본문 바로가기

kaspersky

벌새::Analysis 2012. 2. 4. 19:22 wshtcpip.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.2.4) 이번 주말을 기점으로 중국발 계정 정보 수집 목적의 악성코드가 wshtcpip.dll 시스템 파일을 패치하는 방식으로 새롭게 변경이 이루어져서 유포가 이루어지고 있는 것이 확인되고 있습니다. ▷ version.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.1.17) 이는 기존의 version.dll + safemon.dll 유포 방식에서 변화를 준 형태로 이전에 작성한 분석 내용을 함께 참고하시기 바랍니다. 이번에 사용된 "C:\WINDOWS\system32\wshtcpip.dll" 시스템 파일은 "Windows Sockets Helper DLL" 기능을 하며, 보통 외부 네트워크와 연결된 프로세스에 추가되어 동작하는 것으로 판단됩니다. 실제로 감염되지 않은 정상..
벌새::Security 2012. 1. 24. 13:19 Kaspersky 오진 : 토렌저(Torrenser) 업데이트 파일 - Trojan.Win32.Jorik.Vobfus.kmi (2012.1.24) 러시아 보안 제품 Kaspersky 보안 제품에서 국내에서 제작된 토렌트(Torrent) 검색 프로그램 토렌저(Torrenser) 업데이트 파일 Torrenser.exe(MD5 : ecc21cce2c5df64c92a84a38da9ec0e6)에 대하여 Trojan.Win32.Jorik.Vobfus.kmi 진단명으로 오진하고 있는 것을 확인하였습니다. 토렌저(Torrenser)는 작년경부터 블로그 등 인터넷 게시판을 통해 배포가 이루어지고 있는 토렌트(Torrent) 검색 기능을 가진 프로그램으로 검색된 결과를 바탕으로 µTorrent 프로그램을 이용하여 다운로드를 연결하는 것으로 보이며, 공식적인 홈페이지는 확인이 되지 않고 있습니다. 우선적으로 이런 방식의 배포는 배포 과정에서 설치 파일 변경 등 악의적..
벌새::Analysis 2012. 1. 1. 12:52 Space와 Tab키를 이용한 보이지 않는 JavaScript를 이용한 악성코드 유포 (2012.1.1) 최근 중국발 온라인 게임 계정 탈취를 목적으로 하는 악성코드 유포시 기존에 사용하던 자바 스크립트(JavaScript) 방식과는 다르게 Space와 Tab키를 이용하여 외형적으로 코드가 보이지 않도록 제작된 부분이 확인이 되고 있습니다. 보이지 않는 코드 - Dehydrating a String (2011.12.29) Space(빈칸)와 Horizontal Tab(탭)를 이용한 Hide JavaScript Malware !! (2012.1.1) 해당 악성 스크립트에 대해 이미 보안 블로그에서 정보를 공개하였으며, 저와 같은 초보자를 위해 해당 악성 스크립트를 단순 무식하게 풀어보는 방법에 대해 살펴보도록 하겠습니다. 샘플에 사용된 스크립트는 이번 주말 모 언론사 웹 사이트에서 유포되는 것이며, 위와 같이..
벌새::Security 2011. 12. 22. 11:22 승진을 목적으로 한 경찰청장 PC 해킹 사건 발생 (2011.12.22) 최근 모 지방 경찰청에서 경찰 간부(경정)가 직속 상관(경찰청장)의 PC에 도청 및 원격 제어를 통한 엿보기 등을 할 목적으로 무단으로 프로그램을 설치하였다가 발각되어 현재 사전 구속 영장이 신청된 상태라는 기사가 올라왔습니다. 현직 경찰관이 청장 사무실 도청에 해킹까지...개인적 목적이라고? (2011.12.21) 기사에서는 해당 경찰관이 사용한 프로그램 이름이 공개가 되어 간단하게 프로그램을 중심으로 살펴보도록 하겠으며, 개인적인 생각에는 해킹이 일반적인 해킹 목적으로 제작된 악성 프로그램이 아니라 무료(상용)로 공개된 소프트웨어를 잘 활용한 사례가 아닌가 판단이 됩니다. 우선 상대방의 PC 화면을 엿보기 위하여 설치한 팀뷰어(TeamViewer) 소프트웨어는 독일에서 제작된 원격 제어 프로그램으로 ..
