본문 바로가기

ws2helpXP.dll

벌새::Analysis 2012. 8. 18. 22:26 usp10.dll + ws2help.dll 파일을 이용한 온라인 게임 악성코드 유포 주의 (2012.8.18) 2012년 8월 초부터 온라인 게임 악성코드 유포에 usp10.dll 시스템 파일로 위장한 방식을 이용하는 행위가 확인되었으며, 이번 주말에는 대량의 usp10.dll 복제 파일 생성과 중복 감염을 유발하는 방식으로 감염 PC를 유지하려는 사례에 대해 살펴보도록 하겠습니다. 원래 usp10.dll 시스템 파일을 악용한 사례는 기존에도 존재하였던 것으로 알고 있으며, 정상적인 시스템에서는 "C:\WINDOWS\system32\usp10.dll" 파일(Uniscribe Unicode script processor) 위치에 존재합니다. 또한 그 외의 응용 프로그램 폴더(※ MS Office 폴더) 및 윈도우 폴더에 usp10.dll 파일이 존재할 수 있습니다. ▷ lpk.dll, usp10.dll 시스템 파일..
벌새::Analysis 2012. 6. 3. 15:34 톡플레이어(TokPlayer) 설치 파일 변조를 통한 온라인 게임 악성코드 유포 주의 (2012.6.3) 주말마다 해킹된 웹 사이트 변조를 통해 온라인 게임 계정 정보를 탈취할 목적으로 유포가 이루어지는 방식이 최근 정상적인 소프트웨어의 설치 파일을 변조하는 방식으로 배포되고 있는 것이 확인되었습니다. 이번에 확인된 소프트웨어는 톡플레이어(TokPlayer) 홈 페이지에 등록된 동영상 재생 프로그램 설치 파일 중 32비트용 설치 파일을 변조하여 설치시 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일 패치를 통한 악의적인 동작이 이루어집니다.(※ 현재 글 작성 시점에서 여전히 유포가 이루어지고 있으므로 호기심에 파일을 다운로드하여 실행하는 일이 없도록 주의하시기 바랍니다.) 설치 파일을 비교해보면 우측의 정상적인 64비트 톡플레이어(TokPlayer..
벌새::Analysis 2012. 4. 21. 22:52 배틀넷(Battle.net) 계정 정보를 수집하는 온라인 게임 악성코드 유포 주의 (2012.4.21) 이번 주말에 유포되는 온라인 게임 계정 정보를 수집하는 악성코드 유포 중 언론사, 커뮤니티, 블로그에서 많이 이용되는 광고 서버를 통해 유포되는 사례를 확인해 보도록 하겠습니다. ▷ kill.sys, ws2help.dll 파일을 이용한 계정 정보 수집 주의 (2011.11.13) 특히 이번 악성코드는 기존의 kill.sys + ws2help.dll 방식에서 변화가 있으며, 온라인 게임 중 배틀넷(Battle.net) 계정 정보를 수집하는 동작을 확인할 수 있었습니다.(※ 예전부터 WOW(World of WarCraft) 계정 정보 수집 행위는 존재하였으므로 새로운 것은 없습니다. 단지 디아블로 3(Diablo 3) 테스트도 있고 하니.. ) 유포 방식은 Windows, Adobe Flash Player,..
벌새::Analysis 2012. 3. 18. 21:30 ws2help.dll + UpgradeHelper32.exe 악성코드 유포 주의 (2012.3.18) 주말마다 온라인 게임 악성코드 유포처 중 단골 손님 중에 한 곳인 D 커뮤니티 사이트를 통해 유포되는 악성 파일 중 온라인 게임 계정 정보 수집용 이외에 백도어(Backdoor) 기능을 하는 악성 파일을 추가로 감염시키는 사례를 확인하였습니다. 특히 이번 감염시에는 호스트(Host) 파일을 변조시켜 AhnLab V3, 알약(ALYac) 업데이트 서버를 차단하는 기능까지 포함되어 있습니다. 해당 악성코드 감염의 원인은 윈도우(Windows), Adobe Flash Player, Oracle JRE 프로그램이 최신 보안 업데이트가 적용되지 않은 환경에서 유포 웹 사이트에 접속시 자동으로 감염될 수 있습니다. 이를 통해 java6.exe 파일(MD5 : 1906040e4de05cae696336298d98bdc..
