본문 바로가기

naver

벌새::Analysis 2015. 6. 23. 21:43 마이크로소프트(Microsoft) 파일로 위장한 포털 자동 검색 프로그램 주의 (2015.6.23) 2015년 4월 8일경부터 일본(Japan)에 위치한 웹 서버를 통해 운세보기 프로그램(SHA-1 : b738113af82e0ea6316595d31ce1c5d3b21b0425)으로 설치되어 사용자 몰래 포털 사이트 인터넷 검색을 자동으로 수행하는 악성 광고 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\unse C:\Program Files\unse\desk_icon.ico C:\Program Files\unse\eula.txt C:\Program Files\unse\IFUA99C.inf C:\Program Files\unse\Unse.exe :: 올해운세 프로그램 실행 파일 C:\Windows\IFinst27.exe C:\Windows\svcne..
벌새::Computer & IT 2015. 6. 16. 15:57 포털 사이트 접속을 통신사에서 체크하는 정황 증거? 오늘 PC를 사용하던 중 포털 사이트(네이버(Naver), 다음(Daum), 네이트(Nate), 야후(Yahoo), 구글(Google)) 최초 접속시 "210.113.86.1" IP를 경유하여 접속이 이루어지는 동작을 확인할 수 있었습니다.(※ 포털 사이트만을 체크하는 것도 아닙니다.) 관련 연결 과정을 확인해보면 사용자가 주소 표시줄에 포털 사이트 주소를 입력한 후 연결시 "210.113.86.1" IP 서버를 경유하며, 이 과정에서 통신사 아이디(ID) 정보가 노출되어 사용자가 접속을 원하는 포털 사이트로 던지는 구조입니다. 나쁘게 말하면 포털 접속시 강제적으로 통신사에서 가로채기(HiJacking)를 통해 접속자 정보를 체크한 후 연결을 시켜주는 2중적 구조입니다. Olleh 인터넷 이용약관에 따른..
벌새::Life 2015. 5. 27. 13:20 제4회 바이러스 제로 시즌 2 보안 카페 정모 (2015.5.27) 바이러스 제로 시즌 2 보안 카페의 4번째 정모가 2015년 5월 23일 토요일 오후 2시부터 강남구 테헤란로에 위치한 토즈 선릉점에서 진행되었습니다.개인적으로는 2013년 5월에 있었던 제2회 정기 모임에 참석한 후 작년(2014년)에는 건강 문제로 불참하였다가 올해 다시 참석하게 되었습니다. 이번 정모에서는 사이버안전국, 소프트메일(avast! Korea), 안랩(AhnLab), 율기획, 이스트소프트(ESTsoft), 이에스티씨(ESET), 한국통신인터넷기술(F-Secure Korea), 한국트렌드마이크로(Trend Micro) 관계자 참석 및 후원이 있었으며 네이버(Naver) 관제쪽 분들도 참석하였다고 합니다. 특히 사이버안전국에서 나오신 디지털 포렌식 담당자분의 강의는 재미와 함께 사이버경찰에 ..
벌새::Analysis 2015. 4. 27. 19:16 공인인증서 폴더(NPKI)를 악용하는 incminfo 광고 프로그램 주의 (2015.4.27) 2015년 2월 하순경부터 국내 인터넷 사용자를 대상으로 배포가 이루어지고 있는 광고 프로그램 중 공인인증서 폴더(NPKI)에 자신을 생성하여 사용자의 눈을 속이고 있는 incminfo 광고 프로그램에 대해 살펴보도록 하겠습니다. 해당 광고 프로그램의 서버는 자신의 존재를 숨길 목적으로 2014년 11월 24일경 GoDaddy 해외 도메인 등록 업체에 등록되어 있습니다. 프로그램 설치가 진행되면 "C:\Program Files\NPKI\incminfo_setup.exe" 설치 파일을 생성하여 다음과 같은 프로그램 설치 후 자가 삭제 처리됩니다. [생성 폴더 / 파일 등록 정보] C:\Program Files\NPKI\incminfo C:\Program Files\NPKI\incminfo\cincminfo..
