본문 바로가기

naver

벌새::Analysis 2014. 3. 21. 22:22 디시인사이드 납치 사이트(api.tistory.us)를 이용한 악성코드 유포 주의 (2014.3.21) 2012년경부터 네이버(Naver) 검색을 통해 디시인사이드(DCInside) 커뮤니티 사이트를 접속하는 과정에서 "api.tistory.us" 웹 사이트를 경유하여 다양한 웹 사이트로 납치를 하는 문제에 대해 소개한 적이 있었습니다.(※ 호기심에 해당 웹 사이트 접속시 악성코드 감염이 발생할 수 있으므로 주의하시기 바랍니다.) ▷ 디시인사이드(DCInside) 접속시 "api.tistory.us" 사이트를 이용한 납치 문제 (2014.1.5) ▷ 오랜만에 보는 302 Redirection (2014.3.7) 당시 분석글에서는 납치 사이트(api.tistory.us)를 경유하는 과정에서 악성코드 유포 행위가 발생할 가능성에 대해 언급하였으며, 2014년 3월경부터 실제로 납치 사이트(api.tistory..
벌새::Analysis 2014. 3. 19. 20:11 바람의 나라 경험치 계산기를 이용한 백도어(Backdoor) 유포 (2014.3.19) 최근 2013년 10월~2014년 2월경까지 네이버(Naver) 블로그에 (주)넥슨코리아 업체에서 서비스하는 온라인 게임 바람의 나라에서 사용할 수 있는 경험치 계산기 파일로 위장한 악성 파일을 통해 2,000여만원의 금전적 수익을 올린 사이버 범죄자가 검거되었다는 소식이 있습니다. ▷ 원주경찰, 악성코드 제작·유포한 피의자 검거 (2014.3.19) 이에 추가적인 조사를 진행해보면 여전히 네이버(Naver) 블로그에서는 유사한 악성 파일이 발견되고 있기에 2013년 5월경 게시한 바람의 나라 경험치 계산기 악성 파일을 통해 이루어질 수 있는 문제에 대해 살펴보도록 하겠습니다. 확인된 특정 네이버(Naver) 블로그에서는 바람의 나라 경험치 계산기로 소개된 압축 파일(경험치계산기+V0.5.zip)을 첨부..
벌새::Analysis 2014. 3. 8. 19:49 국내 악성코드 : WMIPPlus + Helper Search wcpt. soft Windows 시작 후 특정 검색 키워드 값을 이용하여 백그라운드 방식으로 네이버(Naver) 검색을 통해 웹 사이트 접속을 시도하는 WMIPPlus 악성 프로그램이 설치되는 과정에서 추가적으로 사용자 몰래 설치되는 "Helper Search wcpt. soft" 프로그램에 대해 살펴보도록 하겠습니다. ▷ 국내 악성코드 : RealWeb + Search Helper _ nc. soft (2013.10.29) 해당 프로그램은 기존에 RealWeb 프로그램 설치시 함께 설치되는 "Search Helper _ nc. soft" 프로그램의 변종이므로 참고하시기 바랍니다. 제휴 프로그램 방식으로 유포가 이루어지고 있는 배포 파일은 실행시 WMIPPlus, Helper Search wcpt. soft 2종의 프로그..
벌새::Analysis 2014. 3. 5. 14:51 블로그 광고 배너를 통한 인터넷뱅킹 악성코드 유포 주의 (2014.3.5) 어제밤(2014년 3월 4일) 늦은 시간에 특정 광고 배너가 포함된 티스토리(Tistory) 블로그를 보던 중 광고 배너를 통해 인터넷뱅킹 악성코드가 유포되고 있는 부분을 발견하였습니다. 해당 블로그 상에서 취약점(Exploit) 방식으로 유포되는 것으로 확인된 악성코드가 어떤 경로를 통해 노출이 이루어지고 있는지 확인해 보았습니다. 확인 결과 블로그 하단 영역에 추가한 CPC 광고 배너로 알려진 특정 광고 서버에 악성 iframe이 추가되어 노출이 발생하며, 이를 통해 접속한 사용자 PC에 설치된 특정 응용 프로그램의 보안 패치가 이루어지지 않은 경우 자동 감염(Drive-By Download) 방식으로 설치가 이루어질 수 있습니다. h**p://kong***.com/index.html (SHA-1 :..
