악성코드에서 USB와 같은 이동형 저장 장치를 자신의 복제본을 전파하기 위한 수단으로 사용되기 시작한 것은 이미 오랜전 일로 변해버렸다. 이러한 이동형 저장 장치를 악성코드 전파의 수단으로 사용되는 점은 과거 플로피 디스켓이 DOS 운영체제에 감염되는 바이러스의 전파 수단이 되는 것과 같은 동일한 선상에 있다고 할 수 있다.


이러한 USB와 같은 이동형 저장 장치로 인해 악성코드가 유포되었던 대표적인 사례들은 아래와 같이 정리 할 수 가 있다.


2010년 5월 21일 - 호주 보안 컨퍼런스에서 악성코드에 감염된 USB 배포


2010년 6월 2일 - 독일에 수출된 삼성 바다폰에 감염된 악성코드


2010년 9월 10일 - 해외에서 이메일을 이용해 대량 유포된 Swisyn 웜


이러한 대표적인 사례들 외에도 다수의 악성코드들에서 USB와 같은 이동형 저장 장치를 악성코드 유포의 매개체로 하여 사용되었던 사례들이 존재하며, 현재까지도 이러한 사례들이 적지 않게 발견되고 있다.


2012년 12월 4일 국내 기업 고객을 통해 확인된 DorkBot 변형에서는 기존 이동형 저장장치와는 다른 형태의 Autorun.inf 파일을 생성하는 것이 발견되었다.


이 번에 발견된 DorkBot 변형 제작자는 백신(Anti-Virus) 소프트웨어에서 이동형 저장 장치 루트에 생성되는 Autorun.inf 파일을 탐지하기 위한 다양한 기법들이 포함된 것을 파악하고, 아래 이미지와 같이 실제 Autorun 관련 명령어들 사이에 다수의 쓰레기 데이터를 채워 놓고 있다.




이러한 다수의 쓰레기 데이터를 채움으로써 백신 소프트웨어의 탐지와 함께 분석을 지연시킬 목적으로 사용하는 특징이 존재한다.


이 외에 해당 DorkBot 변형은 공개되지 않은 프라이빗 패커(Private Packer)로 실행 압축 되어 있으며, 이를 풀게 되면 Visual C++로 제작된 코드가 나타나게 된다.


해당 악성코드가 실행이 되면  자신이 실행되는 영역이 다음과 같은 가상화 공간인지 확인 후 가상화 공간일 경우 실행을 중단하게 된다.


Qemu

VMWrare

VirualBox


만약 가상화 공간이 아니라면 감염된 시스템에 존재하는 정상 시스템 프로세스인 explorer.exe의 프라이빗 메모리(Private Memory) 영역에 자신의 코드 전체를 삽입하게 된다. 



그리고 자신의 복사본을 rwrttxx.exe (90,112 바이트) 라는 파일명으로 다음의 경로에 생성하게 된다.


C:\Documents and Settings\[사용자 계정명]\Application Data\rwrttxx.exe


그리고, 감염된 시스템에 USB와 같은 이동형 저장장치가 연결되어 있다면 악성코드 자신의 복사본인 DSCI4930.jpg (90,112 바이트)Autorun.inf (294,819 바이트) 파일을 생성 한 후, 숨김 및 시스템 속성을 부여하여 윈도우 탐색기에서 파일들이 보이지 않게 숨기게 된다.


G:\AdobeReader\DSCI4930.jpg (90,112 바이트)

G:\autorun.inf (294,819 바이트)


만약 이동형 저장장치에 다른 폴더와 파일들이 존재할 경우, 해당 폴더와 파일명의 바로가기 파일(*.ink)을 생성 한 후, 이 역시 숨김 및 시스템 속성을 부여하여 윈도우 탐색기에서 보이지 않게 만들게 된다.


감염된 시스템의 윈도우 레지스트리에 다음의 키 값들을 생성하여, 부팅 시마다 생성한 악성코드가 자동 실행 되도록 구성하게 된다.


HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run

Adobe Reader Speed Launcher = C:\Documents and Settings\[사용자 계정명]\Application Data\rwrttxx.exe


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

Adobe Reader Speed Launcher = C:\Documents and Settings\[사용자 계정명]\Application Data\rwrttxx.exe


그리고 감염된 시스템에서 실행 중인 전체 프로세스 리스트를 검사하여 시스템 모니터링 관련 유틸리티가 실행 중이라면 강제 종료를 수행하게 된다.


