바이러스

게임 계정 탈취. OnlineGameHack [Cyban] 조치가이드

이번 포스트에서는 최근들어 급증하고 있는 온라인게임핵(Cyban) 의 증상과 조치방법에 대해 살펴보겠습니다. ◆ 증 상 특정 사이트에서 악성코드를 다운로드+드랍하고 아래와 같은 동작들을 수행합니다.  < 캡쳐된 패킷 > 1. 온라인게임사이트 계정정보 탈취 – 악성코드는 인터넷익스플로러에 인젝션되어 아래 그림과 같이 하드코딩된 특정 게임사이트의 목록에서 쿠키값(ID,PW 등)을 노립니다.   < 게임사이트 목록 > …. …. var b=LOGIN.getCookieValue(“CAT”);if(b.length>0){var a=b.split(“+”);if(a.length>1){return a[1];}}return”2″; …. …. < 쿠키값 탈취하는 코드의 일부 > 2. 키보드로깅 – 악성코드는 실행중인 프로세스에 인젝션되어 Key정보를 후킹합니다.   < dll 인젝션 > 3. Autorun 을 이용한 자동실행 + 확산, File 숨기기  – Autorun 취약점을 이용하여 악성코드를 이동디스크매체를 통해 퍼뜨리고, 자신을 은폐하기 위해 레지스트리를 조작합니다. < inf file내용 > < 탐색기-숨김폴더보기 레지스트리 + 부팅실행 레지스트리 > 4. 안티바이러스를 무력화시키는 AV Kill  – 아래 그림과 같이 A.V(안티바이러스) 프로세스들의 이름들이…

컴퓨터 부팅 시 특정 사이트로 자동 연결 되는 경우!

1. 개 요 최근 악성코드로 인해 thenewspedia.com, bizromour.com, mainstories.com, cultarts.com 등의 사이트가 나타나는 현상이 있어 해당 증상에 대한 조치가이드를 작성합니다. 2. 증 상 컴퓨터 부팅 후 아래와 같은 주소의 웹페이지로 연결이 되거나 웹서핑 도중 아래의 사이트로 연결이 되는 현상이 나타납니다. 3. 조치 방법 1) [시작] – [실행] 을 선택하여 실행창에 [regedit] 입력 후 [확인] 버튼을 누릅니다. 2) 레지스트리 편집기가 실행이 되면 아래 경로를 찾아 이동합니다. HKEY_LOCAL_MACHINE                          SOFTWARE                                     Microsoft                                            Windows NT                                                        CurrentVersion                                                                           Winlogon 3) Winlogon 이하에 Taskman 이라는 값을 확인 후 해당 값에 쓰여진 경로를 기억합니다. 대부분 C:RECYCLER 경로 이하의 폴더가 기록되어 있습니다. 그리고 해당 Taskman 값을 선택하여 마우스 오른클릭 후 삭제를 합니다. 4) Ice Sword 툴을 다운로드 합니다. 프로그램은 아래 주소에서 다운로드 하실 수 있습니다….

아이폰(iPhone) 악성코드 경고!

아이폰(iPhone) 악성코드가 나타났다고 합니다… 해당 악성코드에 감염된 아이폰은 배경화면이 아래의 사진처럼 바뀐다고 합니다. 감염 경로는 모든 아이폰이 감염 대상은 아닙니다. 아이폰을 크랙하여 사용하는 기기들에 대해서만 감염이 되는데 이러한 크랙하여 사용하는 아이폰을 탈옥된(Jailbroken) 아이폰이라고 합니다. 이러한 아이폰들은 대부분 SSH 서비스가 활성화 되어 있고 패스워드가 대부분 Default(alpine)로 설정되어 있어 이러한 취약점을 이용하여 감염된다고 합니다. 전파원리는 아래 소스에서처럼 해당 IP 들을 스캔해서 Cydia application을 통해 접속한다고 하네요. 이때 당연히 패스워드를 확인하겠지만 위에 설명한거처럼 Default로 설정해놓고 바꾸지 않았다면 감염이 되겠죠? 즉, 패스워드만 변경해주거나 SSH 서비스를 활성화 하지 않는다면 해당 악성코드로 부터 감염은 예방될 수 있을거 같습니다.

바이러스(Win32/Induc) 수동 제거 방법

V3 제품에서 Win32/Induc 진단명에 대해 수동 제거로 나타난 항목에 대해 제거하는 방법에 대해 소개해 드리겠습니다. 현재 국내에서 배포되는 프로그램 중 많은 프로그램이 Win32/Induc 바이러스에 감염되어 있습니다. 해당 글에서는 이러한 프로그램 리스트를 목록화 하여 제거하는 방법까지 소개를 하도록 하겠습니다. 먼저 V3 제품에서의 진단 로그를 확인합니다. 위의 빨간 박스의 내용의 감염된 파일 경로를 확인합니다. 그리고 아래 목록에서 감염된 파일 경로가 같은 항목을 찾습니다. Win32 Induc 리스트.xlsx 위 프로그램들은 Win32/Induc 바이러스에 감염된 이력이 있었던 프로그램들로 최신 버젼은 대다수 조치가 되었으니 최신버젼으로 설치를 권장 드립니다. 진단된 파일 경로와 같은 경로를 찾으셨다면 우측에 있는 삭제할 파일 또는 프로그램명 – 삭제방법 으로 구성된 내용을 기억하십시오. 그리고 아래 해당되는 삭제방법 대로 따라해주시면 됩니다. 1) ActiveX 로 설치된 경우 1. 내컴퓨터를 실행합니다. 2. C:WINDOWSDownloaded Program Files 경로로 이동합니다. 3….

Win32/Induc 안내 및 조치 가이드

1. 개 요 Win32/Induc 바이러스는 볼랜드사에서 제작한 델파이 프로그램의 일부 버전(Delphi4~7)에서 사용하는 특정 라이브러리(Sysconst)가 감염된 후 컴파일 과정에서 생성되는 EXE, DLL 등에 바이러스 코드를 삽입하는 기법을 사용하는 피라미드형 바이러스 입니다. 현재 국내에서 델파이로 제작된 다양한 프로그램들이 해당 악성코드에 감염된 상태로 배포되고 있으므로 주의가 필요합니다. 2. 분석 정보 2.1 감염방법 Win32/Induc 바이러스는 델파이로 제작된 파일에 악성코드 소스가 삽입된 형태로 동작합니다. 그러나 일반적인 파일 바이러스와 달리 델파이 프로그램만을 대상으로 공격을 시도하고 실행 파일을 감염시키는 행위를 하지는 않습니다. 따라서 개발프로그램이 설치되어있지 않은 사용자들의 경우 감염 증상이 나타나지 않습니다. 감염 방식 또한 일반적인 파일 바이러스와 차이가 있습니다. 일반적인 파일 바이러스는 공격 대상 파일에 직접 악성코드 소스를 삽입하는 형태로 감염을 시키지만 Win32/Induc 바이러스는 델파이 프로그램에서 사용하는 DCU(Delphi Compiled Unit) 중 Sysconst.dcu 파일에 악성코드 소스를 삽입해두고 개발자가…