에드웨어와 함께 설치되는 뱅킹 악성코드

제목 그대로 에드웨어와 함께 뱅킹 악성코드가 생성되는 샘플이다.

테스트 환경

---

Windows XP x86

생성파일

---

다음 경로에 파일을 생성한다. 생성된 파일은 뱅킹 악성코드와 에드웨어이다.

C:\nth

C:\nth\Config.ini

C:\nth\Setup.exe(뱅킹 악성코드)

C:\nth\Wiseman.exe(에드웨어)

Wiseman.exe

---

Wiseman.exe를 실행시, 즐겨찾기에 쇼핑 사이트를 등록하며, 특정 문자나 URL을 입력시 광고창이 생성될 것 으로 추정된다.

즐겨찾기에 쇼핑 사이트를 등록한다.

Setup.exe

---

다음 경로에 파일을 생성한다.

C:\(랜덤폴더명)\Coinfig.ini

C:\(랜덤폴더명)\setting.xml

C:\(랜덤폴더명)\(랜덤파일명).exe

DNS Cache Poisoning 기법을 이용하여 DNS Cache table를 변조한다.

파밍 사이트로 유도한다.

진단

---

Virobot : Trojan.Win32.S.Banker.303312