벌새::Analysis 2011. 12. 19. 12:46 국내 악성코드 : 프리무비s 1.0 휴일을 이용하여 국내에서 제작된 검색 도우미 KeyPack 1.0 프로그램을 통해 추가적인 프로그램이 배포되는 것이 확인되었으며, 이로 인해 어떤 종류의 프로그램이 설치되는지 여부와 관련 정보를 살펴보도록 하겠습니다. 검색 도우미 : KeyPack 1.0 (2011.12.18) 당시 KeyPack 1.0 프로그램이 설치된 환경에서 시스템 시작시마다 특정 외부 서버와 연결되어 제휴 프로그램을 체크한다는 부분을 언급한 적이 있습니다. 해당 업데이트를 통해 추가 다운로드될 수 있는 설치 파일(MD5 : f7418f1d3ee52c57d29b5bfa8c6d0344)은 웹하드 홍보 목적으로 제작된 "프리무비s 1.0" 프로그램을 설치하며, 사용자 몰래 추가적인 다운로드를 시도하는 것을 확인할 수 있습니다. 참고로 ..
벌새::Analysis 2011. 12. 7. 19:33 해외 가짜 백신 : Kaspersky Internet Security 2010 최근 자극적인 동영상 감상을 위해 코덱(Codec) 파일을 다운로드하도록 실행시 해외 유명 보안 제품 Kaspersky Internet Security 2010 버전으로 위장한 가짜 백신(FakeAV)가 동작하는 사례가 확인이 되었습니다. 참고로 러시아를 본사로 하는 Kaspersky 보안 제품과 동일한 이름을 사용하고 있으므로 혼동하지 않도록 주의할 필요가 있습니다. 해당 악성코드 유포 방식은 그림과 같은 PrivateTube라는 이름의 악성 사이트로 접속을 유도하여 동영상 감상을 위해 플레이(Play) 버튼을 클릭하도록 구성되어 있습니다. 사이트에서는 동영상 감상을 위해 코덱 파일을 다운로드하여 실행하도록 유도하고 있으며, 해당 codec.exe(MD5 : ef1d48e8226e491133525df0..
벌새::Analysis 2011. 11. 26. 11:06 V3LTrMsge.exe, vitsinware.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2011.11.26) 이번 주말을 기점으로 웹하드, 언론사 등 국내 다수의 인터넷 사이트 접속시 Windows 보안 패치 및 Adobe Flash Player 최신 버전을 사용하지 않는 사용자들은 자동으로 감염이 이루어지는 다양한 악성코드가 유포되고 있습니다. CVE-2010-0806 / CVE-2010-3962 취약점을 이용한 온라인 게임 계정 탈취 (2011.2.19) 오늘은 올해 초반에 확인되었던 온라인 게임 계정 탈취 목적의 악성코드와 유사한 성격을 가진 변종에 대해 살펴보도록 하겠습니다. 해당 샘플은 국내 모 언론 사이트 접속시 감염을 유발하는 악성코드 유포에서 최종 다운로드된 암호화된 최종 파일이 XOR을 거쳐 감염이 이루어지는 사례입니다. 참고로 최종 파일(MD5 : 12d58352839b155c98542cb34..
벌새::Analysis 2011. 11. 20. 13:46 포털 사이트 메인 광고 배너를 통한 악성코드 유포 주의 (2011.11.20) 2011년 10월 하순경부터 주말을 기점으로 네이버(Naver) 메인 화면에 접속을 할 경우 avast! 보안 제품에서 JS:Iframe-DO [Trj] 진단명으로 악성코드 진단을 한다는 정보가 나오기 시작하였습니다. 어베스트가 계속 특정페이지만 이러한 창이뜹니다 (2011.10.22) 당시 개인적으로 확인하였을 때에는 유포 지점을 정확하게 찾을 수 없었으며, 메인 화면에 포함된 특정 외부 광고 또는 인터넷 쇼핑몰과 관련된 링크를 통해 불규칙적으로 구현되는 증상이 아닌가 의심이 되었습니다. 그러다가 어제(19일) 저녁 네이버 메인 화면에 접속할 경우 Kaspersky 보안 제품에서 HEUR:Trojan.Script.Iframer 진단명으로 또 다시 진단되는 이슈가 발생하여 유포와 관련된 부분을 확인하였습..

티스토리툴바