다양한 이름으로 유포되고 있는 허위백신들이 많이 존재한다.

이러한 허위백신은 사용자의 컴퓨터 사용을 불편하게 하고 있다.

6월에 발견된 허위백신 Live Security Platinum 이 7월에는 어떻게 변경되었는지 살펴보겠다.

 

6월에 발견된 허위백신의 모양은 보통의 보안제품과 유사한 형태를 갖고 있었으며, 7월에 발견된 변종도 유사한 형태를 갖고 있다.

 

[그림1] 6월과 7월에 발견된 Live Security Platium 허위백신

 

이번에 발견된 허위백신은 독일 우편 배송 업체를 위장한 e-mail 을 통해서 유포되었다.

[그림2] 독일 우편 배송 업체를 위장한 e-mail

 

e-mail 본문에는 우편 주소로 전달하는데 실패했고, 첨부된 파일을 확인하라는 내용이다. 첨부된 zip 파일을 압축해제 하면 [그림3]과 같은 pdf 아이콘으로 위장한 파일이 존재한다.

 

[그림3 압축해제 후 파일

 

[그림4] email 에 첨부된 Postetikett_Deutsche_Post_AG_DE 악성 파일 정보

 

해당 파일을 실행하게 되면, 아래와 같은 경로에 파일이 생성되고, 실행된다.

 

[그림5] 생성된 파일 위치

 

파일 생성과 더불어 바탕화면에 아이콘을 생성하고, 프로그램 목록에 자신을 등록한다.

[그림6] 아이콘 / 경고 문구

 

[그림7] 프로그램 목록에 추가된 화면

 

이 후 시스템이 악성코드에 감염된 것 처럼 사용자에게 허위정보를 보여준다.

허위 감염정보는 지난 6월과 동일하며, 지원하는 언어로 보아 6개 국가를 타켓으로 제작된 것으로 추정되나, 국내에도 감염자가 존재한다.

[그림8] 허위백신 화면

 

 

사용자가 치료를 하려고 하면 Activate 를 팝업시킨다.

[그림9] Activate 팝업

 

YES, 를 선택하면 결제를 유도하는 팝업창이 나타난다.

재미있게도 1달 사이에 가격이 많이 상승했다. :D

[그림10] 결제 유도 화면

 

허위백신의 대표적인 특징중에 하나인, 결제를 하지 않으면 주기적으로 Alert 창을 발생시켜 사용자의 컴퓨터 사용을 불편하게 한다.

 

[그림11] Alert 팝업

 

수동조치 방법은 악성 프로세스를 종료하고 생성된 파일을 삭제하면 된다.

다만, 악성코드에 의하여 작업관리자가 실행되지 않으므로, 작업관리자(taskmgr)의 파일명을 explorer 로 변경하여 실행 후, 악성프로세스를 종료/삭제하면 된다.

[그림12] 작업관리자 파일의 위치

 

[그림13] 악성 프로세스 끝내기

 

이러한 허위백신은 스팸메일을 통하여 유포되거나, 파일공유사이트와 같은 안전성이 확인되지 않은 공유 공간에서 유포가 이루어지는 경우가 많다.

 

사용자들은 발신인이 불명확한 메일이나, 안전성이 확인되지 않은 곳에서 파일을 다운로드 받지 않는 습관을 가져야 한다.

 

 

<V3 제품군의 진단명>

Trojan/Win32.FakeAV

신고
Posted by DH, L@@

FedEx Post Office 메일로 위장한 악성 스팸 메일이 유포되고 있으며, 메일에는 악성코드가 포함되어 사용자의 PC 사용을 불편하게 하고 있다.

메일 내용에는 소포를 보관하고 있으며, 찾아가지 않을 경우 비용이 청구될 수 있음을 알리며, 메일의 첨부파일 실행을 유도하고 있다.

 

[그림1] FedEx Post Office 를 위장한 스팸 메일

 

 

스팸 메일에 첨부된 압축 파일을 해제한 파일이다.

