본문 바로가기
MIDI 파일 취약점(CVE-2012-0003)을 이용한 악성코드 유포 주의!! 2012년 1월 27일 트렌드 마이크로(Trend Micro) 블로그를 통해 MIDI 취약점을 이용한 악성파일이 발견되었다는 소식을 들었다. 이에 보안업체 및 보안블로그에는 아래와 같은 분석내용들이 올라오고 있다. (내용은 다들 비슷하나^^ 그래도 한번씩 보는것도 도움이 될 것이다. 특히, 벌새님의 블로그는 치료방법에 대해서도 자세하게 나와있으니 참고하면 쉽게 치료할 수 있다.) [트렌드 마이크로] Malware Leveraging MIDI Remote Code Execution Vulnerability Found [nProtect] [주의]MIDI 파일 취약점을 이용한 악성파일 등장 [AhnLab] MS12-004 윈도우 미디어 취약점을 악용한 악성코드 유포 [울지않는벌새] MIDI 취약점을 이용한 정.. 2012. 1. 28.
애드젯(ADget), 광고위젯을 통한 악성코드 유포 공지 국내 웹사이트는 금요일 오후 6시부터 비상경계다. 아는사람들은 다 알겠지만, 6시이후부터 사이트변조가 시작된다. 그 이유는 변조 된 사이트를 통해 악성파일들을 유포시키기 위해서다. 하지만 최근에 들어서 방법이 조금씩 바뀌어지고 있다. 예전에는 사람들의 많이 찾는 게시판 및 홈페이지에 악성스크립트를 삽입하여 방문하는 이용자에게 악성파일을 다운로드 시키는 방식이였다. 하지만 이 방식은 사이트 관리자가 지켜보고 있다가 수정하거나 조치가 빠르게 이루어지자, 악성파일 제작자들은 홈페이지에서 블로그로 그 방식을 수정하였다. 블로그라고 해서 악성파일 제작자가 블로그 접속 아이디와 비밀번호를 수집하여 접속하는 방식이 아니다!! 요즘 블로그에 설치되는 광고위젯의 서버를 탈취함으로써 해당 광고위젯을 설치하는 모든 블로그들.. 2011. 8. 9.
[정상파일변조] 변조된 사이트를 이용한 정상파일(imm32.dll)을 수정하는 악성파일 주의!! 최근 정상파일을 변경하여 악의적인 목적으로 사용되는 경우가 매우 많이 일어나고 있기 때문에 이번 내용은 이슈는 아니다. 하지만, 이 포스팅을 쓰는 이유는 기존에 나왔던 파일과는 다른 변종이여서 기록용으로 포스팅을 한다. imm32.dll은 기본적인 Windows에 들어가 있는 정상파일로써, 요즘 악성코드에 의해 변조되어 악의적인 행위로 사용되고 있다. 파일명 : imm32.dll(Windows XP IMM32 API Client DLL) 파일위치 : C:\Windows\system32 4A489C2C47F64541005EDB79149B3495,110080(XP SP2) - 5.1.2600.2180 7DC8A392C09DDF8C8FB1AA007D19D98B,110080(XP SP3) - 5.1.2600.5.. 2011. 5. 11.
홈페이지 변조를 통한 악성코드 유포 주의(Comres.dll 및 imm32.dll 파일 변조) (위의 그림은 정상적인 Windows XP - SP3의 Comres.dll의 등록정보이다. 참고로 올려놓았다) 주말에 발생 된 홈페이지 변조로 인하여 윈도우즈 정상 시스템 파일인 Comres.dll 변조 되는 사례가 나오고 있다. 예전에 온라인게임 dll 파일을 동작시키기 위해 Comres.dll이 변조 된 경우(포스팅이 없다 ㅠ_ㅠ 블로그를 하기전이라)가 있었고, 근래에 와서는 네이트온으로 전파 되는 악성코드가 Comres.dll를 변조 시키는 경우가 있었다. - 관련글 2010/07/13 - [악성코드소식] - 네이트온 악성코드 "V3 Lite" 제품파일명을 가장하여 배포 위의 글을 보면 쉽게 알 수 있겠지만, 결론적으로 설명하면 다음과 같다. 정상적인 파일인 Comres.dll -> x_com.dl.. 2011. 1. 5.
