본문 바로가기

hangame

벌새::Analysis 2014. 5. 21. 20:06 삭제를 방해하는 "Internet Explorer Distribution Of Earnings - ProVersion + Retain" 광고 프로그램 정보 (2014.5.21) "외국어 자동번역 검색 수익분배 시스템"으로 표시된 프로그램 설치를 통해 광고 기능을 수행하는 "Internet Explorer Distribution Of Earnings" 검색 도우미 프로그램이 최근 사용자에 의한 프로그램 삭제를 방해할 목적으로 제어판에 등록하지 않는 방식으로 설치가 이루어지고 있는 변종 유포 사례를 확인하였습니다. 참고로 "Internet Explorer Distribution Of Earnings" 프로그램은 외국어 번역 기능은 존재하지 않는 광고 프로그램이므로 속지 않도록 주의하시기 바랍니다. 프로그램 설치 과정을 살펴보면 배포 파일이 다운로드되어 실행되면 다음과 같은 3개의 파일을 생성합니다. C:\Users\(사용자 계정)\AppData\Roaming\WinCtrView\E..
벌새::Analysis 2013. 3. 12. 14:09 제휴(스폰서) 프로그램 : 패스트링크(FastLink) 온라인 게임 회원 가입 또는 본인 인증 절차시 외부 광고 프로그램으로 인하여 "휴대폰번호 도용방지 서비스" 창이 생성되는 패스트링크(FastLink) 프로그램(MD5 : f127f6a8cc1c20360546742e2b46dde8)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Documents and Settings\(사용자 계정)\Application Data\FastLink C:\Documents and Settings\(사용자 계정)\Application Data\FastLink\FastLink.exe :: 메모리 상주 프로세스 C:\Documents and Settings\(사용자 계정)\Application Data\FastLink\FastLinkAgent.exe :: 시..
벌새::Analysis 2013. 3. 11. 11:54 국내 온라인 게임을 표적으로 한 Windows appcon(remove data) 프로그램 유포 주의 (2013.3.11) 최근 확인되지 않은 특정 프로그램이 설치된 환경에서 추가적인 다운로드를 통해 사용자 몰래 "Windows appcon(remove data)" 프로그램을 설치하여 온라인 게임을 표적으로 한 악성 프로그램을 설치하는 행위가 확인되고 있습니다. 유포에 활용되는 IP 서버(1.***.83.**)는 국내에 위치하고 있으며, 해당 서버에서 받아오는 파일(MD5 : 7b8bc55be7e828c51d4c5bb5135a2deb)을 통해 "Windows appcon(remove data)" 프로그램이 설치되도록 되어 있습니다. 참고로 해당 파일은 2013년 2월 20일경부터 유포가 확인되고 있으며, BitDefender 보안 제품에서는 Gen:Variant.Graftor.70979 (VirusTotal : 19/46) ..
벌새::Analysis 2012. 10. 15. 12:51 네이버(Naver) 디지털 서명으로 위장한 한게임 불법 프로그램 (2012.10.15) (주)NHN 업체에서 서비스하는 한게임(HanGame)을 표적으로 제작된 상업적 목적의 프로그램이 네이버(Naver) 디지털 서명으로 위장하고 있는 부분을 발견하였습니다. 확인된 파일(Tomato.exe - MD5 : 6e7ac1b2a196f44270ea01a6a0018475)을 살펴보면 "Tomato Soft Application"이라는 속성값을 가지고 있으며, 디지털 서명이 추가되어 있는 것을 확인할 수 있습니다. 해당 디지털 서명에는 실제 네이버(Naver)에서 사용하는 디지털 서명과 동일한 모습을 가진 변조된 디지털 서명을 포함하고 있으며, 디지털 서명을 확인하지 못하여 유효하지 않은 것으로 표시되고 있습니다. 파일을 실행하며 특정 서버에서 업데이트 체크를 하는 것을 확인할 수 있으며, 해당 업데..