 

[그림2] 첨부된 악성 파일

 

압축해제 후 실행하면, 자신의 복제 본을 아래와 같이 생성한다.

 

[그림3] 복제된 파일의 생성위치 / 파일명

 

 

복제 본이 실행되면 트레이 아이콘이 생성되며, PC가 위험함을 경고한다.

 

[그림4] 복제본이 실행되면, 트레이 아이콘

 

 

 

[그림5] 경고 문구

 

 

 

잠시 후 FakeAV 류의 Smart Fortress 2012 화면이 팝업 된다.

 

[그림6] FakeAV 검사 화면

 

경고와 함께 제거를 할 수 있는 버튼이 활성화 된다.

 

[그림7] 검사 종료 후 팝업 화면

제거를 선택하면, activate 를 권한다.

[그림8] Activate 화면

 

Activate 를 하게 되면 결제 화면이 팝업 되며, 악성 스팸 메일의 최종 목적을 드러낸다.

[그림9] 결제 유도 화면

 

 

수동조치방법은 해당 프로세스를 kill 하고, 파일을 삭제하면 된다.

[그림10] FakeAV 수동 조치 화면

 

 

V3 제품에서는 아래와 같이 진단이 가능하다.

Win-Trojan/Fakeav.524288.AX (2012.05.25.04)

 

신고
Posted by DH, L@@

안드로이드(Android) 스마트폰의 사용율이 전 세계적으로 증감하에 따라 이와 관련된 다양한 보안 위협들이 발생하고 있다.


특히 해당 모바일(Mobile) 운영체제에서 동작하는 악성코드들은 2011년 하반기를 기점으로 기하 급수적으로 증가하고 있으며, 제작 목적 역시 금전 획득을 위한 목적으로 제작되는 사례들도 동반 증가하고 있다.


이러한 안드로이드 악성코드들의 유포는 현재까지 대부분이 구글(Google)에서 운영하는 안드로이드 앱스토어(Android Appstore) 또는 방문자가 많은 유명 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포되는 사례가 많았다.


그러나 현재는 허위 앱 스토어를 통해 직접 유포하거나 유명 앱들을 배포하는 웹 사이트로 위장하여 유포하는 방식 등으로 기존 윈도우(Windows) 운영체제 기반의 PC에 감염되는 악성코드들이 유포되는 방식들을 그대로 답습하는 형태로 발전하고 있다.


이러한 안드로이드 악성코드가 금일 기존 윈도우 운영체제 기반의 PC에 감염되었던 허위 백신들과 유사한 형태로 유포되는 사례가 발견되었다.


이러한 허위 백신 형태의 악성코드는 최근 애플 맥(Mac) 운영체제 사용자들이 증가함에 따라 맥 운영체제에서 동작하도록 제작된 사례들도 존재한다.


이 번에 발견된 안드로이드 운영체제에 감염되는 허위 백신들은 아래 이미지와 같이 정상적인 보안 관련  웹 사이트로 위장하고 있다.



해당 허위 보안 웹 사이트에서는 러시아어로 제작되었으며, "SIM 검사", "저장소 검사"와 "시스템 파일 검사" 등의 항목으로 실제 안드로이드 스마트폰의 보안 검사를 수행하는 것으로 위장하고 있다.


각 항목의 검사가 종료되면 아래 이미지와 같이 현재 사용하는 안드로이드 스마트폰에 어떠한 부분이 취약한지를 붉은 색으로 표기하며, 악성코드에 감염되었음의 허위 사실을 알려 사용자로 하여금 VirusScanner.apk 파일을 다운로드하여 설치하도록 유도한다.



해당 웹 사이트를 통해 다운로드 된 VirusScanner.apk를 안드로이드 스마트 폰에 설치하게 될 경우, 다음 이미지와 같이 러시아 보안 업체 캐스퍼스키(Kaspersky)의 보안 제품과 동일한 아이콘이 생성된다.



그리고 설치 과정에서 해당 허위 백신은 아래 이미지와 같은 권한들이 사용 됨을 안드로이드 스마트 폰 사용자들에게 보여주게 된다.