해당 악성코드는 감염된 시스템에서 다음의 URL 주소를 가진 C&C 서버로 접속을 수행하게 되나, 분석 당시에는 정상적인 접속이 이루어지지 않았다.


entceqipqujagjzp/ngrs/gate.php


해당 URL 주소를 가진 C&C 서버로 접속이 정상적으로 성공하게 되면, 공격자의 명령에 따라 다음의 악의적인 기능을 수행하게 된다.

시스템 재부팅
파일 다운로드 및 업로드
DDoS 공격(UDP, SYN) 시작 및 중단
운영체제 버전 정보
MSN, Gtalk, eBuddy, Facebook 메신저 프로그램을 이용한 악성코드 전파 시작 및 중단
FileZilla에 설정되어 있는 서버 주소 및 계정 정보 탈취

이외에 다음의 소셜 네트워크(Social Network) 웹 사이트들에 사용자 계정 세션이 활성화 되어 있을 경우, 해당 악성코드를 유포하기 위해 악성코드를 다운로드 가능한 게시물들을 세션이 활성화 된 사용자 계정으로 생성하게 된다.

Bebo.com 
Liknkedin.com
Myspace.com
Twitter.com
Facebook.com

그리고 감염된 시스템의 사용자가 다음 웹 사이트들에 로그인 하게 되는 경우, 사용자 계정명과 로그인 암호를 C&C 서버로 전달 하게 된다.

Webnames.ru, Live.com, Gmail.com, Yahoo.com, Zpag.es, Linkbucks.com, Adf.ly, Twodallarclick.com, Blockbuster.com, Netflix.com, Uploading.com, Fileserver.com, Hotfile.com, Therpiratebay.org, Bangbros.com, Naughtyamerica.com, Brazzers.com, Pornhub.com, Hackforums.net, Wmtransfer.com, Moneybooker.com, Paypal.com

이 번에 발견된 백신 제품의 탐지를 우회하기 위한 Autorun.inf 파일을 생성하는 DorkBot 변형은 V3 제품 군에서 다음과 같이 진단한다.

Win-Trojan/Klibot.90112

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원
2011년 하반기를 기점으로 구글(Google)에서 개발한 안드로이드(Android) 운영체제의 악성코드가 폭발적으로 증가하였다.

이러한 배경에는 여러가지 요소가 있겠지만, 안드로이드 운영체제에 설치되는 APK(Application Package File) 파일이 구글의 안드로이드 마켓을 벗어난 여러 인터넷 웹 사이트들을 통해 유통됨으로 인해 발생하는 문제도 적지 않다고 할 수 있다.

그리고 최근에는 안드로이드 악성코드들이 유명 소셜 네트워크 서비스(Social Network Service)인 트위터(Twitter)로 유포된 사례가 있는 만큼, 안드로이드 악성코드의 유포 방식이 다변화되고 있는 것으로 볼 수 있다.

ASEC에서는 금일 미국에 위치한 특정 시스템에서 아래 이미지와 같이 허위 제작된 안드로이드 마켓이 발견되었다.


해당 허위 안드로이드 마켓에서는 일반 안드로이드 스마트폰 사용자들이 많이 사용하는 앱들을 제공하는 것과 같이 꾸며져 있으나, 실제로는 안드로이드 악성코드들을 유포하고 있었다.

그러므로 안드로이드 스마트폰 사용자들은 앱들을 설치할 때 구글에 운영하는 정식 안드로이드 마켓이나 신뢰 할 수 있는 업체에서 운영하는 안드로이드 마켓에서만 앱들을 다운로드하여 설치 하여야 된다. 그리고 사용하는 안드로이드 스마트폰에 모바일 백신을 설치하고 주기적인 엔진 업데이트 및 검사를 실시하는 것이 중요하다.

해당 허위 안드로이드 마켓에서 유포하는 안드로이등 악성코드들 모두 V3 모바일에서 다음과 같이 진단한다.

Android-Trojan/SmsSend.AJB
저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

스마트폰의 사용이 많아지고 이를 이용한 다양한 네트워크 활동들이 보편화가 됨에 따라 이와 관련한 다양한 형태의 보안 위협들을 계속 발견되고 있다.

이와 관련해 가장 큰 보안 위협 이슈로는 안드로이드(Android) 운영체제에 감염되는 악성코드들을 들 수 있으다.

