스팸

메일을 통해 전파되는 악성코드

1. 서론 최근 메일을 통해 전파되는 악성코드가 다수 발견되어 해당 문서를 작성합니다. 2. 전파 경로 해당 악성코드의 전파경로는 메일을 통해 전파가 됩니다. 메일은 아래와 같은 5가지 유형의 메일로 발송되게 되며 모두 정상적인 메일로 위장을 하고 있습니다.유형 1) Facebook 에서 발송한 메일로 위장한 경우 [그림] Facebook 에서 발송한 메일로 위장한 악성코드가 첨부된 스팸메일 유형 2) 구글에서 발송한 메일로 위장한 경우   [그림] Google에서 발송한 메일로 위장한 악성코드가 첨부된 스팸메일 유형 3) 초대 E-Card로 위장한 경우   [그림] 초대 E-Card 로 위장한 악성코드가 첨부된 스팸메일 유형 4) hi5 사이트에서 발송한 메일로 사칭한 경우   [그림] hi5 사이트에서 발송한 메일로 사칭한 악성코드가 첨부된 메일 유형 5) 아마존 사이트에서 발송한 메일로 위장한 경우   [그림] 아마존 사이트에서 발송한 메일로 위장한 악성코드가 첨부된 메일 위 5가지 유형의…

“Hello” 제목의 악성코드를 첨부한 스팸메일 주의!

“Hello”라는 제목으로 악성코드를 첨부한 스팸메일이 유포되고 있어 사용자들의 주의가 당부됩니다. 메일 본문은 간단 명료하게 첨부된 파일을 확인하라는 내용입니다. Facebook 패스워드 변경, DHL 운송 메일 등 사용자를 현혹하기 위해 많은 문구와 이미지를 썼는데 이번에는 1문장으로 끝이네요 ^^;; Please find attached the new Word document. 첨부된 압축파일을 압축해제하면 아래와 같이 doc 문서 파일인 것처럼 위장한 악성코드를 확인하실 수 있으며 V3 제품으로 아래와 같은 진단명으로 진단/치료가 가능합니다. Win-Trojan/Agent.14848.TT [그림1] 스팸메일에 첨부된 악성코드 [그림2] 첨부 파일 실행 시 접속되는 IP의 위치 스팸메일을 통해 전파되는 악성코드 감염으로부터 예방하기 위해 항상 아래와 같은 사항을 준수해 주시기 바랍니다. 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신)…

광고를 가장한 악성코드 다운로드하는 HTML 첨부 스팸메일 주의!

http://core.ahnlab.com/192http://core.ahnlab.com/193http://core.ahnlab.com/196 상기 링크 글들에서 광고성 html을 가장하여 악성코드를 다운로드하는 HTML 첨부 파일 및 HTML 링크를 삽입한 스팸메일 관련하여 포스팅하였습니다. 지속적으로 해당 스팸메일의 변형이 발견되고 있으며 최근에 발견된 스패메일은 아래와 같은 제목으로 유포되고 있습니다. Delivery Status Notification (Delay)Delivery Status Notification (Failure) 해당 스팸메일에 첨부된 파일은 아래와 같은 파일명의 html 파일입니다. Forwarded Message.html 첨부된 html 파일을 실행하면 이전과 동일하게 iframe이 삽입된 URL로 연결이 되게 되며 아래와 같은 난독화된 스크립트를 확인할 수 있습니다. 난독화된 스크립트 디코딩 후 수집한 파일들은 아래와 같이 수집되었으며 분석 후 V3 엔진에 반영될 예정입니다. 추가적으로 악성으로 추정되는 PDF 파일을 수집하여 V3엔진에 반영하도록 하겠습니다.

가짜 차량 세금을 사칭한 E-mail 주의!

가짜 차량 세금으로 위장한 악성 스팸메일이 유입되고 있어 사용자의 주의가 필요합니다. 메일 제목에 car tax, car fee 를 포함한 이메일 주의!  Good day! how you maybe have prepared hear, the Ministry of Transport will Adjustment a tax for your car. Please read attached documentation extensively, in the cease of economize on your finance.   have a nice day! 메일에 첨부된 압축파일을 해제하면 아래 그림과 같은 CAR_DOCUMENTATION.DOC.exe파일이 생성됩니다. 그림과 같이 아이콘을 word문서로 꾸몄지만, 실제는 실행파일(pe파일) 이므로 실행하지 않도록 조심해야 합니다. 만약 실수로 실행시켰다면, 당황하지 마시고 사용하시는 안티바이러스 프로그램을 이용해 검사 및 치료하시기 바랍니다. 백신이 설치되지 않으셨다면, 아래 링크를 통해 V3Lite 를 설치하여 치료하시길 권합니다. 무료백신 V3Lite 설치 V3에서는 위 악성코드에 해당하는 파일을 아래와 같은 진단명으로 진단하고 있습니다.   Win-Trojan/Agent.60416.FV(V3) 아래의 사항들을 준수하여, 자신의 PC를 악성코드로부터 안전하게 보호하시기…

광고성 html을 가장하여 악성코드를 다운로드하는 스팸메일 (3)

http://core.ahnlab.com/192http://core.ahnlab.com/193 위 링크의 글들에서 광고성 html 을 가장하여 유포되고 있는 스팸의 유포형식과 난독화된 스크립트에 대해서 살펴보았습니다. 난독화된 스크립트를 디코딩하여 수집한 game.exe 파일은 실행 시 아래 그림과 같이 'Defense Center'라는 FakeAV 를 설치하게 됩니다. game.exe 파일에 의해 다수의 악성코드가 설치가 되며 그 중 아래의 경로에 생성되는 폴더 및 파일들이 은폐 및 hooking이 된 상태입니다. c:windowsPRAGMA[랜덤한 문자] 이 경우 아래 링크의 v3alureon_gen_np.exe 전용백신을 다운로드 후 전용백신으로 %systemroot%를 검사하여 은폐 및 hooking을 풀어줍니다. v3alureon_gen_np.zip 검사가 완료되게 되면 아래 그림처럼 바이러스가 없다고 메세지 창이 뜨게 될 것입니다. 왜냐하면 파일을 진단한 것이 아니라 은폐 및 hooking을 풀어준 것이기 때문입니다. 은폐 및 hooking을 풀어준 후 V3 로 해당 폴더를 진단/치료 시 정상적으로 진단/치료가 가능합니다. 작일 (6월 30일)부터 아래의 메일 제목으로 지속적으로 악성 html 링크가 삽입된 악성…