설치된 해당 안드로이드 허위 백신은 정상적인 사용을 위해서는 사용자에게 요금을 지불하도록 요구하여 금전적인 목적으로 제작된 안드로이드 악성코드이다.


이러한 허위 백신 형태의 악성코드는 PC 기반의 윈도우 운영체제와 맥 운영체제 뿐만이 아니라 안드로이드 스마트폰에서 까지 발견되었다는 점에서 향후 이러한 허위 백신 형태의 안드로이드 악성코드가 지속적으로 등장 할 것으로 예측 된다.


이 번에 발견된 허위 백신 형태의 안드로이드 악성코드들은 모두 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/FakeAV

Android-Trojan/FakeAV.B 


안드로이드 스마트폰 사용자들은 안드로이드 앱들을 다운 받아 설치 할 때, 신뢰 할 수 있는 구글 앱 스토어나 통신사에서 운영하는 앱 스토어를 이용하는 주의가 필요하다.


그리고 안드로이드 보안 제품들 역시 신뢰 할 수 있는 전문 보안 업체에서 개발한 안드로이드 보안 앱을 다운로드하여 설치하는 것이 중요하다.


저작자 표시
신고
Posted by 비회원

http://core.ahnlab.com/192
http://core.ahnlab.com/193


위 링크의 글들에서 광고성 html 을 가장하여 유포되고 있는 스팸의 유포형식과 난독화된 스크립트에 대해서 살펴보았습니다.

난독화된 스크립트를 디코딩하여 수집한 game.exe 파일은 실행 시 아래 그림과 같이 'Defense Center'라는 FakeAV 를 설치하게 됩니다.




game.exe 파일에 의해 다수의 악성코드가 설치가 되며 그 중 아래의 경로에 생성되는 폴더 및 파일들이 은폐 및 hooking이 된 상태입니다.

c:\windows\PRAGMA[랜덤한 문자]\

이 경우 아래 링크의 v3alureon_gen_np.exe 전용백신을 다운로드 후 전용백신으로 %systemroot%를 검사하여 은폐 및 hooking을 풀어줍니다.

v3alureon_gen_np.zip

검사가 완료되게 되면 아래 그림처럼 바이러스가 없다고 메세지 창이 뜨게 될 것입니다. 왜냐하면 파일을 진단한 것이 아니라 은폐 및 hooking을 풀어준 것이기 때문입니다.




은폐 및 hooking을 풀어준 후 V3 로 해당 폴더를 진단/치료 시 정상적으로 진단/치료가 가능합니다.

작일 (6월 30일)부터 아래의 메일 제목으로 지속적으로 악성 html 링크가 삽입된 악성 스팸메일이 유포 중이니 주의하시기 바랍니다. 해당 스팸메일로 유포되는 악성코드 및 취약점 Exploit 파일은 곧 V3엔진에 업데이트 될 예정입니다.

[악성 스팸 메일 제목]
[랜덤한 메일 계정] has sent you a birthday ecard.
young limber girl
hello
Welcome to YouTube



<악성 html링크를 삽입한 랜덤한 메일 계정] has sent you a birthday ecard. 제목의 스팸메일>



<악성 html링크를 삽입한 Welcome to YouTube 제목의 스팸메일>





신고
Posted by 비회원

1.
현재 'Antimalware Doctor' 라는 FakeAV(허위백신) 감염사실이 다수 제보된 상태입니다. 같은 증상을 갖고 있는 네티즌들에게 도움이 되고자 'Antimalware Doctor'의 치료법을 안내하는 조치가이드를 작성하여 공유합니다.

2. 감염 증상
허위백신이 동작하면 아래와 같은 화면이 지속적으로 나타납니다.

[그림1. 감염 생성되는 ]

 위협요소를 치료하겠다고 클릭하면, 아래와 같이 Key 활성화되어있지 않다고 안내하며 결제페이지로 유도합니다.

[그림2. Key 활성화 안내창]


트레이에는 그림과 같은 2가지 아이콘이 생성되며, Close 눌러도 종료되지 않습니다.

