본문 바로가기

naver

벌새::Analysis 2015. 3. 19. 22:02 싸이월드(Cyworld)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.19) 지속적으로 발견되고 있는 네이버(Naver) 지식iN의 답변글을 통해 다수의 국내 광고 프로그램을 설치하도록 할 목적으로 제작된 파일을 홍보하는 활동이 싸이월드(Cyworld) 서비스를 활용하고 있는 부분을 추가적으로 확인하였습니다. 텀블러(Tumblr)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.18) 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2.13) 이번 홍보에서는 Adobe Flash Player 10 버전 다운로드가 필요하다는 홍보성 질문글을 올린 후 다른 아이디(ID)를 이용하여 답변글을 다는 방식이며, 이를 통해 네이버 QR코드가 포함된 링크(URL)를 통해 다음과 같은 특정 네이버(Naver) 블로그 계정으로 연결이 이루어집니다.연결된 네이버 블로그 게시..
벌새::Analysis 2015. 3. 18. 19:39 텀블러(Tumblr)를 활용한 국내 광고 프로그램 배포 사례 (2015.3.18) 네이버(Naver) 지식iN을 활용한 국내 광고 프로그램 배포 방식은 기존부터 블로그를 통해 소개한 적이 있었습니다. 네이버 지식인 답변글을 이용한 제휴 프로그램 유포 주의 (2013.9.27) 네이버 지식인 출처 링크를 이용한 국내 애드웨어 유포 사례 (2014.2.24) 최근 확인된 지식iN 질문과 답변을 이용하여 특정 파일을 다운로드하도록 하는 과정에서 해외 텀블러(Tumblr) 서비스를 활용하는 부분이 있기에 살펴보도록 하겠습니다. 압축 파일의 비밀번호 분실로 인해 암호 해제 프로그램에 대한 질문글(※ 광고 배포 조직이 질문글을 작성한 것으로 추정)에 대하여 "zip 암호 풀기"라는 링크(URL)가 포함된 답변글을 작성합니다. 네이버 QR코드 주소를 이용한 국내 애드웨어 배포 방식 (2014.2...
벌새::Analysis 2015. 3. 4. 21:18 검색 도우미 : IEsearchtool 인터넷 검색시 백그라운드 방식으로 다음(Daum) 검색을 시도하며 특정 검색 키워드 값에서는 광고창을 생성할 수 있는 IEsearchtool 광고 프로그램에 대해 살펴보도록 하겠습니다. 대표적인 배포 방식은 웹하드의 "컨텐츠 정보 뷰" 제휴 프로그램을 통해 설치가 이루어지고 있는 것으로 확인되고 있습니다. C:\Program Files\(웹하드 이름)\IEsearchtool003.exe (SHA-1 : 62ba6bb808debb35a1c18ee2f27c38281f876ff6) 만약 제휴 프로그램에 대한 체크 해제를 하지 않은 상태로 설치를 진행할 경우 웹하드 프로그램 폴더 내에 설치 파일(IEsearchtool003.exe)을 생성하여 IEsearchtool 광고 프로그램 설치를 진행됩니다. [생성 폴더..
벌새::Analysis 2015. 2. 1. 23:26 정부 기관(go.kr) 웹 사이트를 통한 파밍(Pharming) 악성코드 유포 주의 (2015.2.1) 주말을 이용한 악성코드 유포 행위 중 go.kr 도메인을 사용하는 정부 기관 웹 사이트를 통한 유포가 확인되었으며, 확인된 정부 기관 웹 사이트는 기상청(kma.go.kr), 한국장학재단(kosaf.go.kr)입니다. 이를 통해 2015년 1월 31일경 보안 패치가 제대로 이루어지지 않은 PC 환경으로 해당 웹 사이트를 방문할 경우 취약점(Exploit)을 이용하여 자동 감염이 이루어졌을 것으로 추정됩니다. 실제 유포와 관련된 증거는 구글(Google) 검색을 통해 관련 웹 사이트 방문시 "다음 사이트에 멀웨어가 있습니다." 경고창을 통한 차단이 이루어지고 있는 것으로 알 수 있습니다. 해당 정부 기관(go.kr) 유포시 사용된 호스팅 도메인 주소를 기반으로 추정해보면 2015년 1월 31일 오후 5시경..
