악성코드와 하율파파

툴킷을 이용해 만든것으로 예상된다 공인인증서 탈취USB에 NPKI폴더 있는지 확인한다.게임정보 역시 탈취할 것으로 보인다. 백신무력화 변조된 웹사이트 유도

비트코인 마이너 악성코드 'f0xy' 해외 악성코드 중 스텔스 기능을 이용한 비트코인 마이너 악성코드라 한다. 테스트 환경 Windows 7 x64 생성파일 정보C:\Documents and Settings\Administrator\Application Data\Microsoft\svchost.exeC:\Documents and Settings\Administrator\Application Data\Microsoft\Bot_IDC:\Documents and Settings\Administrator\Application Data\Microsoft\minerd.exeC:\Documents and Settings\Administrator\Application Data\Microsoft\zlib1.dllC:\D..

테스트 환경 Windows XP x86 생성파일 정보C:\WINDOWS\V3liekC:\WINDOWS\V3liek\Fobeka.batC:\WINDOWS\V3liek\Fobeka.exeC:\WINDOWS\V3liek\Fobeka.vbsC:\WINDOWS\V3liek\V3like.vbs 레지스트리 등록정보키 :HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 이름 : syotom 값 : C:\WINDOWS\V3like.exe V3like.vbs는 Fobeka.bat 파일을 실행한다. Fobeka.bat 파일은 방화벽을 해제하는 명령을 내린다. Fobeka.exe는 공인인증서를 탈취한다. 변조된 웹사이트로 유도한다.

랜섬웨어의 일종이라 할 수 있는 가짜백신 AVlab Security이 유포중이다. 해당 바이러스는 감염되지도 않은 바이러스에 감염되었다고 하며 치료를 위해 금전을 요구한다.테스트 환경 Windows XP x86 웹 브라우져를 켜면 시스템이 감염되었다며 사용하지 못하도록 한다. 설치되어 있는 모르든 프로그램역시 사용하지 못하도록 한다. 제거 방법C:\Documents and Settings\Administrator\Local Settings\Application Data 하위에 랜덤이름으로 설치한다. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run에 랜덤 이름으로 키를 등록한다. 위 설치경로에서 바로 삭제하려 해도 삭제가 안될것이다.위 레지..

랜섬웨어 Cryptowall3.0이 유포중이다. CryptoWall3.0은 CryptoWall2.0에 이어 나온 랜섬웨어이다.사용자의 파일들을 RSA- 2048로 암호화 하여 사용하지 못하게 하고, 파일들을 인질로 $500를 요구한다.해당 샘플은 모든 사용자 파일을 암호화하지는 못하고 중간에 죽는다. 테스트 환경 Windows XP x86 생성파일 정보C:\(랜덤폴더명)\(랜덤파일명).exeC:\out.png 암호화 된 모든 폴더 내에 다음과 같은 파일을 생성한다.하위 파일들은 암호화한 파일을 인질로 파일 복호화를 위해 해커가 요구하는 내용이 담겨있다.C:\Documents and Settings\Administrator\시작 메뉴\프로그램\시작프로그램\HELP_DECRYPT.LNKC:\Documents..