[그림3. 트레이에 나타나는 아이콘] 

3. 조치 방법
현재 V3 제품에서 해당 허위백신을
Win-Trojan/Fakeav.743424 진단하고 있습니다. 따라서 V3 제품에서 스마트업데이트를 통해 엔진을 최신엔진으로 업데이트 하신 검사 치료를 진행해 보시기 바랍니다.

만일 V3 설치하지 않으셨다면, 아래의 링크를 통해 무료백신 V3lite 설치하여 치료하시기 바랍니다.


V3lite
바로가기 -
www.v3lite.com

수동으로 직접 조치를 원하시면 아래와 같이 진행하여 주십시오.

1. 시작->실행->Taskmgr 입력 후 gotnewupdate005.exe 를 프로그램 종료시킵니다.

2. Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다.
다운로드 :
http://asec001.v3webhard.com/IceSword.zip

3. Ice Sword 에서 [File] 메뉴를 선택을 합니다. 선택 후 아래의 경로의 파일 및 폴더를 찾아 마우스 오른클릭 후 [
Force Delete]를 눌러 파일 및 폴더를 삭제 합니다.

참고 : http://core.ahnlab.com/18

C:\Documents and Settings\my\Application Data\[숫자영문혼합]\gotnewupdate005.exe
C:\Documents and Settings\my\Application Data\[숫자영문혼합]\hookdll.dll
C:\Documents and Settings\my\Application Data\[숫자영문혼합]\enemies-names.txt


4. 시스템을
재부팅 합니다.

※ 현재 gotnewupdate005000.exe 등의 변종파일도 발견되고 있으니, 조치시 참고하시기 바랍니다.
신고
Posted by 비회원

많은 분들이 소셜 네트워크를 사용하고 있습니다. 국내에서는 싸*월드, 아이러브*쿨 등 해외에서는 Twitter, FaceBook 등등을 많이 사용하고 있는데 이러한 소셜 네트워크를 이용하여 피싱 뿐만 아니라 악성코드가 많이 배포되고 있어서 이번 글을 포스팅하게 되었습니다.

필자도 가끔식 Twitter에 트위트 메세지를 남기고 있습니다. 자주 들어가지는 않지만 조금 전에 잠시 들어갔다가 자극적인 트위트 메세지를 발견하였습니다. 메세지 내 단축 URL이 있어서 클릭을 해 보았습니다.


<Fig 1. 악성 URL로 연결되는 단축 URL이 존재하는 Twitter의 트위트 메세지>


역시나 공짜로 무언가를 얻는 것이란 참으로 힘든 일인가 봅니다. 단축 URL을 클릭을 해 보니 아래 악성코드 유포 URL로 연결되는 것을 확인하였습니다.

잠깐~~ 참고하세요 !

단축 URL을 사용하게 되는 이유는 Twitter의 메세지는 문자수 길이에 제한이 있습니다. 만약 URL 문자수 길이가 너무 많은 길이를 차지하게 된다면 메세지를 작성하는데 제한을 받게 되기 때문에 단축 URL 서비스 하는 곳에서 단축 URL을 만들어서 사용하게 되는 것이죠 ^^


<Fig 2. 단축 URL 클릭 후 악성코드 유포 페이지로 연결된 화면>


ActiveX Object 에러가 발생하였다는 메세지 경고창과 함께 동영상을 보기 위해 ActiveX를 설치하라고 유도합니다.

<Fig 3. 악성코드 다운로드 유도하기 위한 허위 경고창>


역시나 우리의 기대를 저버리지 않고 다운로드 창을 띄워 파일을 다운로드 하도록 합니다. 다운로드한 파일은(inst.exe) 오른쪽 그림과 같은 파일이며 이제는 우리에게 너무나 익숙한 아이콘의 파일이 다운로드 되었습니다.


<Fig 4. 악성코드 다운로드 유도하기 위한 허위 경고창>


<Fig 5. 다운로드 된 악성파일>


다운로드한 파일을 실행하면 'Security Tool'이라는 FakeAV 악성 파일이 실행되며 허위 진단 후 사용자에게 결제를 유도하는 페이지로 연결하게 됩니다.



