V3

감염시 광고성스팸메일을 대량발송시키는 악성코드 주의!

오늘 spamer, spambot 등으로 불리는 광고성스팸메일을 뿌리는 악성코드에 상당수의 PC가 감염된 것이 확인되어 관련 내용을 안내해드립니다. 이 악성코드는 아래와 같이 wpv(숫자).exe 파일명으로 퍼져나가고 있습니다. [사용된 파일이름] wpv061278400375.exe wpv791278399429.exe wpv281278399926.exe wpv631278400263.exe wpv621278399510.exe wpv431278399382.exe wpv371278400097.exe wpv511278400048.exe wpv021278399804.exe wpv541278400197.exe wpv091278399986.exe 파일명으로 볼때 Bredolab 의 변종인 것으로 보이네요. 위 악성코드가 실행되면, 아래처럼 explorer.exe 에 ADS형태로 자신을 복사합니다. C:WINDOWSexplorer.exe:userini.exe   또한 Run 레지스트리에 등록하여 부팅시 악성코드가 실행되게 합니다. HKCUSoftwareMicrosoftWindowsCurrentVersionPoliciesExplorerRunuserini                                                                           “C:WINDOWSexplorer.exe:userini.exe”  HKLMSOFTWAREMicrosoftWindowsCurrentVersionRunuserini                                                                                             “C:WINDOWSexplorer.exe:userini.exe” 악성코드가 실행되면 아래화면과 같이 smtp(tcp/25번포트) 로 스팸메일을 발송합니다. 발송되는 메일은 아래와 같습니다. 많이 보던 화면일수도 있겠네요 🙂 메일의 그림을 클릭하면 접속되는 페이지 역시 광고(성인약품)페이지입니다. 프로세스 익스플로러 로 보시면 userini.exe 가 explorer.exe 에 붙어서 동작중인 것을 보실 수 있습니다. [악성코드 삭제방법] V3Lite (www.v3lite.com) 와 같은 백신으로 검사하셔서 치료하시거나(진단명 Win-Trojan/Spambot.숫자) gmer로 간단하게 제거하실 수 있습니다. c:windowsexplorer.exe:userini.exe 를 찾아 Delete 를 누르고 재부팅…

UPS #(숫자) 제목의 악성스팸메일 주의하세요!

금일 UPS invoice(송장) 으로 위장한 악성스팸메일이 또 다시 유입되고 있어 사용자의 주의가 필요합니다. 제목: UPS #2485355621 보낸사람: UPS 본문: Hello, We were not able to deliver postal package you sent on the 29nd June in time because the recipient’s address is not correct. Please print out the invoice copy attached and collect the package at our office. Personal manager: Giovanni Smith, 첨부파일: UPS_INVOICE_06.2010.DOC.zip 제목: UPS #6521056755 보낸사람: UPS 본문: Good morning, We were not able to deliver postal package you sent on the 28nd June in time because the recipient’s address is not correct. Please print out the invoice copy attached and collect the package at our office. Personal manager: Gregory Boswell, 첨부파일: UPS_INVOICE_06.2010.DOC.zip 메일에 첨부된 압축파일을 해제하면 아래 그림과 같은 UPS_INVOICE_06.2010.DOC.exe  파일이 생성됩니다….

광고성 html을 가장하여 악성코드를 다운로드하는 스팸메일 (3)

http://core.ahnlab.com/192http://core.ahnlab.com/193 위 링크의 글들에서 광고성 html 을 가장하여 유포되고 있는 스팸의 유포형식과 난독화된 스크립트에 대해서 살펴보았습니다. 난독화된 스크립트를 디코딩하여 수집한 game.exe 파일은 실행 시 아래 그림과 같이 'Defense Center'라는 FakeAV 를 설치하게 됩니다. game.exe 파일에 의해 다수의 악성코드가 설치가 되며 그 중 아래의 경로에 생성되는 폴더 및 파일들이 은폐 및 hooking이 된 상태입니다. c:windowsPRAGMA[랜덤한 문자] 이 경우 아래 링크의 v3alureon_gen_np.exe 전용백신을 다운로드 후 전용백신으로 %systemroot%를 검사하여 은폐 및 hooking을 풀어줍니다. v3alureon_gen_np.zip 검사가 완료되게 되면 아래 그림처럼 바이러스가 없다고 메세지 창이 뜨게 될 것입니다. 왜냐하면 파일을 진단한 것이 아니라 은폐 및 hooking을 풀어준 것이기 때문입니다. 은폐 및 hooking을 풀어준 후 V3 로 해당 폴더를 진단/치료 시 정상적으로 진단/치료가 가능합니다. 작일 (6월 30일)부터 아래의 메일 제목으로 지속적으로 악성 html 링크가 삽입된 악성…

[악성 스팸경보] “Outlook Setup Notification”, “Thank you for setting the order No.[랜덤한 6자리 숫자]”

악성코드를 첨부한 아래 두 악성스팸메일이 유포되고 있는 것이 확인되어 사용자들의 주의가 당부됩니다. Outlook Setup Notification Thank you for setting the order No.[랜덤한 6자리 숫자] 첨부된 두개의 악성파일은 동일한 악성코드를 설치합니다. Protection Center 라는 FakeAV가 설치가 되며 바탕화면에 성인 사이트로 연결되는 링크 파일들을 생성하게 됩니다. 해당 파일들은 현재 V3 제품에서 아래와 같은 진단명으로 진단하고 있습니다. Win-Trojan/Alureon.36352.B 상기와 같은 의심스러운 메일을 수신하였을 경우 항상 아래와 같은 사항을 준수하여 악성코드 감염을 예방하시기 바랍니다. 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람하시기 바랍니다. 4. 메일 본문에 포함된 URL은 가급적 접속을 하지 마시기 바랍니다.

website.zip 악성코드를 유포시키는 스팸메일 주의!

최근 수집된 악성코드 유포 스팸메일 중, 첨부파일이 마치 해외보안업체의 바이러스 검사를 통과한 안전한 파일인 것처럼 위장하여 전송되는 스팸메일이 발견되어 안내드립니다.  Re: my website ————————————————————————————————–  Please read the document. website.zip: No virus found Powered by the new Norton OnlineScan Get protected: www.symantec.com 위 그림처럼 website.zip 이 바이러스테스트를 통과한 것처럼 메일을 뿌려, 사용자가 안심하고 실행할 수 있게끔 유도하고 있습니다. website.zip 압축파일 내에 존재하는 파일은 악성코드이므로 절대 첨부파일 실행하지 마시고, 메일 확인 즉시 삭제해주시기 바랍니다. 첨부 파일은 현재 V3 에서 Win32/Virut 으로 진단 및 치료 가능합니다. 항상 아래의 사항을 준수하여 악성코드에 감염되지 않게 예방하시기 바랍니다. 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를…