악성코드와 하율파파

잠시 보이지 않던 뱅킹 악성코드가 다시 나오고 있다. 테스트 환경 Windows XP x86 생성파일 C:\33pql2pq7umlqt7(랜덤폴더명)\v91442d.dll

제목 그대로 에드웨어와 함께 뱅킹 악성코드가 생성되는 샘플이다. 테스트 환경 Windows XP x86 생성파일 다음 경로에 파일을 생성한다. 생성된 파일은 뱅킹 악성코드와 에드웨어이다. C:\nth C:\nth\Config.ini C:\nth\Setup.exe(뱅킹 악성코드) C:\nth\Wiseman.exe(에드웨어) Wiseman.exe Wiseman.exe를 실행시, 즐겨찾기에 쇼핑 사이트를 등록하며, 특정 문자나 URL을 입력시 광고창이 생성될 것 으로 추정된다. 즐겨찾기에 쇼핑 사이트를 등록한다. Setup.exe 다음 경로에 파일을 생성한다. C:\(랜덤폴더명)\Coinfig.ini C:\(랜덤폴더명)\setting.xml C:\(랜덤폴더명)\(랜덤파일명).exe DNS Cache Poiso..

파밍(Pharming) 악성코드 파밍 악성코드는 국내에서 지속적으로 발견되고 있는 악성코드이다.파밍(Pharmin)은 피싱공격의 한 유형으로, 해커가 제작한 가짜 웹 사이트로 사용자를 유도하여 개인정보(금융정보)를 탈취하는 형태이다.이는 사용자가 올바른 주소에 접속하더라도 공격자가 제작한 웹 사이트로 접속하도록 유도 하기때문에 자칫 방심하면 큰 피해를 입을 수 있다.또한 파밍악성코드를 유포하는데 가장 많이 사용되는 형태가 드라이브 바이 다운로드(Drive-by-Download)기법이며, 이 기법은 사용자가 해당 웹 사이트에 접속하면 즉시 감염시킨다. 때문에 사용자가 인지하지 못하는 사이에 악성코드에 감염되기 때문에 인지하지 못한사이에 감염되기 때문에 더욱 주의가 필요하다. 파밍에 사용되는 몇가지 기술을 ..

최근, DLL Planting 기법을 이용한 악성코드가 활발히 유포 되었다.DLL Planting은 DLL Hijacking 이라고도 하며, DLL 로딩 시 DLL 경로가 지정되어 있지 않아 발생하는 취약점이다. DLL 호출 시 파일의 경로가 설정되어 있지 않은경우 우선적으로 레지스트리 KnownDLLs Key를 확인후, 지정되어 있지 않으면 DLL Directory에서 찾는다. 디렉터리 우선순위는 다음과 같다. 1. 응용프로그램이 로드된 디렉터리 2. 시스템 디렉터리 3. 16비트 시스템 디렉터리 4. Windows 디렉터리 5. 현재 작업 디렉터리 6. Path 환경 변수에 등록된 디렉터리 따라서 정상 실행파일과 DLL 파일을 같이 유포시켜 실행파일이 필요 DLL호출시 경로가 설정되어 있지 않다면 D..

DLL Planting 기법을 이용한 파밍 악성코드가 지속적으로 유포중이다. Binary Planting , DLL Hijacking이라고도 한다. DLL의 로드순위를 이용하여 실행파일이 악성 DLL을 실행하게 하는 기법으로, 지금도 계속 유포 중이다. 실행파일이 DLL을 로드할 때 우선순위가 있으며, 레지스트리 Known DLLs Key 를 확인하고 없을경우 디렉토리에서 검색한다. 때문에 같은 디렉토리 내에 정상 DLL과 같은 이름의 DLL이 있으니 검증없이 로드해 버리기 때문에 그대로 악성 DLL이 로드되어 악성파일을 생성하게 된다. 다음 팟플레이어 볼륨 마우스 파이썬 작년에도 v3lite이름으로 뿌려지기도 했으며, 현재 python실행파일을 이용하여 악성코드를 생성한다.계속 변화중으로 지속적인 관심..

http://www.vvant.kr/xxx/dd.exe 에서 파밍 악성코드를 유포중이다. 원트 라는 오피스용품을 판매하는 곳이다. 해당악성코드는 사용자의 금융정보 탈취를 유도하는 뱅킹 악성코드이다. 생성파일 C:\WINDOWS\AppPatch\vspqSgQr(랜덤명) C:\WINDOWS\AppPatch\vspqSgQr(랜덤명)\python27.dll C:\WINDOWS\AppPatch\vspqSgQr(랜덤명)\K9GGX8.exe(랜덤명)

http://www.4-ever.co.kr/xxxx/win.exe 한 성형외과 사이트가 악성코드 유포지로 이용되고 있다. 해당악성코드는 사용자의 금융정보 탈취를 유도하는 뱅킹(파밍) 악성코드이다.유사한 악성코드가 계속 유포중이다.

테스트 환경 Windows XP x86 생성파일 정보C:\WINDOWS\V3liekC:\WINDOWS\V3liek\Fobeka.batC:\WINDOWS\V3liek\Fobeka.exeC:\WINDOWS\V3liek\Fobeka.vbsC:\WINDOWS\V3liek\V3like.vbs 레지스트리 등록정보키 :HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 이름 : syotom 값 : C:\WINDOWS\V3like.exe V3like.vbs는 Fobeka.bat 파일을 실행한다. Fobeka.bat 파일은 방화벽을 해제하는 명령을 내린다. Fobeka.exe는 공인인증서를 탈취한다. 변조된 웹사이트로 유도한다.