벌새::Analysis 2011. 12. 10. 19:50 Oracle JRE 취약점을 이용한 온라인 게임 악성코드 유포 주의 (2011.12.10) 이번 주말을 이용하여 유포가 이루어지고 있는 온라인 게임 및 문화 상품권 계정 탈취 목적의 악성코드 유포 방식이 Oracle JRE(Java Runtime Environment) 취약점(CVE-2011-3544)을 이용하고 있는 부분을 확인하였습니다. 업데이트 : Java SE Runtime Environment(JRE) 6 Update 29 & 7 Update 1 (2011.10.19) Oracle JRE 플러그인 취약점과 관련하여 10월 19일에 최신 보안 패치를 공개하였으며, JRE 6 Update 27 또는 JRE 7 Java SE 이하 버전을 사용하는 사용자의 경우 자동으로 감염될 것으로 추정됩니다. 기존의 경우 Adobe Flash Player 취약점과 Internet Explorer 웹 브라..
벌새::Analysis 2011. 11. 20. 13:46 포털 사이트 메인 광고 배너를 통한 악성코드 유포 주의 (2011.11.20) 2011년 10월 하순경부터 주말을 기점으로 네이버(Naver) 메인 화면에 접속을 할 경우 avast! 보안 제품에서 JS:Iframe-DO [Trj] 진단명으로 악성코드 진단을 한다는 정보가 나오기 시작하였습니다. 어베스트가 계속 특정페이지만 이러한 창이뜹니다 (2011.10.22) 당시 개인적으로 확인하였을 때에는 유포 지점을 정확하게 찾을 수 없었으며, 메인 화면에 포함된 특정 외부 광고 또는 인터넷 쇼핑몰과 관련된 링크를 통해 불규칙적으로 구현되는 증상이 아닌가 의심이 되었습니다. 그러다가 어제(19일) 저녁 네이버 메인 화면에 접속할 경우 Kaspersky 보안 제품에서 HEUR:Trojan.Script.Iframer 진단명으로 또 다시 진단되는 이슈가 발생하여 유포와 관련된 부분을 확인하였습..
벌새::Analysis 2011. 11. 13. 12:25 kill.sys, ws2help.dll 파일을 이용한 계정 정보 수집 주의 (2011.11.13) 최근 중국발 악성코드 유포 과정에서 알약(ALYac) 2.1.0.3 최신 버전이 설치된 환경에서 감염이 발생할 경우, kill.sys 악성 드라이버 파일을 이용하여 국내 보안 제품을 무력화한 후 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일을 패치하는 악성코드 유포 행위가 확인되었습니다. 사용자 입장에서는 악성코드를 유포하는 사이트에 접속할 경우 알약(ALYac), AhnLab V3 보안 제품의 트레이 아이콘과 Internet Explorer 웹 브라우저가 죽는 현상으로 감염 여부를 경험할 수 있습니다. kill.sys 파일을 이용한 "MajorFunction Hook & Kill AntiVirus Process" (2011.11.13)이에 ..
벌새::Analysis 2011. 9. 4. 12:50 ws2help.dll, ws2helpXP.dll 파일을 이용한 온라인 게임 계정 수집 주의 (2011.9.4) 최근 2011 대구 세계 육상 선수권 대회를 개최하면서 스포츠 관련 소식을 보기 위해 방송국 사이트를 방문할 경우 악성코드 유포로 인한 시스템 감염이 발생하는 사례를 확인하였습니다. 파일명 보안 제품 진단명 main.swf Hauri ViRobot SWF.S.Exploit.3855.C c.html Microsoft Exploit:JS/Mult.AB x.html Microsoft Exploit:JS/CVE-2010-0806.gen!A 해당 유포는 기존과 동일한 유포 구조를 가지고 있으며, 감염시 ws2help.dll(Windows Socket 2.0 Helper for Windows NT) 시스템 파일을 패치하여 온라인 게임 계정 정보를 수집하여 외부로 유출하고 있습니다. Microsoft Internet..

티스토리툴바