익스플로러(Internet Explorer) 0-Day 취약점을 이용한 국내사이트 유포 주의!! 몇일 전 마이크로 소프트 보안업데이트가 이루어졌으나 정작 중요한 IE 0-Day 취약점은 패치가 되지 않았다. 이를 노린 악성코드 제작자들이 주말을 틈타 슬금슬금 기어 나오기 시작했다. (이노무 스끼들~ 주말은 좀 쉬자!!) 금일까지 발견 된 IE 0-Day 취약점이 사용되는 변조사이트들 목록은 다음과 같다. http://125.128.*.**/Multi/f/w3.js http://125.128.*.**/Multi/f/w3.asp → http://www.robot***.com/cafe/help/box.exe (S.SPY.ZpInject) http://125.128.*.**/Multi/f/ns.htm http://125.128.*.**/Multi/f/test.htm (Exploit : CVE-2010-39.. 2010. 11. 13.
변조 된 imm32.dll파일에 추가된 "rs64 New Section" 2009년 11월 부터 발견되어 현재까지도 꾸준히 업데이트하는 악성코드가 있다. 바로 imm32.dll 이다. imm32.dll은 기본적인 Windows에 들어가 있는 정상파일로써, 요즘 악성코드에 의해 변조되어 악의적인 행위로 사용되고 있다. 4A489C2C47F64541005EDB79149B3495,110080(XP SP2) - 5.1.2600.2180 7DC8A392C09DDF8C8FB1AA007D19D98B,110080(XP SP3) - 5.1.2600.5512 - 현재까지 변종으로 나온 Section Table(ss32, s32, sy32, rs64 발견 된 순서이다.) 변조 된 imm32.dll은 Loader의 역활을 하며, Load 시키는 악성코드는 다음과 같다. C:\WINDOWS\syst.. 2010. 7. 19.
Win32.Loader.G(imm32.dll) 재탐지 해결방법!! 악성파일로 인하여 변조 된 imm32.dll을 Win32.Loader.G으로 탐지하는 경우가 늘어나고 있다. 문제는 변조 된 imm32.dll을 정상적으로 치료하지 못하여 발생 된 문제로 판단된다. 이전에 imm32.dll 변조파일과 동일하게 섹션에 ss32 Section을 추가하지만, 이전과 코드는 달랐다. 변종으로 판단된다. - 관련내용 2009/11/17 - [악성코드소식] - imm32.dll을 변경시키는 스파이웨어 발견!! 이에 수동으로 해결 할 수 있는 방법을 소개한다. 1. C:\WINDOWS\system32 폴더로 이동 2. 변조 된 imm32.dll 이름을 수정(ex, ~imm32.dll) (참고, 정상적인 imm32.dll은 C:\WINDOWS\system32\imm32.dll.bak .. 2010. 1. 26.
imm32.dll을 변경시키는 스파이웨어 발견!! 변조 된 홈페이지에서 실행되는 스파이웨어 중 정상파일인 imm32.dll을 변조시키는 악성코드가 발견되었다. 국내 및 국외 AV프로그램으로는 아직 탐지하지 못하는 곳이 대부분이다. 4A489C2C47F64541005EDB79149B3495,110080(XP SP2) - 5.1.2600.2180 7DC8A392C09DDF8C8FB1AA007D19D98B,110080(XP SP3) - 5.1.2600.5512 - 정상파일의 PE - 감염 된 파일의 PE - 생성 된 ss32 Section 2009. 11. 17.

티스토리툴바