UPS 운송 메일로 위장한 허위 백신 설치 악성코드

2011년 3월 24일부터 국내로 유입되기 시작한 UPS(United Parcel Service) 운송 메일로 위장한 악성코드가 현재까지도 다양한 변형들이 첨부되어 유포되고 있다.

이 번에 발견된
UPS 운송 메일로 위장한 악성코드는 2009년 6월부터 다양한 변형들이 첨부되어 유포 되었으며 DHL 운송 메일로 위장한 악성코드 변형들 역시 2009년 8월부터 현재까지 다양햔 변형들이 유포되고 있다.

그러므로 ZIP 압축 파일이나 실행 파일 그리고 웹 사이트 링크 등이 포함된 UPS와 DHL 등의 우편 운송 안내 메일을 수신할 경우에는 각별한 주의가 필요하다.

이 번에 유포된 UPS 운송 메일로 위장한 악성코드는 다음과 같은 크게 2가지 메일 형태를 가지고 있다.


* 메일 제목
United Parcel Service notification <5자리 숫자들>

* 메일 본문

Dear customer.
The parcel was sent your home address.
And it will arrive within 3 business day.
More information and the tracking number are attached in document below.
Thank you.
? 1994-2011 United Parcel Service of America, Inc.
* 첨부 파일 (다음 중 하나)
UPS.zip
UPS-tracking.zip

위와 같은 메일에 첨부된 UPS.zip은 압축을 풀면 UPS.exe(18,944 바이트)이 생성되며
UPS-tracking.zip의 압축을 풀면 UPS-tracking.exe(18,432 바이트)이 생성된다.
* 메일 제목 (다음 중 하나)
UPS Package
UPS: Your Package
Your Tracking Number
United Postal Service Tracking Nr.<10자리 숫자들>
* 메일 본문
Good day,
We were not able to deliver parcel you sent on the 19nd March in time
because the recipient’s address is not correct.
Please print out the invoice copy attached and collect the package at our office.
* 첨부 파일
UPS_TRACKING_NR_<10자리 숫자들>.zip
해당 메일 형식에 첨부된
UPS_TRACKING_NR_<10자리 숫자들>.zip의 압축을 풀게 되면 UPS_TRACKING_NR_<10자리 숫자들>___.DOC.exe (546,304 바이트)이 생성된다.
생성된 해당 파일들이 실행되면 감염된 시스템에 존재하는 정상 svchost.exe 파일을 강제로 실행 시킨 후 아래 이미지와 같이 해당 정상 파일의 특정 메모리 영역에 자신의 코드 전체를 삽입 한 후 실행하게 된다.

메모리 영역에 삽입된 코드는 정상 시스템 파일을 이용하여 우크라이나에 위차한 특정 시스템에서 특정 파일들을 다운로드 한 후 실행하게 된다.

다운로드 한 파일은 아래 이미지와 같이 정상 윈도우 보안 센터에 강제적으로 “보안 설정 관리 대상”에 “XP Home Security”를 생성하게 된다.

그리고 아래 이미지와 같이 시스템 전체를 검사 한 후 정상 파일들을 악성코드로 진단하는 허위 진단 결과를 보여주게 된다.

검사가 종료 된 이후에는 이제까지 발견된 다른 허위 백신들과 동일하게 아래 이미지에서와 같이 시스템에서 심각한 악성코드가 발견되었으며 치료를 위해서 등록을 하라는 허위 문구를 보여주게 된다.

진단한 파일들의 치료를 위해 등록 “Register”를 클릭하게 되면 아래 이미지에서와 같이 금전적인 결제를 하여야만 정상적인 사용이 가능하다고 안내 하고 있다.

이 번에 발견된 허위 백신은 이제까지 발견된 다른 허위 백신들과는 달리 정상 윈도우 보안 센터의 “보안 설정 관리 대상”에 허위 백신을 실행하도록 연결시켜 시스템 사용자로 하여금 정상 보안 프로그램으로 오인하도록 설정한 부분이 특이점이라고 할 수 있다.

Categories:악성코드 정보

0 0 vote
Article Rating
guest
0 Comments
Inline Feedbacks
View all comments