벌새::Analysis 2014. 2. 25. 21:11 "freedownloade.net" 서버를 이용한 국내 애드웨어 유포 사례 (2014.2.25) 네이버(Naver) 지식인 답변을 통해 특정 블로그에 게시된 링크를 통해 사용자가 원하는 프로그램을 다운로드할 수 있도록 홍보하면서 다양한 제휴 프로그램을 설치하는 유포 사례를 살펴보도록 하겠습니다. 예를 들어 마인크래프트 1.5.2 설치 파일을 원하는 질문글에 답변을 통해 특정 티스토리(Tistory) 블로그 링크를 통해 접속을 유도하며, 해당 블로그에서는 마인크래프트 및 자바(Java) 관련 파일을 다운로드할 수 있는 링크가 포함되어 있습니다. 해당 링크의 주소를 자세히 살펴보면 "freedownloade.net/marks/(배포 식별 변수)/down/(파일명).exe" 형태를 가지고 있는 특징이 있습니다. 링크를 통해 제공되는 파일 다운로드를 시도할 경우 AhnLab V3 365 Clinic 3.0..
벌새::Analysis 2014. 2. 25. 00:40 네이버(Naver) 피싱 사이트 "www.cl-air.com" 접속 주의 (2014.2.25) 국내 포털 사이트 네이버(Naver)의 로그인 웹 페이지와 유사하게 제작된 피싱(Phishing) 사이트 "www.cl-air.com"를 통해 계정 정보(아이디(ID), 비밀번호(Password))를 수집하는 사례가 발견되고 있습니다. 정확하게 어떤 방식으로 해당 사이트에 접속하도록 유도하는 것인지는 확인되지 않고 있지만, 일부 사용자의 경우 정상적인 네이버(Naver) 웹 사이트로 착각하여 로그인을 시도하고 있는 것으로 보입니다. ▷ 네이버(Naver) 계정 정보를 수집하는 스미싱 문자 주의 (2013.10.24) 참고로 네이버(Naver) 공지에서는 스미싱(Smishing) 문자 메시지를 통해 가짜 네이버(Naver) 웹 사이트로 접속을 유도하여 계정 정보를 수집하는 행위에 대해 경고를 한 적이 있었..
벌새::Analysis 2014. 2. 24. 20:29 네이버 지식인 출처 링크를 이용한 국내 애드웨어 유포 사례 (2014.2.24) 국내에서 제작된 애드웨어(Adware) 배포를 목적으로 네이버(Naver) 지식인의 답변 출처 기능을 이용하는 사례가 확인되어 살펴보도록 하겠습니다. 확인된 지식인 답변글을 살펴보면 Windows 정품 인증 관련 파일을 다운로드하도록 답변한 후 "답변 출처" 기능에 네이버(Naver) QR코드 주소(m.site.naver.com/qrcode)를 등록하여 클릭하도록 유도하고 있습니다. ▷ 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2.13) 특히 네이버(Naver) QR코드 주소는 사용자로 하여금 네이버(Naver) 도메인 주소로 표시되어 신뢰감을 준다는 점에서 국내 애드웨어(Adware) 유포에 활용되는 것으로 파악되고 있습니다. 이를 통해 최종적으로 다운로드된 파일은 "Pacif..
벌새::Analysis 2014. 2. 19. 21:01 국내 악성코드 : WMIPPlus 특정 검색 키워드 값을 이용하여 백그라운드 방식으로 인터넷 검색을 통해 특정 웹 페이지로 연결되며, 프로그램 삭제를 지원하지 않는 WMIPPlus 프로그램에 대해 살펴보도록 하겠습니다. ▷ 이니텍(INITECH) 프로그램으로 위장한 IniCert 프로그램 유포 주의 (2012.12.28) 외 6종 ▷ 국내 악성코드 : RealWeb + Search Helper _ nc. soft (2013.10.29) 외 5종 ▷ 국내 악성코드 : WNetPlus (2014.2.14) 해당 프로그램은 예전부터 유사 기능을 가진 다양한 변종을 유포하고 있었으므로 참고하시기 바랍니다. h**p://runty107.pnsweb.net/ls_install.asp?mac=(사용자 Mac Address)&code=A1111 프로그..

티스토리툴바