본문 바로가기

악성코드 정보

소셜커머스(Social Commerce) 사이트를 통한 악성코드 유포사례(1) 주말만 되면 국내 사이트들은 해킹되어 최신 취약점들과 함께 악성코드 유포와 사용자들의 PC는 악성코드 감염으로 몸살을 알고 있다. 소셜커머스 사이트에서 악성코드 유포 사례가 발생했었는데 이에 대해서 정리했다. 소셜커머스(Social Commerce) 사이트를 통한 악성코드 유포사례(1) 소셜커머스(Social Commerce) 사이트를 통한 악성코드 유포사례(2) * 참고: 해당 사이트 및 악성코드 유포 주소는 공개할 수 없다. 해당 사이트를 통해서 유포된 악성코드는 V3:2011.06.26.01이상의 엔진 버전에서 아래와 같이 대응하고 있다. Win-Trojan/Agent.90588(V3) Win-Trojan/Agent.33592272(V3) Win-Trojan/Agent.33606100(V3) JS/..
Malicious Software, Friday Night Fever~!! 1. 서론 ⊙ 금요일 퇴근 후 또는 학업을 마치고, PC를 사용하는 인터넷 사용자를 타겟으로 하는 악성코드가 여전히 기승을 부리고 있다. 이러한 악성코드의 감염 원인과, 예방방법을 알아보자. 2. 악성코드 유포 사이트 ⊙ 국내에서 주말마다 반복되는 악성코드 유포 경유지 이번주는 어디일까? 본격적인 어둠이 오기전 먼저 유포를 시작하는 곳 중, 한두 곳만 살펴 보았다. - 악성코드 유포 경유지 : 현재는 조치되어 유포하고 있지 않다. [그림] 악성 스크립트 유포 사이트 - 해당 사이트에 접속하면, 아래와 같은 사이트로 연결되어 악의적인 스크립트가 실행된다. [그림] 악성코드를 감염시키기 위해 다운로드 되는 파일 정보 - 이중 마지막 단계인 main.swf 파일을 살펴보자. 최근, Adobe Flash Pla..
웹 공격(SQL Injection)을 통한 악성코드 유포 최근 Armorize라는 보안업체가 블로그에 공개한 내용에 따르면 다수의 사이트들을 대상으로 웹 공격이 발생하여 해킹된 후 악성코드가 유포되는 사례가 발생했다고 한다. 해당 업체의 블로그에는 이번 사례의 기술적인 내용과 해킹되어 악성코드를 유포했던 일부 사이트들이 공개되었다. • Mass Meshing Injection: sidename.js ongoing: http://blog.armorize.com/2011/06/mass-meshing-injection-sidenamejs.html 위 주소에 언급된 760개의 사이트들에 대해서 국가, 악성코드 유포, 취약점 등 여러 가지를 분석해 보았다. 참고로 위 주소에 공개된 760개의 사이트들을 참고하여 기반으로 분석 및 작성한 것이므로 실제 내용과는 차이가 있..
"내 문서", "바탕화면" 등에 있던 파일들이 모두 사라졌다? 1. 서론 임의의 시스템 계정을 등록 및 활성화 시켜 마치 사용자로 하여금 "내 문서", "바탕 화면" 등에 있던 파일이 사라진 듯한 증상을 보이는 악성 배치 파일이 발견되어 정보 공유 차원에서 작성한다. 2. 감염 시 나타나는 증상 아래 [그림 1]과 같이 악성 배치 파일 (batch file) "Edugate fucker.bat" 파일과 마이크로소프트 (Microsoft)에서 배포하는 "subinacl.exe" 파일이 함께 유포되고 있다. [그림 1] 악성 배치 파일과 정상 subinacl.exe 파일 사용자가 악성 배치 파일을 Edugate fucker.bat 을 실행하게 되면 "edugatefuck" 이라는 계정이 등록되게 되며 "edugatefuck" 계정이 활성화 되게 된다. 또한 "eduga..