이 외에 최근 ASEC에서는 아래 이미지와 같이 무작위로 휴대전화 번호를 선택하여 문자 메시지(SMS, Short Message Service)를 발송한 것이 확인 되었다.


해당 문자 메시지는 일반적인 스팸성 문자 메시지와는 다르게 메시지 내부에 단축 URL(URL Shortening)을 포함하고 있어, 스마트폰 사용자라면 쉽게 클릭한번 만으로 특정 웹 사이트로 연결되도록 구성한 특징이 있다.

해당 문자 메시지에 포함된 단축 URL은 테스트 당시 해당 단축 URL로 연결되는 웹 사이트로 정상 접속이 되지 않았다. 하지만 스마트폰에 감염되는 악성코드나 스팸성 웹 사이트 등으로 연결되는 다른 보안 위협들로 연결될 가능성이 존재한다.

특히 이러한 단축 URL을 악용한 보안 위협들의 다양한 사례는 트위터(Twitter)와 같은 소셜 네트워크 서비스(Social Network Service)에서도 존재하고 있다. 

그러므로 트위터로 전달되는 메시지와 함께 스마트폰으로 전달 된 문자 메시지에 포함된 단축 URL의 클릭시에는 각별한 주의가 필요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원
최근 국내 유명 연예인인 A양을 촬영한 것으로 알려진 사생활 동영상이 유포되어 사회적으로 큰 이슈를 일으키고 있다.

이러한 사회적인 큰 이슈를 악용하여 2011년 12월 8일 저녁 국내에서도 많은 사용자가 있는 소셜 네트워크 서비스(Social Network Service)인 트위터(Twitter) 등을 통해 해당 연예인의 사생활 동영상으로 위장한 악성코드가 유포 되었다.


해당 트위터 계정은 비교적 최근에 생성한 것으로 보여지며, 해당 계정의 사용자에 대해 자세한 사항들이 존재하지 않는다. 그리고 다른 일반적인 내용 없이 위 이미지와 같이 유명 연예인의 동영상 파일로 위장한 ZIP 압축 파일을 다운로드하도록만 유도하고 있다.

해당 URL을 복사하여 웹 브라우저에서 다운로드를 시도하게 되면 아래 이미지와 같이 "[삭제] 아나운서 2분50초짜리.zip.zip(6.67MB)" 파일이 다운로드 된다.


다운로드 된 ZIP 압축 파일의 압축을 풀게 되면 아래 이미지와 같이 다수의 JPG 이미지 파일과 SFX로 압축된 EXE 파일이 존재한다.


그리고 텍스트 파일에서는 압축 파일에 같이 포함된 SFX로 압축된 EXE 파일을 실행하여야지만 동영상을 볼 수 있는 것 처럼 실행을 유도하고 있다.


해당 EXE 파일을 실행하게 되면 위 이미지와 같이 압축을 풀 경로를 선택하도록 하고 있으며, 아래 이미지와 같이 실제 성인 동영상 파일과 다수의 이미지 파일들이 해당 폴더에 생성된다.


그러나 해당 파일을 실행한 시스템의 사용자 모르게 netsecurity.exe(143,360 바이트) 파일도 같이 압축이 풀리면서 실행 된다.

netsecurity.exe이 실행되면 윈도우 시스템 폴더(C:\Windows\System32)에 netdrvsrty.exe(114,800 바이트) 파일을 생성하고, 윈도우 레지스트리(Windows Registry)에 다음 키 값을 생성하여 시스템 재부팅 이후에도 자동 실행 되도록 구성한다.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
netsecurityDRV = "C:\WINDOWS\system32\netdrvsrty.exe"



생성된 netdrvsrty.exe는 마이크로소프트 비주얼 C++(Microsoft Visual C++) MFC로 제작 되었으며 해당 파일은 코드 상으로는 감염된 시스템의 IP 주소를 수집하고 감염된 시스템의 인터넷 익스플로러(Internet Explorer) 즐겨찾기 폴더에 웹 페이지 바로가기 파일들을 생성하게 되어 있다. 그러나 테스트 당시에는 코드상으로 존재하는 해당 악의적인 기능들이 정상 동작 하지 않았다.

이러한 일련의 사항들을 살펴 볼 때 이번 유명 연예인의 사생활 동영상으로 위장하여 유포된 악성코드는 제작자의 명령에 따라 즐겨찾기 파일들 조작하는 애드웨어(Adware) 기능을 수행하기 위해 제작된 것으로 볼 수 있다.

