본문 바로가기

windows 탐색기

벌새::Analysis 2013. 7. 18. 14:36 국내 음란 동영상을 이용한 백도어(Backdoor) 유포 주의 (2013.7.18) 토렌트(Torrent) 공유 방식을 이용한 악성코드 유포 방식으로 가장 대표적인 것이 이전에 소개한 시드(Seed) 파일의 확장자명을 "avi.torrent.exe" 패턴과 같은 형태로 한 경우입니다. ▷ avi.torrent.exe 파일을 이용한 광고 프로그램 유포 주의 (2013.7.16) 이런 방식이 통하는 이유는 Windows 탐색기 기본값에서는 "알려진 파일 형식의 파일 확장명 숨기기" 항목이 체크된 상태이기 때문이며, 이로 인하여 exe, dll 등의 파일 확장자가 표시되지 않습니다.(※ 그러므로 반드시 해당 항목의 체크를 해제하시고 PC를 사용하시기 바랍니다.) 오늘 살펴볼 악성 파일은 토렌트 공유 사이트에 국내 음란 동영상을 받을 수 있도록 홍보하는 게시글을 통해 다운로드된 시드(Seed)..
벌새::Analysis 2013. 7. 14. 22:13 AncillaryAgent.exe 파일을 이용한 인터넷뱅킹 악성코드 유포 주의 (2013.7.14) 2013년 7월 8일~10일경부터 배포가 이루어지고 있는 것으로 보이는 국내에서 제작된 "ancillary (ts)" 검색 도우미 프로그램의 특정 파일이 변조되어 인터넷뱅킹 악성코드를 설치하는 부분을 발견하였습니다. 문제의 "ancillary (ts)" 검색 도우미 프로그램의 설치 파일(MD5 : 20a8e871c190d5e86bb1d1a5d7666be8)은 ASD 클라우드 기준으로 최소 15,000대 이상 설치된 것으로 추정되고 있습니다. h**p://down.ancill***.kr/down/1.0.0.1/ancillary_ts.dll (MD5 : ef92cec5d21a47141316425d4b051350) h**p://down.ancill***.kr/down/1.0.0.1/AncillaryAgent...
벌새::Analysis 2013. 6. 16. 22:34 검색 도우미 : Winsearch - Winsearchcc 웹 브라우저 주소 표시줄 검색시 "열린 주소창 검색(dns3.ktguide.com)"으로 연결이 되며, 인터넷 검색시 추가적인 광고창이 생성되는 검색 도우미 Winsearch 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 0b2db586113b4f37d1b40b62a174ce70)에 대하여 nProtect 보안 제품에서는 Trojan-Downloader/W32.Agent.941960 (VT : 21/47) 진단명으로 진단되고 있습니다. ▶ 검색 도우미 : isearchplus 1.00 (2011.12.30) 외 4종 ▶ 검색 도우미 : Winsearch (2012.12.27) 외 15종 ▷ 검색 도우미 : Gmadsearch 1.00 (2013.3.18) ▷ 국내 악성코드 ..
벌새::Analysis 2013. 6. 3. 19:16 검색 도우미 : SmartSearch 인터넷 검색시 자동으로 광고창이 생성되는 검색 도우미 SmartSearch 프로그램에 대해 살펴보도록 하겠습니다. 해당 프로그램의 설치 파일(MD5 : 3dfb4574c51b8c3908b1072d3107f16d)에 대하여 AhnLab V3 보안 제품에서는 Win-PUP/Helper.SmartSearch.874513 (VT : 27/47) 진단명으로 진단되고 있습니다. ▶ 검색 도우미 : isearchplus 1.00 (2011.12.30) 외 4종 ▶ 검색 도우미 : Winsearch (2012.12.27) 외 15종 ▷ 검색 도우미 : Gmadsearch 1.00 (2013.3.18) ▷ 국내 악성코드 : Winsearch - Winsearchex (2013.3.21) ▷ 검색 도우미 : Winsear..
벌새::Analysis 2013. 3. 28. 13:29 검색 도우미 : INIWebLink 인터넷 검색시 추가적인 광고창을 생성하는 검색 도우미 "INIWebLink" 프로그램(MD5 : c40bf2d513cd8d6bbc1004e12b76f986)에 대해 살펴보도록 하겠습니다. [생성 폴더 / 파일 등록 정보] C:\Documents and Settings\All Users\Application Data\iniweblink C:\Documents and Settings\All Users\Application Data\iniweblink\uninstall.exe :: 프로그램 삭제 파일 C:\Documents and Settings\All Users\Application Data\iniweblink\weblink.exe :: 메모리 상주 프로세스 C:\Documents and Settings\A..
벌새::Analysis 2013. 1. 20. 20:51 LOL Trainer 프로그램을 이용한 시스템 동작 방해 주의 (2013.1.20) 최근 국내에서 제작된 것으로 추정되는 온라인 게임 리그 오브 레전드(LOL : League of Legends)의 특정 트레이너(Trainer) 프로그램을 이용하여 시스템을 사용할 수 없도록 방해하는 악성 프로그램이 확인되었습니다. 문제의 파일은 loltrainersetup.exe 파일(MD5 : a2517c515f3c8cad3dcb7d80e6da4de9)명을 가지고 있으며, Norman 보안 제품에서는 W32/Malware.AGEBE (VirusTotal : 6/46) 진단명으로 진단되고 있습니다.설치 파일을 실행하면 해외에서 제작된 것처럼 구성된 "League of Legends Trainer 1.61" 버전이 설치 단계에 따라 설치가 이루어집니다. [생성 폴더 / 파일 등록 정보] C:\Docume..
벌새::Analysis 2012. 12. 13. 21:31 웹하드 설치 파일을 이용한 온라인 게임 악성코드 유포 주의 (2012.12.13) 최근 모 웹하드에서 제공하는 수동 설치 파일 내부에 악성 파일을 추가하여 웹하드 프로그램 설치 과정에서 사용자 몰래 온라인 게임을 노리는 악성코드를 감염시키는 사례를 확인하였습니다.문제의 웹하드 설치 파일은 2012년 12월 11일 경에 변조된 것으로 추정되며, 설치 과정에서는 필수적으로 설치되는 업로더, 다운로더, Patch 프로그램만 선택하여도 자동으로 감염이 이루어지고 있습니다. [생성 폴더 / 파일 등록 정보] C:\Windows\System32\banana.exe - MD5 : 2e49414c67f832cb5a25815f23708847 - Avira AntiVir : TR/Spy.58880.206 (VirusTotal : 15/46) C:\Windows\System32\banana_setup.e..
벌새::Analysis 2012. 2. 4. 19:22 wshtcpip.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.2.4) 이번 주말을 기점으로 중국발 계정 정보 수집 목적의 악성코드가 wshtcpip.dll 시스템 파일을 패치하는 방식으로 새롭게 변경이 이루어져서 유포가 이루어지고 있는 것이 확인되고 있습니다. ▷ version.dll + safemon.dll 파일을 이용한 계정 정보 수집 악성코드 주의 (2012.1.17) 이는 기존의 version.dll + safemon.dll 유포 방식에서 변화를 준 형태로 이전에 작성한 분석 내용을 함께 참고하시기 바랍니다. 이번에 사용된 "C:\WINDOWS\system32\wshtcpip.dll" 시스템 파일은 "Windows Sockets Helper DLL" 기능을 하며, 보통 외부 네트워크와 연결된 프로세스에 추가되어 동작하는 것으로 판단됩니다. 실제로 감염되지 않은 정상..

티스토리툴바