벌새::Analysis 2012. 9. 1. 16:58 PUP 프로그램을 이용한 온라인 게임핵 유포 주의 (2012.9.1) 국내 온라인 게임 사용자의 계정 정보를 표적으로하는 온라인 게임핵(OnlineGameHack) 악성코드 유포가 백신 프로그램의 진단 정책을 이용하여 배포하는 사례가 최근 지속적으로 발견되고 있습니다. 예를 들어 국내에서 제작된 검색 도우미, 유해 차단 프로그램, 코덱(Codec) 등 광고성 프로그램은 백신 프로그램에서 PUP(Potentially Unwanted Program) 진단으로 인하여 개인 사용자의 경우 진단이 되지 않는 경우가 많습니다. 이를 악용하여 공격자는 해당 PUP 프로그램의 업데이트 서버를 해킹하여 악성코드를 유포하며, 백신 프로그램에서는 법적인 문제로 초기 진단에 구멍이 발생할 수 있으리라 판단됩니다. 이번 글에서는 주말을 이용하여 국내에서 제작된 유해 차단 프로그램(****per)..
벌새::Analysis 2012. 7. 21. 19:47 국내 백신 업데이트를 방해하는 wshtcpip.dll 온라인 게임핵 유포 주의 (2012.7.21) Adobe Flash Player, Oracle JRE 등의 보안 취약점을 이용한 주말 유포 사례에서 감염시 국내 대표적인 백신 프로그램의 업데이트 서버 접속을 방해하는 방식이 지속적으로 발견되고 있습니다. 이로 인하여 감염된 환경에서는 백신 프로그램 동작에는 문제가 없는데 AhnLab V3 백신의 경우 "업데이트 중 오류가 발생했습니다. (-1073741819)" 메시지 표시나 알약(ALYac) 백신에서는 "업데이트 서버와 연결에 실패하였습니다."라는 메시지를 통해 최신 DB 업데이트를 하지 못하도록 업데이트 서버를 차단하는 것을 확인할 수 있습니다. 현재 확인된 이번 주말 유포 행위 중 wshtcpip.dll 시스템 파일 패치를 통해 온라인 게임 계정 정보를 수집하는 악성코드 감염으로 인한 사례를 통..
벌새::Analysis 2012. 7. 12. 12:53 한게임 포커(Poker)를 노리는 백도어 유포 주의 (2012.7.12) 예전부터 국내 광고 프로그램 등의 유포 경로를 통해 한게임(HanGame)을 노리는 백도어(Backdoor) 유포 행위가 심심찮게 발견이 되고 있었으며 유포 주기도 매우 짧은 형태로 치고 빠지는 것으로 보입니다. 이번에 살펴볼 유사한 변종은 Anti-VM 기법을 이용하여 가상 환경에서 분석을 어렵게 하고 있으며, 국내 특정 개인정보 확인 프로그램의 모바일 관련 코드로 추정되는 URL 주소가 포함되어 있는 것이 특징입니다. 유포지를 확인해보면 특정 업데이트 서버에 인터넷 쇼핑몰 바로가기 아이콘을 생성하는 광고 프로그램과 함께 특정 카페24(Cafe24) 웹 호스팅 서버에 "teask"라는 프로그램으로 등록된 형태로 등록되어 있습니다. 이를 통해 외부의 어떤 프로그램은 업데이트를 시도하는 과정에서 해당 악성..
벌새::Analysis 2012. 6. 3. 15:34 톡플레이어(TokPlayer) 설치 파일 변조를 통한 온라인 게임 악성코드 유포 주의 (2012.6.3) 주말마다 해킹된 웹 사이트 변조를 통해 온라인 게임 계정 정보를 탈취할 목적으로 유포가 이루어지는 방식이 최근 정상적인 소프트웨어의 설치 파일을 변조하는 방식으로 배포되고 있는 것이 확인되었습니다. 이번에 확인된 소프트웨어는 톡플레이어(TokPlayer) 홈 페이지에 등록된 동영상 재생 프로그램 설치 파일 중 32비트용 설치 파일을 변조하여 설치시 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일 패치를 통한 악의적인 동작이 이루어집니다.(※ 현재 글 작성 시점에서 여전히 유포가 이루어지고 있으므로 호기심에 파일을 다운로드하여 실행하는 일이 없도록 주의하시기 바랍니다.) 설치 파일을 비교해보면 우측의 정상적인 64비트 톡플레이어(TokPlayer..

티스토리툴바