해당 유명 연예인의 사생활 동영상으로 위장하여 유포된 악성코드들 모두 V3 제품 군에서 다음과 같이 진단한다.

Downloader/Win32.Korad
Trojan/Win32.Sysckbc
Dropper/Agent.6596635
저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

빈번하게 발견되는 악성코드를 첨부한 악성 스팸 메일은 facebook, twitter 등의 소셜네트워크  뿐만 아니라DHL, UPS, FedEx 등과 같은 택배회사를 위장하여 악성 스팸 메일을 유포하는 사례가 다수 발견되고 있다.

이 번에 FedEx 메일로 위장하여 악성코드를 첨부한 스팸메일이 발견되어 사용자들의 주의가 필요하다.

아래 링크는 블로그를 통해 기존에 FedEx 메일로 위장한 악성 스팸에 대해 포스팅 된 글이다.


참고로, UPS, DHL 등의 메일로 위장한 악성스팸도 다수 발견되고 있으며 블로그에 게시된 글들은 아래와 같다.



이번에 발견된 FedEx를 위장한 악성스팸메일의 자세한 정보는 아래와 같다.

메일 제목
 - FedEx notification #048128258

메일 본문
 - Dear customer!
The parcel was sent your home address! And  it will arrive within  3
business  day!
More  information  and  the traching number are attached in document
below!
Thank you.
Best regards.
2011 FedEx International GmbH. All rights reserved.
첨부된 파일
 - 첨부된 파일은 PDF 파일이 아닌 exe 확장자의 실행파일이다.




첨부된 파일을 실행하게 되면 아래와 같은 "WindowsRecovery" 라는 이름의 FakeAV (허위백신)에 감염되게 되며 사용자의 시스템이 악성코드에 감염되었다는 허위 경고를 계속적으로 노출시켜 사용자의 불안감을 조장시킨 후 결재를 유도한다.


[그림1] 허위백신 WindowsRecovery

현재 V3 제품에서는 아래 진단명으로 해당 악성코드를 진단하고 있다.

FedEx.exe (18,432 bytes)
 - Win-Trojan/Agent.18432.YR


스팸메일을 통해 유포되는 악성코드의 위험으로 부터 예방하기 위해 아래와 같은 사항들을 준수한다.

1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 않는다.
2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용한다.
3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람한다.
4. 메일 본문에 포함된 URL은 가급적 접속을 하지 않는다.










신고
Creative Commons License
Creative Commons License
Posted by 비회원

2011년 페이스북(facebook) 사용자가 10억명을 넘어설 것이라는 예측이 나오는 가운데, 악성코드 제작자가악성코드를 유포를 위해  엄청난 사용자를 확보한 페이스북을 사칭하여 이를 악용하는데 최적의 소재이다.

이미 페이스북을 사칭하여 악성코드를 첨부한 스팸메일이 지속적으로 발견되고 있으며 이는 단연 페이스북 뿐만 아니라 트워터, 마이스페이스 등도 악성코드 제작자에 의해 악성코드 유포에 악용되고 있다.

참고로 블로그를 통해 포스팅하였던 페이스북을 위장하여 악성코드를 첨부한 스팸메일 관련 글은 아래와 같다.



이번에 발견된 페이스북을 위장한 악성 스팸메일의 제목과 본문은 아래와 같다.

메일제목 : Your password is changed

메일본문
Good afternoon
Spam is sent from your FaceBook account.
Your password has been changed for safety.
Information regarding your account and a new password is attached to the letter.
Read this information thoroughly and change the password to complicated one.
Please do not reply to this email, it's automatic mail notification!
Thank you for using our services.
FaceBook Service.
Of course, Halls success led to an immediate recrudescence of the efforts to extract artemisium from the Syx ore, and, equally of course, every such attempt failed.Hall, while keeping his own secret, did all he could to discourage the experiments, but they naturally believed that he must have made the very discovery which was the subject of their dreams, and he could not, without betraying himself, and upsetting the finances of the planet, directly undeceive them. The consequence was that fortunes were wasted in hopeless experimentation, and, with Halls achievement dazzling their eyes, the deluded fortune-seekers kept on in the face of endless disappointments and disaster. And presently there came another tragedy. The Syx mill was blown up! The accident--although many people refused to regard it as an accident, and asserted that the doctor himself, in his chagrin, had applied the match--the explosion, then, occurred about sundown, and its effects w ere awful.


