V3

Taiwan Earthquake

요즘 세계 이곳저곳에서 지진이 발생하고 있다는 뉴스를 참 많이 접하는 것 같습니다. 거기에 쓰나미까지…  아이티, 칠레에 이어 대만에서도 지진이 발생하여 뉴스에 보도되고 있습니다. 역시나 어김없이 악성코드 제작자들은 이 기회를 놓치지 않고 검색엔진에 악의적인 검색 결과가 상위에 노출되도록 하여 Taiwan Earthquake 로 검색한 사용자가 해당 검색 결과를 클릭하도록 유도를 하고 있습니다. 아래 그림은 Taiwan Earthquake 로 검색한 결과 중 악성코드를 유포하는 사이트로 연결하는 검색 결과입니다. [taiwan earthquake로 검색된 악의적인 검색 결과] 아래 그림은 악성코드를 유포하는 사이트들입니다. 해당 사이트로 연결이 되면 사용자의 컴퓨터를 스캔하는 동작을 위장한 플래쉬화면이 나오게 됩니다. [Fig 1. 악성코드 유포사이트_1] [Fig 3. 악성코드 유포사이트_2] 악성코드 유포 사이트는 사용자의 시스템이 감염되었다는 경고 메세지와 함께 아래 그림처럼 파일을 다운로드 하도록 유도합니다. [Fig 4. 악성코드 다운로드 창] [Fig 5. 다운로드 된 악성코드] 현재…

A new settings file for the [사용자메일주소] has just be released

악성 파일을 첨부한 스팸메일은 2010년에도 여전히 기승을 부리고 있네요. A new settings file for the [사용자메일주소] has just be released 상기 메일 제목으로 악성파일을 첨부하여 배포되고 있습니다. 메일 내 본문 내용은 아래 회색 박스 안과 같은 내용입니다. 참 그럴 듯하게 작성해 놓았네요. 악성코드를 배포할려면 글을 잘 쓸 필요도 있겠습니다 ^^;;; Dear use of the ahnlab.com mailing service! We are informing you that because of the security upgrade of the mailing service your mailbox [사용자 메일 주소] settings were changed. In order to apply the new set of settings open attached file. Best regards, [사용자 메일 서비스 URL] Technical Support.   첨부된 파일은 settings.zip이며 압축을 푼 모습은 왼쪽 그림과 같습니다. 첨부된 파일은 실행 후 아래와 같이 'XP Guardian'이라는 FakeAV를 실행시켜 허위 진단 및…

updated account agreement

“updated account agreement” 메일 제목으로 악성코드를 첨부한 스팸메일이 유포되고 있습니다. 첨부된 파일의 파일명은 agreement.exe이며 해당 스팸메일의 본문은 아래와 같습니다. Dear Facebook user, Due to Facebook policy changes, all Facebook users must submit a new, updated account agreement, regardless of their original account start date. Accounts that do not submit the updated account agreement by the deadline will have restricted. Please unzip the attached file and run “agreement.exe” by double-clicking it. Thanks, The Facebook Team 첨부된 파일을 실행할 경우 아래 그림과 같이 SecurityTool이라는 허위 백신이 실행되게 됩니다. 현재 V3에서 아래와 같이 진단하고 있습니다. agreement.exe   – Win-Trojan/Agent.19968.TB(V3추가) 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에…

인터넷 페이지를 표시할 수 없습니다. :: Internet Security 2010

최근 DHL메일을 가장한 스팸메일이 지속적으로 유포되고 있습니다. 이 스팸메일에는 DHL로 시작하는 악성파일이 첨부되어 있으며 주로 문서파일 아이콘으로 보여 사용자를 속이고 실행시키도록 유도를 합니다. 자세한 내용은 “악성 스팸 경고” 카테고리에 관련 글들이 많으니 참조해 주세요. Internet Security 2010 은 다른 FakeAV와 유사한 동작을 하는데 한가지 특이점이 있어 알려드리겠습니다. < Fig 2. Internet Security 2010 > 생성되는 악성파일 중 C:winodowssystem32helper32.dll 파일을 삭제한 후 레지스트리 값을 수정하지 않았을 경우 아래와 같이 인터넷 페이지 오류가 발생하게 됩니다. < Fig 2. 인터넷 페이지 오류 > Internet Security 2010은 Fig 3.의 정상 레지스트리 값을 Fig 4. 의 레지스트리 값으로 변경하기 때문에 네트워크와 관련된 응용프로그램에서도 오류가 발생하게 됩니다. HKEY_LOCAL_MACHINESYSTEMControlSet001ServicesWinSock2ParametersProtocol_Catalog9Catalog_Entries000000000001 하이브 로드를 하였기 때문에 .reg 파일을 노트패드 등의 에디터로 열어보면 하이브 로드 시 입력하였던 키 이름으로 경로가 설정되어 있는 것을 확인할 수…

게임 계정 탈취. OnlineGameHack [Cyban] 조치가이드

이번 포스트에서는 최근들어 급증하고 있는 온라인게임핵(Cyban) 의 증상과 조치방법에 대해 살펴보겠습니다. ◆ 증 상 특정 사이트에서 악성코드를 다운로드+드랍하고 아래와 같은 동작들을 수행합니다.  < 캡쳐된 패킷 > 1. 온라인게임사이트 계정정보 탈취 – 악성코드는 인터넷익스플로러에 인젝션되어 아래 그림과 같이 하드코딩된 특정 게임사이트의 목록에서 쿠키값(ID,PW 등)을 노립니다.   < 게임사이트 목록 > …. …. var b=LOGIN.getCookieValue(“CAT”);if(b.length>0){var a=b.split(“+”);if(a.length>1){return a[1];}}return”2″; …. …. < 쿠키값 탈취하는 코드의 일부 > 2. 키보드로깅 – 악성코드는 실행중인 프로세스에 인젝션되어 Key정보를 후킹합니다.   < dll 인젝션 > 3. Autorun 을 이용한 자동실행 + 확산, File 숨기기  – Autorun 취약점을 이용하여 악성코드를 이동디스크매체를 통해 퍼뜨리고, 자신을 은폐하기 위해 레지스트리를 조작합니다. < inf file내용 > < 탐색기-숨김폴더보기 레지스트리 + 부팅실행 레지스트리 > 4. 안티바이러스를 무력화시키는 AV Kill  – 아래 그림과 같이 A.V(안티바이러스) 프로세스들의 이름들이…