<Fig 6. FakeAV 실행된 화면>


<Fig 7. 허위 진단 후 결제페이지로 연결된 화면>


현재 첨부된 악성 파일은 아래와 같은 진단명으로 V3에서 진단 및 치료가 가능합니다.

파일명 : inst.exe 
진단명 : Win-Trojan/Fakeav.1113600.AA



악성코드 유포 사이트는 SiteGuard 엔진에 업데이트 하였으며 아래 그림과 같이 페이지 연결이 차단이 되고 있습니다.




작년 이맘 때면 출근 길에 벚꽃을 볼 수가 있었는데 날씨가 아직 풀리지 않아서인지 벚꽃이 눈에 들어오지 않네요. 벚꽃이 개화하면 여의도로 산책 나오셔요~ ^^







신고
Posted by 비회원

FakeAV (허위백신 혹은 가짜백신)을 첨부한 악성 스팸메일이 유포되고 있어 사용자 분들의 주의가 요망됩니다. 수신된 악성 스팸메일은 아래 그림과 같이 악성 첨부 파일 'Contract.zip' 을 첨부하고 있으며 첨부된 압축 파일을 다운로드하도록 유도하는 내용이 기재되어 있습니다.


<Fig 1. 악성 스팸메일을 수신한 화면>


첨부된 악성 파일을 다운로드하여 실행하면 아래와 같이 'XP Security' 라는 FakeAV가 실행되게 됩니다.


<Fig 2. FakeAV가 시스템을 허위로 진단하는 화면>



<Fig 3. FakeAV가 허위로 경고창을 팝업한 화면>


첨부된 악성 파일은 V3 엔진에 반영되어 아래와 같은 진단명으로 V3에서 진단 및 치료가 가능합니다.

Contract.exe  Win-Trojan/Fakeav.201216.B
Contract.exe  Win-Trojan/Fakeav.202240.G


항상 아래와 같은 사항을 유의하여 메일을 통해 유포되는 악성코드로 부터 피해를 예방하시기 바랍니다.

1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다.
2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다.
3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람하시기 바랍니다.
4. 메일 본문에 포함된 URL은 가급적 접속을 하지 마시기 바랍니다.



신고
Posted by 비회원

Andre Pitre는 미국 Actor 입니다. 그가 갑자기 검색 키워드 상위에 랭크가 된 이유를 아시나요??

바로 그가 데뷔로 발표한 'Your Name' 이라는 노래 때문이라네요

그의 노래를 감상하실 분들은 아래 링크를 눌러주세요~~^^


Andre Pitre -Your Name


역시나 이 기회를 악성코드 유포자는 놓치지를 않았군요 ^^

아래 Andre Pitre 키워드로 검색한 결과 중 악성코드 유포페이지로 연결되는 검색 결과가 발견되었습니다. 이런 패턴을 너무 많이 봐서 이제는 진부할 법도 하지만 한번 살펴보도록 하겠습니다.



<Fig 1. Andre Pitre 검색 결과 중 악성코드 유포 페이지로 연결되는 검색 결과>


언제나 그랫듯 재활용에 재활용을 거듭하는 플래쉬 이미지와 경고 팝업창을 띄우면서 사용자의 시스템이 악성코드에 감염되었다고 허위로 보고를 하고 있습니다.



<Fig 2. 허위 경고창>



<Fig 3. 허위 경고 플래쉬>


다운로드 되는 파일의 이름은 역시나 재활용의 재활용을 거듭하여 끝에 숫자만 약간 바꿔서 'pcakupdate_build8_195.exe'라고 명명되어 있네요.


<Fig 4. FakeAV 설치 파일 이미지>


해당 파일 역시 FakeAV 설치 파일이며 이 글들을 보고 계신 구독자라면 최근 FakeAV가 SEO poisoning Attack으로 많이 전파되고 있다는 것을 아시겠죠? ^^


FakeAV 설치파일은 아래 진단명으로 V3에서 진단/삭제가 가능합니다. 따라서 V3의 실시간 감시를 켜 두시면 파일을 다운로드하더라도 진단이 되시니 안심하셔도 되겠습니다.