메일제목 : Spam from your Facebook account

메일본문
Good afternoon.
Spam is sent from your FaceBook account.
Your password has been changed for safety.
Information regarding your account and a new password is attached to the letter.
Read this information thoroughly and change the password to complicated one.
Please do not reply to this email, it's automatic mail notification!
Thank you for attention.
Your Facebook!
About the room and in and out of her shop moved Edith, going softly and quietly.A light began to come into her eyes and colour into her cheeks. She did not talk but new and daring thoughts visited her mind and a thrill of reawakened life ran through her body. With gentle insistence she did not let her dreams express themselves in words and almost hoped that she might be able to go on forever thus, having this strong man come into her presence and sit absorbed in his own affairs within the walls of her house. Sometimes she wanted him to talk and wished that she had the power to lead him into the telling of little facts of his life. She wanted to be told of his mother and father, of his boyhood in the Pennsylvania town, of his dreams and his desires but for the most part she was content to wait and only hoped that nothing would happen to bring an end to her waiting.


첨부파일은 이전과 동일하게 아이콘이 word 문서인 것처럼 보이나 실제로 확장명을 보면 word 문서 파일이 아닌 exe 실행파일임을 알 수 있다.

파일명 : Attached_SedurityCode.exe (두 스팸메일에 첨부된 파일명은 동일함.)


[그림1] 첨부된 악성코드


사용자가 악성코드를 실행하게 되면 문서파일인 것처럼 위장하기 위해 워드파일을 드랍 후 파일을 열기 때문에 사용자는 의심을 덜하게 된다.


[그림2] 사용자를 속이기 위해 열려진 워드문서 파일


현재 V3에서는 아래와 같은 진단명으로 진단/치료가 가능하다.

Attached_SecurityCode.exe 
 - Win-Trojan/Fakeav.51712.V (51,712 bytes)
Attached_SecurityCode.exe 
 - Win-Trojan/Agent.33792.AAJ (33,792 bytes)



스팸메일을 통해 유포되는 악성코드의 위험으로 부터 예방하기 위해 아래와 같은 사항들을 준수한다.

1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 않는다.
2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용한다.
3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람한다.
4. 메일 본문에 포함된 URL은 가급적 접속을 하지 않는다.







 

신고
Creative Commons License
Creative Commons License
Posted by 비회원
9월 7일 ASEC 블로그를 통해 전달된 Twitter XSS(Cross-site scripting) 취약점이 아직 완전히 패치되지 않은 것으로 확인되어 사용자의 주의가 필요합니다.

[ fig. Twitter XSS POC ]

현재 in-the-wild 샘플은 발견되지 않았지만, 최초 POC 코드가 공개된 후 얼마 되지 않아 In-the-Wild 샘플이 발견된 점으로 미루어 볼 때, 곧 이 취약점을 악용하는 사례가 나타날 것으로 보입니다.

위 취약점은 아래와 같은 방법으로 임시 예방할 수 있습니다.

-. 축약 URL 은 반드시 full URL 을 확인하고, twitter.com 의 하위 주소가 수상한 url은 가급적 접속하지 않는다.


* 참고자료
http://www.securelist.com/en/blog/2276/Twitter_XSS_in_the_wild
http://blog.ahnlab.com/asec/397


추가 내용
9월 8일 현재는 해당 취약점에 대해 조치가 완료되었습니다.
신고
Creative Commons License
Creative Commons License
Posted by 비회원

1. 서론

 

최근 가장 활발한 활동이 이루어지고 있는 소셜 네트워크서비스(SNS)인 트위터(Twitter)를 통해 다수의 사이트를 전파하는 사례가 발견되고 있습니다. 트위터의 DM기능을 이용하여 자신의 모든 팔로워(follower)들에게 해당 링크로 연결시켜주는 메시지를 발송하게 됩니다. 이와같은 방법이 피싱메시지 전송으로 악용이 된다면 트위터 계정정보  탈취와 같은 문제를 유발할수 있기 때문에 각별한 주의가 요구됩니다.

 

 

2. 링크 유도 방법 및 사례 


1) 링크 유도

 

먼저 DM함에 아래와 같은 메시지를 받게 됩니다.  

 


Hey, I just added you to my Mafia family. You should accept my invitation! :) Click here: http://www.xxxmobsterworld.com/?platform=twitter(주소는 가려놓았습니다.)