시스템 파일을 변조하는 온라인 게임핵 악성코드 변경 1. 서론 최근 윈도우 시스템 파일을 악성으로 변조하는 온라인 게임핵 악성코드가 다수 발견되고 있다. 이러한 악성코드는 대부분 웹사이트를 통해 유포되는데 계속해서 새로운 변종을 만들고 있어 많은 사용자가 감염이 되어 정보공유 차원에서 작성을 한다. 2. 악성코그 감염 경로 해당 악성코드는 웹사이트를 통해 유포되며 유포방법은 총 3가지 취약점을 이용한다. 1) Adobe Flash Player, CVE-2011-0611 위 취약점은 SWF 파일을 이용한 취약점으로 주소 banner숫자.swf, nb.swf 등의 파일명으로 유포가 이루어 진다. 분석을 해보면 아래와 같이 SWF 파일 내부에 쉘코드가 포함된 것을 확인할 수 있다. [그림 1] SWF 파일 분석 화면 해당 쉘코드를 분석하면 아래와 같이 jpg을..
악성코드 유포에 이용된 Adobe Flash Player 취약점 업데이트! 최근 주말에 국내 다수의 사이트에서 윈도우 시스템 파일을 악성으로 변조시키는 악성코드가 유포되었습니다. 유포에 이용된 취약점은 Adobe Flash Player 취약점이며, Adobe 사에서 금일 긴급 보안 업데이트가 이루어 졌습니다. 따라서 아래 사이트를 방문하셔서 업데이트를 꼭! 진행하시기 바랍니다. Adobe Flash Player 업데이트 : http://www.adobe.com/go/getflash 상세정보 : http://www.adobe.com/support/security/bulletins/apsb11-18.html 추가로 현재 시스템에 설치된 Adobe Flash Player 버전을 확인하고자 하신다면 아래 메뉴에서 확인해 보시기 바랍니다. Windows 7 : [제어판] - [시스템 및..
사이트 하나 접속했을 뿐인데, Browser update?! 1. 서론 최근 DHCP 환경에서 DNS Server 의 주소가 확인되지 않은 IP로 변경되어, 인터넷 이용이 불가하다는 일부 문의가 접수되고 있어 주의가 필요하다. 2. 전파 방법 및 감염 경로 - 공유 네트워크로 전파 - 이동식 저장매체를 통한 전파 - 감염된 시스템으로 부터, DNS Server 변조에 의한 전파 3. 악성코드 감염 증상 악성코드 감염시, 아래와 같이 파일이 생성된다. %Temp%\srv(랜덤3자리).tmp %Temp%\srv(랜덤3자리).ini 공유 네트워크내 쓰기 가능한 폴더나 이동식 디스크에는 다음과 같은 형태의 파일이 생성된다. setup(랜덤한 숫자).fon myporno.avi.lnk // MS10-046 취약점 이용 pornmovs.lnk // MS10-046 취약점 이..
스마트폰을 좀비화시키는 DroidKungFu 악성코드 등장. 1. 개 요 안드로이드폰을 강제루팅 후 권한을 탈취하여 좀비화시키는 악성코드가 또 다시 발견되었다. 해당 악성코드는 'DroidKungFu' 라 불리며, 이전 DroidDream 악성코드와 유사한 패턴을 갖고 있지만 좀 더 정교한 코드와 복잡한 기능을 수행함으로서 악성코드가 계속 진화하고 있다는 것을 증명하고 있다. 본 포스트를 통해 악성코드가 어떻게 진화하였는지 알아보자. 2. 분 석 유포 경로 'DroidKungFu' 악성코드는 정상 앱을 리패키징(re-package) 하여 유포되며, 중국 내 몇몇의 App Market 과 forum 들에서 유포되었다. 그림. 악성 어플 정보 수집 해당 악성코드가 설치되면, 먼저 doSearchReport() -> updateInfo() 함수를 통해 스마트폰의 다양한..