본문 바로가기

naver

벌새::Analysis 2012. 3. 29. 12:30 NVIDIA 파일로 위장한 국내 악성코드 유포 주의 (2012.3.29) 최근 국내에서 제작된 것으로 추정되며 그래픽 카드 업체(AMD)용 파일로 위장하여 사용자 몰래 설치되는 악성 파일에 대해 소개를 한 적이 있었습니다. ▷ AMD 파일로 위장한 국내 악성코드 유포 주의 (2012.3.21) 그런데 해당 악성 파일이 NVIDIA 파일로 변경한 변종 파일을 유포하는 것을 추가로 확인하였으며, 최초 유포 방식은 다음과 같습니다. 어떤 경로(광고 프로그램 설치시 몰래 설치되는 파일 추정)를 통해 악성 파일(MD5 : ea1c6bd931ebf020f1ccc5689b25ee40)이 사용자 몰래 설치됩니다. 참고로 해당 파일에 대하여 Hauri ViRobot 보안 제품에서는 Adware.Agent.185393 (VirusTotal : 4/42) 진단명으로 진단되고 있습니다. 이렇게 다..
벌새::Analysis 2012. 3. 21. 11:00 검색 도우미 : WinPro 인터넷 검색시 웹 브라우저 좌측에 사이드바 광고를 생성하는 검색 도우미 WinPro 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 355f169e92aa599c98f5de323f92e5ea)에 대하여 AhnLab V3 보안 제품에서는 PUP/Win32.NBiz (VirusTotal : 4/42) 진단명으로 진단되고 있으므로 참고하시기 바랍니다. GET /dst/WinPro_WP25.exe HTTP/1.0 Host: file.side**.co.kr User-Agent: NSISDL/1.2 (Mozilla) Accept: */* 프로그램이 설치되는 과정에서 추가적으로 WinPro 설치 파일을 다운로드하여 설치가 진행되며, 해당 파일(MD5 : cf99f09d2cbd5d31d23..
벌새::Analysis 2012. 3. 17. 15:34 검색 도우미 : Azabiz Internet Explorer 웹 브라우저의 시작 페이지를 특정 URL를 이용하여 네이버(Naver)로 변경하고 인터넷 검색시 광고창 및 시스템 트레이 알림 아이콘 상단에 팝업창을 생성하는 검색 도우미 Azabiz 프로그램에 대해 살펴보도록 하겠습니다. ▷ 검색 도우미 : NameGcast (2012.1.14) ▷ 검색 도우미 : RGcast (2012.2.1) ▷ 검색 도우미 : Smartopenweb (2012.2.3) 해당 프로그램은 동일한 기능을 하는 이름이 다른 프로그램들이 존재하므로 참고하시기 바랍니다. POST /mac.asp?mac=(사용자 Mac Address) HTTP/1.1 Content-Type: application/x-www-form-urlencoded User-Agent: S..
벌새::Analysis 2012. 3. 15. 22:56 포털 사이트 광고를 통한 광고 프로그램 유포 사례 (2012.3.15) 국내에서 제작된 광고 프로그램은 다양한 배포 경로를 통해 사용자 PC에 설치가 되는데, 최근 포털 사이트 광고에 등록된 공개 자료실 방식으로 운영되는 서비스를 통해 얼마나 많은 광고 프로그램이 사용자를 속이면서 설치가 이루어지는지 살펴보도록 하겠습니다. 오늘의 주인공은 네이버(Naver)에서 운영하는 클릭초이스 광고를 통해 홍보가 이루어지고 있으며, 해당 링크를 클릭할 경우 공개 자료실 형태로 운영되는 웹 사이트의 특정 게시물(※ 이번 경우에는 레지스트리 정리 프로그램과 연관된 국내 유명 시스템 최적화 프로그램 고클린 게시물)로 연결이 이루어지도록 되어 있습니다. 연결된 공개 자료실에서 사용자는 아무런 의심없이 설치 파일(MD5 : 2160abb7b973fe2a47f7ccb632ac458f)을 다운로드하..
벌새::Analysis 2012. 3. 13. 15:35 검색 도우미 : Window FindKey Controller 인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 Window FindKey Controller 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 939b37fcf6fda0414e0782968e73f939)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.FindKey.1317248 (VirusTotal : 1/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\findkey C:\Program Files\findkey\findkey.exe :: 시작 프로그램 등록 파일 / 메모리 상주 프로세스 C:\Program Files\findkey\findkey_uninstall.exe :: ..
벌새::Analysis 2012. 3. 13. 14:30 검색 도우미 : Speed Link 인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 Speed Link 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\SpeedLink C:\Program Files\SpeedLink\SpeedLink.dll :: BHO 등록 파일 C:\Program Files\SpeedLink\SpeedLinkInstaller.exe C:\Program Files\SpeedLink\SpeedLinkUninstaller.exe :: 프로그램 삭제 파일 C:\Program Files\SpeedLink\SpeedLinkUpdater.exe :: 시작 프로그램 등록 파일 해당 프로그램은 Windows 시작시 SpeedLinkUpdater.exe 파일을 시작 프로그램으..
벌새::Analysis 2012. 3. 11. 14:22 제휴(스폰서) 프로그램 : 네오코덱(NeoCodec) - neocodec ver 1.5.3 통합코덱 프로그램으로 설치를 유도하여 추가적인 제휴(스폰서) 프로그램을 설치 유도하는 것으로 추정되는 "네오코덱(NeoCodec) - neocodec ver 1.5.3" 프로그램에 대해 살펴보도록 하겠습니다. ▷ 국내 악성코드 : Win-Adware/TCodecLite.979425 (AhnLab V3) (2010.12.8) ▷ [삭제] G통합코덱(gCodec) (2011.1.27) ▷ [삭제] T-통합코덱(T-Codec) : TCodecLite2 (2011.1.29) ▷ [삭제] S통합코덱(SCodec) : Windows SCodec Lite (2011.2.10) ▷ 제휴(스폰서) 프로그램 : 리얼코덱(RealCodec) - RealCodec Mpeg Filter (2011.12.12) 해당 프로그램은 ..
벌새::Analysis 2012. 3. 9. 12:42 불법 도박 광고창이 생성되는 "Micronames Multi Language Convert Service" 주의 (2012.3.9) 근래들어 네이버(Naver) 지식iN에 등록된 질문 중 인터넷 검색 과정에서 원치 않는 불법 도박 광고 사이트가 노출되어 불편을 호소하는 경우가 있는 것으로 확인되고 있습니다. 일반적으로 광고 프로그램(검색 도우미)의 경우 사용자가 포털 사이트에서 검색을 하는 과정에서 입력한 키워드를 기반으로 추가적인 광고창을 생성하는 프로그램이 다양한 유포 경로를 통해 설치가 이루어지고 있습니다. 하지만 대부분 정상적으로 영업하는 상업적 사이트 광고인데 반하여 극소수 광고 프로그램의 경우에는 성인 사이트 홍보 또는 불법 도박 광고를 하는 경우가 있는 것으로 보입니다. 이번에 확인된 광고 프로그램의 경우 네이버(Naver) 검색시 특정 키워드를 입력시 그림과 같은 스포츠 관련 불법 도박 사이트가 노출되는 동작을 확인할 ..

티스토리툴바