해당 주소를 클릭하면 아래 그림과 같은 페이지로 접속을 유도하게 됩니다.



게임 시작을 유도하는 Click to Play Now! 버튼을 누르게 되면 Twitter 계정 로그인이 안되어 있을 시에는 로그인 하는 페이지로 접속하게 됩니다.

 

  

Twitter에 로그인이 되어있다면 해당 사이트를 연동 할 것인지에 대한 페이지가 나타납니다.

 

 

Allow를 누르게 되면 MobsterWorld라는 페이지로 접속하게 됩니다. 이 페이지를 통해 게임을 하게 됩니다.

 

 

하지만 버튼을 누르게 되면 아래 그림과 같이 자신의 팔로워들에게 해당 사이트의 링크주소를 DM으로 전송하게 됩니다.

 

 

 

또한 아래 그림과 같이 자신의 트위터에 트윗하게 됩니다.





 여기까지 보면 해당 사이트는 사용자의 동의없이 DM 전송 및 트윗을 하는것 처럼 보입니다. 하지만 첫페이지를 유심히 보게 되면 아래 그림과 같은 메시지를 확인할 수 있습니다. 메시지의 내용은 자신의 팔로워들에게 초대 메시지를 자동으로 전송하는 것에 대한 내용입니다. 또한 메시지를 자동으로 전송하지 않기 위한 링크도 포함되어있지만 대부분의 사람들은 이 부분을 간과하고 바로 Click to Play Now!를 누르게 됩니다. 그러므로 자신도 모르는사이에 동의가 되어 DM를 전송하게 됩니다.




 우측 상단에 위치한 Settings(잘 보이지 않습니다)을 누르게 되면 Tweet 및 DM 셋팅에 관한 페이지가 나옵니다. 이 페이지에는 default 값으로 위에 설명한 DM 전송 및 트윗에 관한 체크가 되어있는 것을 확인할 수 있습니다.




 

3. Twitter에 연동된 사이트 관련 프로그램 제거 방법

 

트위터 우측 상단의 Settings을 클릭합니다. 그리고 Connections을 클릭하게 되면 연동되어있는 사이트를 볼 수 있습니다. Revoke Access를 클릭하여 연동을 해제합니다. 

 


 

아래 그림은 연동이 해제되어 있는 모습입니다.

  

 

 

4. 주의 사항

 위 사례에서 살펴본 바와 같이 자신도 모르는 사이에 교묘한 방법으로 트위터에서 DM이 전송된 것을 볼 수 있었습니다. 이와 같이 메시지를 통한 링크 유도 방법이 악용될 가능성이 존재합니다. 즉, 피싱 메시지를 통한 악성 사이트 접근을 유도하여 사용자의 개인정보를 탈취하는데 이용될수 있고 자신의 팔로워들에게도 같은 사이트 접속을 유도하는 DM을 보내게 되어 피해가 확산될 우려가 있습니다. 

요즘 많은 사람들이 트위터를 통해 정보를 공유하고 있습니다. 그래서 이러한 사이트도 트위터 DM을 이용하여 자신의 사이트 링크를 유도한 것 입니다. 사용자가 세심한 주의를 기울이지 않는다면 한순간에 많은 사람들이 큰 불편을 겪을 수 있고 유사한 방법으로 피싱 피해를 입을 수도 있습니다. 그러므로 사용자들은 사이트 가입시나 게임에 접속했을 때 작성된 글을 꼼꼼히 읽어보는 습관을 가져야 할 것입니다.
만약 악성페이지로 연동이 되어있다면 자신의 계정 비밀번호 변경과 연동되있는 프로그램을 제거 하는것을 권장드립니다. 또한 트위터를 통해 악성사이트에 대한 경고를 알림으로써 피해의 확산을 방지해 주시기 바랍니다.

이상으로 글을 마치겠습니다^^)/                                                                                          - SukSuny
                                                                                                                                         - dada319

신고
Creative Commons License
Creative Commons License
Posted by 비회원
최근 트위터를 가장한 악성코드를 다운로드 하는 링크가 첨부된 메일이 확인되어 안내 드립니다.

제목 : Twitter 숫자-숫자



위와 같은 내용의 메일이 오며 위 메일 내용에서 빨간 박스안의 내용은 해당 메일을 받는 사용자의 이메일 계정 주소로 나타날 것입니다. 예를들어 victim@gmail.com 이면 빨간 박스 안의 내용은 gmail.com 이 되는 것입니다.