Win-Trojan/Fakeav.320512


SEO Poisoning Attack을 예방하기 위해서는 사이트 가드(Site Guard)와 같은 웹브라우저 보안 제품을 설치하여 사전에 예방할 것을 권해 드립니다.











신고
Posted by 비회원
최근 비행기 티켓과 관련된 스팸메일을 발송하여 허위 백신(Fake AV)을 설치하는 악성코드가 발견되어 알려 드립니다. 메일은 아래와 같은 제목으로 수신이 되게 됩니다.

제목 : Online order for airplane ticket N숫자

내용 : Good afternoon,
Thank you for using our new service "Buy airplane ticket Online" on our website.
Your account has been created:
Your login: 메일주소
Your password: G6vFjbdp
Your credit card has been charged for $998.63.
We would like to remind you that whenever you order tickets on our website you get a discount of 10%!
Attached to this message is the purchase Invoice and the airplane ticket.
To use your ticket, simply print it on a color printed, and you are set to take off for the journey!
Kind regards,
Delta Air Lines

첨부파일로 eTicket.zip 이라는 파일을 포함하고 있습니다. 해당 파일을 실행하면 아래와 같이 허위 백신(Fake AV)가 설치되게 됩니다.

현재 해당 파일은 V3 제품군에서
Win-Trojan/Fakeav.186880.E 진단명으로 진단 및 치료가 가능합니다.





해당 허위 백신(Fake AV)는 설치 시 윈도우의 레지스트리를 수정하여 exe 파일 실행 시 허위 백신 프로그램과 같이 실행되도록 하고 있습니다.

따라서 레지스트리를 수정하지 않고 허위백신 실행 파일만 찾아 수동으로 삭제할 경우 아래와 같이 연결프로그램 창이 나타나며 EXE 파일이 모두 실행이 안되는 증상을 겪으실 수 있으니 사용자분들께서는 수동으로 제거를 하지 말고 V3 제품으로 치료를 하는 것을 권장 드립니다.


신고
Posted by 비회원


요즘 세계 이곳저곳에서 지진이 발생하고 있다는 뉴스를 참 많이 접하는 것 같습니다. 거기에 쓰나미까지... 

아이티, 칠레에 이어 대만에서도 지진이 발생하여 뉴스에 보도되고 있습니다.

역시나 어김없이 악성코드 제작자들은 이 기회를 놓치지 않고 검색엔진에 악의적인 검색 결과가 상위에 노출되도록 하여 Taiwan Earthquake 로 검색한 사용자가 해당 검색 결과를 클릭하도록 유도를 하고 있습니다.

아래 그림은 Taiwan Earthquake 로 검색한 결과 중 악성코드를 유포하는 사이트로 연결하는 검색 결과입니다.



[taiwan earthquake로 검색된 악의적인 검색 결과]


아래 그림은 악성코드를 유포하는 사이트들입니다. 해당 사이트로 연결이 되면 사용자의 컴퓨터를 스캔하는 동작을 위장한 플래쉬화면이 나오게 됩니다.


[Fig 1. 악성코드 유포사이트_1]





[Fig 3. 악성코드 유포사이트_2]


악성코드 유포 사이트는 사용자의 시스템이 감염되었다는 경고 메세지와 함께 아래 그림처럼 파일을 다운로드 하도록 유도합니다.



[Fig 4. 악성코드 다운로드 창]


[Fig 5. 다운로드 된 악성코드]


현재 수집된 악성코드는 V3에 반영되어 아래와 같이 진단이 되고 있습니다.

Win-Trojan/Fakeav.316928.B


SEO Poisoning Attack을 예방하기 위해서는 상기 ASEC 블로그 링크에 나와 있듯이 사이트 가드(Site Guard)와 같은 웹브라우저 보안 제품을 설치하여 사전에 예방할 것을 권해 드립니다.















신고
Posted by 비회원