본문 바로가기
IT 보안소식

트랙백(Trackback)으로 전파 되는 웹하드 광고 및 악성파일

by 잡다한 처리 2009. 12. 15.
반응형


최근 블로그 사이에 이상한 트랙백들이 돌고 있다.
자신이 블로그를 운영한다면 그 블로그를 보기 위해 접속한 방문자를 위해서라도 꼭 한번 확인해보시기 바란다.
또한 바로 삭제 해 주는 센스는 기본이다!!

- 확인 할 트랙백 제목
"OOO 의 미공개동영상" 이라는 트랙백으로 등록이 된다.
OOO는 제작자가 Search 한 특정한 문구 or 태그 문구로 파악되고 있다.


(그림 1, 실제 등록 되어 있는 트랙백 화면)

그림1)을 살펴보면 중앙대학교와 정경미 라는 문자열로 트랙백이 걸려 있는것을 알 수 있다.
본 블로그에도 "던전앤파이터" 관련으로 트랙백이 걸렸었지만, 이후 삭제가 되어서 다시 걸리고 있지 않다.
역시 유명해야 이런 것도 많이 오는듯 ㅋㅋㅋ(왠지 서글픔 ㅠ_ㅠ)

에흠,,다시 본론으로 들어가서 저 미공개 동영상 링크를 클릭 하면 다음과 같이 리다이렉션된다.
http://4s1q4xi.231qdgd.naver.com.yoonlife.info/movie.php?word=던전앤파이터
http://pox5n72.jlas932.naver.com.yoonlife.info/movie.php?word=중앙대학교
http://b93x9fp.78le4tr.naver.com.yoonlife.info/movie.php?word=정경미
http://8dfcu37.rs30hq5.naver.com.yoonlife.info/movie.php?word=세이클럽
http://d3khb59.wyng487.naver.com.yoonlife.info/movie.php?word=교보문고

리다이렉션 된 후에는 "Vision Power ActiveX" 를 가장 하여 악성 파일들을 설치한다.
http://123.109.93.117:6050/ver/Installer.cab (악성 ActiveX)
http://123.109.93.117:6050/ver/winsoft98.xss (정상 Pc지기 ActiceX)
http://123.109.93.117:6050/ver/movie.gif (사용자에게 보여지는 화면)

(그림2, 사용자에게 보여지는 movie.gif 화면)

(그림3, 정상적인 Active 를 설치 하기 위한 경고창 화면)

(그림4, 정상적으로 Active 설치 화면)

Active 설치가 완료 되면 악성파일은 "C:\Program Files\Internet Explorer\Temp" 다음 위치에 생성된다.
이중 악성 파일은 Update.exe, expIorer.dll, explorer.dll 총 3개의 파일이다.
사용자가 헷갈리게 동일한 이름이지만, "L" 과 "I"의 차이가 있으며, dll의 확장자만 사용 된 exe 파일이다.
(그림 5, Active로 설치 되어 C:\Program Files\Internet Explorer\Temp에 생성 된 파일 화면)

파일 설치가 완료 되면, 사용자에게 웹하드 광고 팝업창을 보여준다.
- 웹하드 광고 팝업창의 주소는 다음 php를 참조 할 수도 있다.
http://www.beagler.co.kr/bbs/keyword.php
http://123.109.93.117:6050/bbs/keyword.php

- Keyword.php 목록
주소에 들어가 있는 "join, join11, join111, join1111" 은 추천인의 ID로 추정됨
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||sh_blog_title||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||sh_blog_title||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||sh_blog_title||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||sh_blog_title||
href=http://bbs.zfile.co.kr/?ad=join111||a||sh_blog_title||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||
href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||
href=http://www.qdown.com/intro.php?joinid=join11||a||http://adcr.naver.com/adcr?||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||http://adcr.naver.com/adcr?||
href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||
href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://ziofile.com/?ad=join11&kind=intro&code_cate=DRA||a||link sh_web_title sh_web_link||
href=http://ziofile.com/?ad=join11&kind=intro&code_cate=DRA||a||sh_blog_title||
href=http://ziofile.com/?ad=join11&kind=intro&code_cate=DRA||a||http://adcr.naver.com/adcr?||
href=http://ziofile.com/?ad=join11&kind=intro&code_cate=DRA||a||sh_blog_title||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://jumpdisk.com/?ad=join11||a||sh_blog_title||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://clubmax.kr/?aid=join11&t=m&c=1&u=i||a||sh_blog_title||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://kdisk.co.kr/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://kdisk.co.kr/intro.php?joinid=join11||a||http://adcr.naver.com/adcr?||
href=http://kdisk.co.kr/intro.php?joinid=join11||a||sh_blog_title||
href=http://kdisk.co.kr/intro.php?joinid=join11||a||sh_blog_title||
href=http://www.fdisk.co.kr/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.hidisk.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://dbfile.co.kr/?p_id=join11||a||link sh_web_title sh_web_link||
href=http://dbfile.co.kr/?p_id=join11||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://wowdisk.com/ptns/gate/index.di?id=join11&mode=B&mflag=Y||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://www.dbgo.com/member_prv_join_01.html?cpartner=join11&ckind=direct||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||
href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||sh_blog_title||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||sh_blog_title||
?ref=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||sh_blog_title||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||
href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||sh_blog_title||

웹하드를 광고하는 팝업창의 예이다.
많은 웹하드가 있지만, 슈퍼다운, 에프디스크, 큐다운만 표시하였음!

자신의 블로그에 트랙백 걸렸다 좋아 하지말고~
의심되는 링크는 항상 경계하고, 주의해야 한다.
안그럼 나처럼 감염됨 ㅠ.ㅠ

댓글