벌새::Security 2015. 4. 14. 14:19 네이버(Naver) 접속시 가짜 "Adobe Flash Player" ActiveX 설치창 생성 주의 (2015.4.14) 최근 공유기 DNS 서버 주소가 외부 해킹을 통해 변경된 환경에서 네이버(Naver) 포털 사이트 접속시 "Adobe Systems Incorporated" 게시자가 배포하는 "Adobe Flash Player" ActiveX 설치창이 생성되는 사례가 확인되었습니다.(※ 정상적인 "Adobe Flash Player" ActiveX 설치창과 동일합니다.) [안내]공유기 DNS 변조에 의한 악성 프로그램 설치에 주의를 부탁드립니다. (2015.4.13) 현재 공개된 정보를 통해 유추해보면 해킹된 공유기를 이용하여 네이버(Naver) 메인 페이지 접속시 "h**p://www.naver.com/adobe/index.html" URL 주소로 연결되어 가짜 "Adobe Flash Player" ActiveX 설치창..
벌새::Analysis 2015. 4. 13. 19:26 국내 유명 파일 자료실 해킹을 통한 인터넷뱅킹 악성코드 유포 (2015.4.13) 2015년 4월 7일 밤부터 국내 유명 파일 자료실이 해킹되어 다운로드되는 프로그램 파일이 모두 악성 파일로 교체되는 일이 있었다는 소식이 있었습니다.
벌새::Analysis 2015. 4. 5. 19:03 포털 접속시 "보안 업데이트 버전 출시" 알림창을 통한 Chrome 악성앱 주의 (2015.4.5) 보안 설정을 제대로 하지 못한 공유기의 DNS 서버 주소를 변경하여 포털 사이트 접속시 보안 업데이트 알림창을 생성하여 안드로이드(Android) 스마트폰을 감염시키는 사례에 대해 2015년 3월 중순경에 소개한 적이 있었습니다. 포털 사이트 접속시 "보안 업데이트 버전 출시" 메시지를 이용한 악성앱 설치 주의 (2015.3.14) 그런데 관련 유포 행위 중 최근에 확인된 공격자 서버 정보를 자세하게 살펴볼 수 있는 기회가 되어 관련 정보를 조금 더 자세하게 알아보도록 하겠습니다. 우선 공격자는 서버를 구축하여 自动免杀器.exe 도구을 이용하여 5종의 APK 악성앱 다운로드 경로와 IP 주소를 세팅할 수 있습니다. 이를 통해 세팅된 웹 서버는 위와 같은 형태로 생성되며, 공유기 DNS 서버가 변조된 사용..
벌새::Analysis 2015. 3. 23. 19:56 "정상.exe + 악성.dll" 파일 구성의 파밍(Pharming) 악성코드 유포 주의 (2015.3.23) 2015년에 들어오면서 국내 인터넷뱅킹을 표적으로 한 파밍(Pharming) 악성코드가 정상적인 프로그램의 실행 파일을 이용하여 악성 라이브러리(.DLL) 파일을 로딩하는 DLL Planting 기법으로 진화를 하였습니다. DLL Planting 기법을 사용하는 파밍 악성코드 (2015.3.4) 안랩, 정상 유틸리티 프로그램을 악용한 파밍 악성코드 주의 당부 (2015.3.20) 이에 따라 보안 업체에서 관련 악성코드에 대한 주의를 당부하고 있으며, 현재는 지속적으로 다양한 정상적인 프로그램을 악용하여 유포가 이루어지고 있습니다. 이 글에서는 Daum PotPlayer 프로그램을 악용하여 파밍(Pharming) 악성코드를 활용하는 방법에 대해 살펴보도록 하겠으며, Daum PotPlayer 프로그램은 2..

티스토리툴바