벌새::Analysis 2015. 1. 27. 19:21 inst.exe 파밍(Pharming) 악성코드 제거 후 인터넷이 안되는 문제 해결 방법 (2015.1.27) 작년 하반기경부터 유포되는 파밍(Pharming) 악성코드는 호스트 파일은 건드리지 않고 DNS 주소를 조작하여 사용자가 인터넷 접속시 (가짜) 포털 사이트 접속시 금융감독원 팝업창을 생성하여 금융 정보를 수집하는 행위를 수행하고 있습니다. 특히 DNS 주소를 조작하는 악성코드에 감염된 경우 악성 파일을 제거한 후 인터넷이 정상적으로 연결되지 않는 문제로 고생을 하는 경우가 있기에 위와 관련된 정보를 전체적으로 살펴보도록 하겠습니다. 검색 도우미 : ORUM 언인스톨 (2014.7.18) [악성코드 분석 리포트] Spyware.PWS.KRBanker.M (2014.10.27) 관련 이슈는 작년에 블로그를 통해 광고 프로그램 설치로 인해 syotom.exe 악성 파일 감염 방식에 대해 간단하게 소개한 적이..
벌새::Analysis 2014. 12. 22. 14:21 삭제를 제대로 지원하지 않는 "Windows Favorite Collection" 바로가기 아이콘 생성 프로그램 주의 (2014.12.22) Internet Explorer 웹 브라우저의 즐겨찾기, 명령 모음에 다수의 인터넷 쇼핑몰 바로가기 아이콘을 등록하며, 프로그램 삭제 이후에도 정상적으로 제거되지 않고 지속적으로 돈벌이를 수행하는 "Windows Favorite Collection" 광고 프로그램에 대해 살펴보도록 하겠습니다. h**p://219.***.221.**/pgm/ieexplorrs.exe (SHA-1 : 15688b06765185bd5451bd8ee4a41485ad13c9d3) = WindowsFavorites_zhst.exe h**p://219.***.221.**/pgm/iexploref.exe (SHA-1 : dec117e47283a2df0b34037fe9795251e6c4396d) = WindowsFavorites.exe..
벌새::Security 2014. 12. 20. 13:53 보안 설정이 취약한 공유기를 통한 "AhnLab V3 Mobile" 출시 알림창 생성 주의 (2014.12.20) 최근 스마트폰 사용자가 보안 설정을 제대로 하지 않은 유무선 공유기를 이용하여 포털 사이트 접속시 "h**p://36.2.123.254/(영문+숫자)/index.php" 악성 웹 사이트로 연결되어 "AhnLab V3 Mobile" 악성앱을 설치하도록 유도하는 알림창이 생성되는 문제가 발견되고 있습니다. 현재 확인된 공통적인 동작은 안드로이드(Android), 아이폰(iPhone)과 같은 스마트폰 사용자가 DNS 변조가 이루어진 유무선 공유기에서 제공하는 와이파이(Wi-Fi) 환경을 통해 인터넷에 접속을 할 경우 발생하고 있습니다. 특히 접속시 네이버앱 등의 특정 애플리케이션 및 접속 기기를 체크하여 PC 환경에서는 동작이 이루어지지 않으며(※ 최근에는 PC에서도 악성 IP 주소로 연결되거나 웹 사이트 연..
벌새::Security 2014. 11. 15. 22:03 네이버(Naver) 메인 페이지 영역을 차단하는 AhnLab V3 오진 정보 (2014.11.15) AhnLab V3 보안 제품 사용자들로부터 2014년 11월 15일 오전 11시경부터 보고가 이루어지고 있는 네이버(Naver) 메인 페이지에 접속할 경우 "악성 사이트 접근 차단" 경고창이 생성되는 문제에 대해 살펴보도록 하겠습니다. AhnLab V3 보안 제품 사용자가 네이버(Naver) 메인 페이지에 접속하여 랜덤(Random)으로 노출되는 주제별 구독 영역 중 게임의 특정 그림 파일에 대한 URL 주소를 "악성 사이트 접근 차단"하는 경고창을 생성하고 있습니다. 차단이 이루어지고 있는 URL 주소를 상세하게 확인해보면 네이버(Naver) 이미지 서버(img.naver.net)에서 불러온 JPG 그림 파일(185*103)이며, 파일 내부에도 진단이 필요한 수상한 코드는 없는 것으로 확인되고 있습니다..

티스토리툴바