본문 바로가기

xor

벌새::Analysis 2016. 7. 14. 19:16 Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 스팸(Spam) 메일 방식을 이용하여 첨부된 JS 스크립트 파일을 실행할 경우 .locky 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 감염 방식은 2016년 3월경부터 지속적으로 확인되고 있었습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 특히 2016년 6월경 일시적으로 활동을 중지하였던 Locky 랜섬웨어는 다운로드되는 악성 파일에 대한 백신 진단 우회를 목적으로 XOR 암호화 방식까지 확인되고 있는 상태였습니다. 그런데 JS 스크립트 실행에 대한 경고가 높아짐에 따라 최근에는 Windows 스크립트 파일(.wsf) 형태로 변경되어 유포되고 있기에 전반적인 흐름을 살펴보도록 하겠습니다. 다양한 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내..
벌새::Analysis 2016. 6. 23. 19:56 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 2016년 3월경부터 스팸(Spam) 메일에 첨부된 JS 스크립트 파일을 이용하여 활발하게 유포가 이루어졌던 Locky 랜섬웨어(Ransomware)는 2016년 5월을 끝으로 일시적으로 활동이 중지되었다는 소식이 있었습니다. It's Quiet...Too Quiet: Necurs Botnet Outage Crimps Dridex and Locky Distribution (2016.6.9) 그런데 한동안 잠잠하던 Locky 랜섬웨어가 Necurs 봇넷을 이용하여 다시 활동을 시작했다는 소식과 함께 실제 국내에서도 다수의 스팸(Spam) 메일을 통해 전파되고 있는 것이 확인되고 있습니다. Necurs Botnet Returns With Updated Locky Ransomware In Tow (2016.6..
벌새::Security 2015. 6. 24. 13:27 업데이트 : Adobe Flash Player 18.0.0.194 Adobe 업체에서 제공하는 웹 브라우저 상에서 Flash 콘텐츠를 재생할 수 있는 Adobe Flash Player 제품의 CVE-2015-3113 제로데이(0-Day) 보안 취약점을 이용한 악성코드 유포에 따라 긴급 보안 패치가 포함된 Adobe Flash Player 18.0.0.194 버전이 업데이트 되었습니다. Security updates available for Adobe Flash Player : APSB15-14 (2015.6.23) Operation Clandestine Wolf - Adobe Flash Zero-Day in APT3 Phishing Campaign (2015.6.23) FireEye 보안 업체를 통해 최초 보고된 해당 이슈는 APT3 (일명 UPS) 중국(China) ..
벌새::Security 2014. 5. 28. 14:43 Microsoft Silverlight 취약점(Exploit)을 이용한 악성코드 유포 주의 (2014.5.28) 국내를 표적으로 한 인터넷뱅킹, 온라인 게임핵, 백도어(Backdoor) 계열의 악성코드 유포 방식으로 활발하게 이루어지고 있는 소프트웨어의 취약점(Exploit)을 Drive-By Download 방식의 예방법에 대하여 소개한 적이 있습니다. 온라인 게임핵(OnlineGameHack) 악성코드 감염 예방법 (1) : Windows Update (2013.3.17) 온라인 게임핵(OnlineGameHack) 악성코드 감염 예방법 (2) : Adobe Flash Player (2013.3.17) 온라인 게임핵(OnlineGameHack) 악성코드 감염 예방법 (3) : Oracle Java (2013.3.17) 취약점(Exploit)을 이용한 악성코드 유포 방식은 사용자가 웹 브라우저를 이용하여 평소 이용..
벌새::Security 2014. 2. 20. 16:51 MS Internet Explorer 제로데이(0-Day) 취약점 : CVE-2014-0322 (2014.2.20) 마이크로소프트(Microsoft) 업체에서 제공하는 Internet Explorer 9, 10 버전의 알려지지 않은 제로데이(0-Day) 보안 취약점(CVE-2014-0322)을 이용하여 악성코드 유포가 이루어지고 있다는 정보가 공개되었습니다. ▷ Microsoft Security Advisory (2934088) : Vulnerability in Internet Explorer Could Allow Remote Code Execution (2014.2.19) ▷ MS Internet Explorer 원격코드 실행 신규 취약점 주의 권고 (2014.2.14) ▷ Operation SnowMan: DeputyDog Actor Compromises US Veterans of Foreign Wars Websi..
벌새::Security 2013. 11. 12. 12:24 Microsoft Internet Explorer 제로데이 취약점 : CVE-2013-3918 (2013.11.12) 마이크로소프트(Microsoft) 업체에서 제공하는 Internet Explorer 웹 브라우저에서 알려지지 않은 제로데이(0-Day) 보안 취약점(CVE-2013-3918)을 이용한 APT 공격이 미국(USA)의 특정 웹 사이트에서 발생하였다는 소식입니다. ▷ New IE Zero-Day Found in Watering Hole Attack (2013.11.8) ▷ Operation Ephemeral Hydra: IE Zero-Day Linked to DeputyDog Uses Diskless Method (2013.11.10) 이번 CVE-2013-3918 제로데이(0-Day) 보안 취약점은 Internet Explorer ActiveX Control 취약점을 이용하여 사용자가 특정 미국 보안(안보)..
벌새::Security 2013. 3. 26. 19:00 안카메라(Ancamera)를 통한 온라인 게임핵 유포 사과문 (2013.3.26) 지난 주말을 이용하여 (주)이비즈네트웍스 업체에서 제공하는 회원 가입을 통해 사용할 수 있는 화면 캡처 프로그램 안카메라(Ancamera) 프로그램의 업데이트 파일 변조를 통한 온라인 게임핵(OnlineGameHack) 악성코드 유포와 관련된 사과문이 게재되었습니다. ▷ [오류] 안카메라 서비스 이용장애 사과문 (치료방법 안내) (2013.3.23) ▷ 안카메라(AnCamera), 변조된 업데이트 파일에서 생성되는 온라인게임 스파이웨어 감염 주의!! (2013.3.25) 2013년 3월 22일 금요일 오후 9시경부터 3월 24일 이후까지 감염을 유발하였을 것으로 추정되는 해당 악성코드로 인하여 온라인 게임, 문화 상품권 등의 계정 정보가 유출되는 사고가 발생하였을 것으로 보입니다. 당시 유포 조건으로는 ..
벌새::Analysis 2013. 3. 6. 23:07 웹하드 회원 가입 유도를 위한 XOR 주소 이용 사례 (2013.3.6) 정확한 기억은 나지 않지만 작년(2012년)경부터 블로그 첨부 파일을 통해 다운로드한 실행 파일을 통해 웹하드 회원 가입 사이트로 납치가 이루어지는 과정에서 암호화된 URL 주소를 이용하는 부분이 있었습니다. 과거에는 단순히 다운로드를 위한 링크를 제시하여 몇 단계를 거쳐 회원 가입 페이지로 연결을 시도하였던 것과는 다르게, 다운로드한 파일을 실행하지 않고서는 어떤 사이트로 연결되는지 알 수 없게 했다는 점이 특징입니다.대표적인 홍보 블로그를 보면 "어렵게 구한 자료들입니다."라는 문구를 포함하여 첨부 파일을 다운로드하도록 유도합니다.다운로드된 RAR 압축 파일 내부에는 실행 파일(.exe), set.ini, 설명서.txt 파일로 구성되어 있으며, 2012년 9월경부터 이용된 것으로 추정됩니다.우선 텍스..

티스토리툴바