그리고 위 메일 본문에서 http://twitter.com/account/=im@*사용자 이메일 도메인* 주소의 링크를 클릭하면 보기에는 twitter.com 사이트로 접속하는 것으로 보이지만 실제로는 악성코드를 다운로드 하는 URL로 접속을 하게 됩니다.

해당 링크에서 받은 파일은 ZIP 파일이며 압축을 해제하면 아래와 같은 설치파일의 아이콘을 가장한 악성코드가 나타납니다.


최근 트위터 사용자가 급격하게 늘어남에 따라 트위터를 가장한 메일을 통해 악성코드가 유포되고 있으니 항상 아래와 같은 사항을 지켜 악성코드로 부터 안전하게 시스템을 지키시기 바랍니다.

1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다.
2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다.
3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람하시기 바랍니다.
4. 메일 본문에 포함된 URL은 가급적 접속을 하지 마시기 바랍니다.

신고
Creative Commons License
Creative Commons License
Posted by 비회원

많은 분들이 소셜 네트워크를 사용하고 있습니다. 국내에서는 싸*월드, 아이러브*쿨 등 해외에서는 Twitter, FaceBook 등등을 많이 사용하고 있는데 이러한 소셜 네트워크를 이용하여 피싱 뿐만 아니라 악성코드가 많이 배포되고 있어서 이번 글을 포스팅하게 되었습니다.

필자도 가끔식 Twitter에 트위트 메세지를 남기고 있습니다. 자주 들어가지는 않지만 조금 전에 잠시 들어갔다가 자극적인 트위트 메세지를 발견하였습니다. 메세지 내 단축 URL이 있어서 클릭을 해 보았습니다.


<Fig 1. 악성 URL로 연결되는 단축 URL이 존재하는 Twitter의 트위트 메세지>


역시나 공짜로 무언가를 얻는 것이란 참으로 힘든 일인가 봅니다. 단축 URL을 클릭을 해 보니 아래 악성코드 유포 URL로 연결되는 것을 확인하였습니다.

잠깐~~ 참고하세요 !

단축 URL을 사용하게 되는 이유는 Twitter의 메세지는 문자수 길이에 제한이 있습니다. 만약 URL 문자수 길이가 너무 많은 길이를 차지하게 된다면 메세지를 작성하는데 제한을 받게 되기 때문에 단축 URL 서비스 하는 곳에서 단축 URL을 만들어서 사용하게 되는 것이죠 ^^


<Fig 2. 단축 URL 클릭 후 악성코드 유포 페이지로 연결된 화면>


ActiveX Object 에러가 발생하였다는 메세지 경고창과 함께 동영상을 보기 위해 ActiveX를 설치하라고 유도합니다.

<Fig 3. 악성코드 다운로드 유도하기 위한 허위 경고창>


역시나 우리의 기대를 저버리지 않고 다운로드 창을 띄워 파일을 다운로드 하도록 합니다. 다운로드한 파일은(inst.exe) 오른쪽 그림과 같은 파일이며 이제는 우리에게 너무나 익숙한 아이콘의 파일이 다운로드 되었습니다.


<Fig 4. 악성코드 다운로드 유도하기 위한 허위 경고창>


<Fig 5. 다운로드 된 악성파일>


다운로드한 파일을 실행하면 'Security Tool'이라는 FakeAV 악성 파일이 실행되며 허위 진단 후 사용자에게 결제를 유도하는 페이지로 연결하게 됩니다.



<Fig 6. FakeAV 실행된 화면>


<Fig 7. 허위 진단 후 결제페이지로 연결된 화면>


현재 첨부된 악성 파일은 아래와 같은 진단명으로 V3에서 진단 및 치료가 가능합니다.

파일명 : inst.exe 
진단명 : Win-Trojan/Fakeav.1113600.AA



악성코드 유포 사이트는 SiteGuard 엔진에 업데이트 하였으며 아래 그림과 같이 페이지 연결이 차단이 되고 있습니다.




작년 이맘 때면 출근 길에 벚꽃을 볼 수가 있었는데 날씨가 아직 풀리지 않아서인지 벚꽃이 눈에 들어오지 않네요. 벚꽃이 개화하면 여의도로 산책 나오셔요~ ^^







신고
Creative Commons License
Creative Commons License
Posted by 비회원