겠습니다. 국내 광고 프로그램을 몰래 설치하는 WiseComm 프로그램 주의 (2016.2.6) 동의없이 광고 프로그램을 대량 설치하는 "Windows Network IP Manager" 프로그램 주의 (2016.3.22) 제거되지 않는 "MicroSearch Mapping Agents Program" 악성 광고 배포 프로그램 주의 (2016.7.31) 해당 광고 ..
벌새::Analysis 2016. 8. 27. 19:10 광고창 생성 기능이 포함된 보물섬 다운로드 도우미(SpeedDownload - Bomul) 주의 국내에서 운영되는 보물섬 자료실에 등록된 소프트웨어 다운로드를 위해 필수적으로 설치를 요구하는 "보물섬 다운로드 도우미 - SpeedDown" 프로그램(SHA-1 : 6834a2e438213cbbc01638d62025111f4b9bb733 - Avira : TR/Agent.5867232)을 설치할 경우 인터넷 이용 중 광고창이 생성되는 부분에 대해 살펴보도록 하겠습니다. 다운로드 도우미 : SpeedDown 1.0.0.2 (2014.5.26) 참고로 보물섬 다운로드 도우미 프로그램은 과거에는 광고 기능이 아닌 추가적인 제휴 프로그램 설치를 유도하는 행위가 있었으므로 참고하시기 바랍니다. 생성 폴더 / 파일 등록 정보 C:\Users\%UserName%\AppData\Roaming\SpeedDown C:\..
벌새::Analysis 2016. 8. 18. 19:51 검색 도우미 : Network Application Express - Kakaru 인터넷 검색 및 웹사이트 접속 시 다양한 광고창을 생성할 수 있는 국내에서 제작된 "Network Application Express" 광고 프로그램 변종인 Kakaru 광고 프로그램(SHA-1 : e3199101724188128425d4cd07e642c5853eb21e)에 대해 살펴보도록 하겠습니다. 검색 도우미 : Network Application Express - Firebase (2016.8.14) 검색 도우미 : Network Application Express - Godzilla (2016.8.15) "Network Application Express" 광고 프로그램은 기존의 LuckyTool 악성 광고 프로그램과 마찬가지로 변종에 따라 다양한 폴더(파일)와 프로그램 이름으로 설치될 수 있습..
벌새::Analysis 2016. 8. 16. 20:13 스팀(Steam) 계정 정보 탈취 목적의 악성 화면 보호기(.scr) 주의 (2016.8.16) 최근에 스팀(Steam) 클라이언트를 통한 온라인 게임을 즐기는 과정에서 쪽지(문자)를 통해 특정 URL 주소를 전달하여 클릭 시 악성 화면 보호기(.scr) 파일을 다운로드하도록 유포되는 사례가 발견되고 있습니다. 확인된 문자 메시지는 "ahaha, lol h**p://imagehost.trade/image**" 형태로 구성되어 있으며, URL 주소를 클릭할 경우 Google 단축 URL(goo.gl) 주소를 경유하여 image41.scr 화면 보호기 파일을 다운로드하도록 구성되어 있습니다. image41.scr (SHA-1 : 38de43c12c1b4312804fc23b64c62eea781c2257 - BitDefender : Trojan.GenericKD.3469711) image41.scr (SH..

티스토리툴바