본문 바로가기

regedit

벌새::Analysis 2012. 2. 4. 19:22 wshtcpip.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.2.4) 이번 주말을 기점으로 중국발 계정 정보 수집 목적의 악성코드가 wshtcpip.dll 시스템 파일을 패치하는 방식으로 새롭게 변경이 이루어져서 유포가 이루어지고 있는 것이 확인되고 있습니다. ▷ version.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.1.17) 이는 기존의 version.dll + safemon.dll 유포 방식에서 변화를 준 형태로 이전에 작성한 분석 내용을 함께 참고하시기 바랍니다. 이번에 사용된 "C:\WINDOWS\system32\wshtcpip.dll" 시스템 파일은 "Windows Sockets Helper DLL" 기능을 하며, 보통 외부 네트워크와 연결된 프로세스에 추가되어 동작하는 것으로 판단됩니다. 실제로 감염되지 않은 정상..
벌새::Analysis 2012. 1. 30. 12:31 검색 도우미 : Choco Supporter 인터넷 검색시 웹 브라우저 좌측에 사이드바 형태의 광고 생성 및 멀티탭 브라우징 방식의 광고창을 생성하는 검색 도우미 Choco Supporter 프로그램에 대해 살펴보도록 하겠습니다. 검색 도우미 : Me2 Supporter (2011.12.4) 국내 악성코드 : City Supporter (2011.12.20) 검색 도우미 : Find Supporter (2011.12.29) 해당 프로그램은 기존의 Me2 Supporter, City Supporter, Find Supporter 검색 도우미 프로그램과 유사성이 강하므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Documents and Settings\(사용자 계정)\Local Settings\Temp\csdownfileinfo.o..
벌새::Analysis 2012. 1. 29. 14:15 국내 악성코드 : OpenPot - Sysmax.exe 국내에서 제작되어 특정 광고 프로그램의 업데이트 과정에서 사용자 몰래 설치되는 것으로 확인되고 있는 "OpenPot - Sysmax.exe" 프로그램에 대해 살펴보도록 하겠습니다. 해당 악성코드는 그림과 같은 파일 형태로 외부 광고 프로그램 등 다양한 경로를 통해 시스템 시작시 사용자 몰래 설치가 다운로드되어 실행되도록 구성되어 있으며, 실행 파일(MD5 : 0940c67af50e5e3e14ecbada45c7f911)에 대하여 AVG 보안 제품에서는 Downloader.Generic12.AVGZ (VirusTotal : 14/43) 진단명으로 진단되고 있습니다. h**p://**date.ijet.co.kr/***/Sysmax.exe (MD5 : 318f27e52f88f44744e7b4e71aa5f627)..
벌새::Analysis 2012. 1. 27. 15:40 MIDI 취약점을 이용한 정보 탈취 악성코드 유포 주의 (2012.1.27) 마이크로소프트(Microsoft)사의 2012년 1월 정기 보안 업데이트에서는 "MS12-004 : Windows Media의 취약점으로 인한 원격 코드 실행 문제점(2636391)"와 관련된 긴급 보안 패치를 배포하였습니다. 마이크로소프트(Microsoft) 2012년 1월 보안 업데이트 (2012.1.11) 해당 보안 패치는 MIDI(Musical Instrument Digital Interface) 파일 포멧의 취약점을 이용하여 원격 코드 실행이 가능한 CVE-2012-0003 취약점에 대한 문제가 해결되었으며, 2012년 1월 20일경부터 해당 취약점을 이용한 정보 탈취 목적의 악성코드 유포가 국내 인터넷 사용자를 표적으로 유포가 이루어지기 시작한 것으로 추정됩니다. [긴급] MIDI 원격 코드 ..
벌새::Analysis 2012. 1. 17. 16:30 version.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.1.17) 최근 국내 웹 사이트 변조를 통해 유포되고 있는 온라인 게임 및 계정 정보 수집을 목적으로 하는 악성코드가 기존에 많이 활용되던 ws2help.dll 시스템 파일 패치 방식에서 version.dll 시스템 파일 패치로 변화가 이루어지기 시작하였습니다. 시스템 폴더 내에 위치하는 version.dll(Version Checking and File Installation Libraries) 파일은 어플리케이션(application)에 의한 윈도우 버전 체크을 위한 API를 포함한 시스템 파일입니다. 해당 version.dll 파일은 다양한 프로세스에 삽입되는 방식으로 시스템 시작시 자동으로 추가되며, 만약 시스템 폴더에 version.dll 파일이 존재하지 않을 경우에는 시스템 부팅 과정에서 블루 스크린(B..
벌새::Analysis 2011. 12. 29. 15:37 [삭제] Window back Manager 국내에서 제작되어 Internet Explorer 웹 브라우저에 인터넷 쇼핑몰 바로가기 아이콘을 등록하는 동작 이외에 삭제를 지원하지 않는 Window back Manager 서비스 항목(MD5 : 5e3fa8da504dbae924a4bb544878c546)을 등록하는 프로그램에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Documents and Settings\(사용자 계정)\Application Data\atshut.exe :: 재부팅 후 자가 삭제 C:\Documents and Settings\(사용자 계정)\Application Data\Favorites C:\Documents and Settings\(사용자 계정)\Application Data\Favorites\bcgr..
벌새::Analysis 2011. 12. 17. 12:25 검색 도우미 : Dual Matching 인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 Dual Matching 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 7388bf934596204fac76481f36617d56)에 대하여 안철수연구소(AhnLab) V3 보안 제품에서는 Trojan/Win32.ADH (VirusTotal : 14/43) 진단명으로 진단되고 있으므로 참고하시기 바랍니다. [생성 폴더 / 파일 등록 정보] C:\Documents and Settings\(사용자 계정)\Application Data\Dual Matching :: 숨김(H) 속성 C:\Documents and Settings\(사용자 계정)\Application Data\Dual Matching\dm_dn.exe :: 시작 ..
벌새::Analysis 2011. 12. 10. 19:50 Oracle JRE 취약점을 이용한 온라인 게임 악성코드 유포 주의 (2011.12.10) 이번 주말을 이용하여 유포가 이루어지고 있는 온라인 게임 및 문화 상품권 계정 탈취 목적의 악성코드 유포 방식이 Oracle JRE(Java Runtime Environment) 취약점(CVE-2011-3544)을 이용하고 있는 부분을 확인하였습니다. 업데이트 : Java SE Runtime Environment(JRE) 6 Update 29 & 7 Update 1 (2011.10.19) Oracle JRE 플러그인 취약점과 관련하여 10월 19일에 최신 보안 패치를 공개하였으며, JRE 6 Update 27 또는 JRE 7 Java SE 이하 버전을 사용하는 사용자의 경우 자동으로 감염될 것으로 추정됩니다. 기존의 경우 Adobe Flash Player 취약점과 Internet Explorer 웹 브라..

티스토리툴바