네이트온 악성코드 사진변경(2011-04-17)

국내 최대의 회원수를 자랑하는 메신저 "네이트온(NateOn)"의 쪽지로 전파되는 악성코드가 발견되었다.

예전에는 쪽지나 대화창으로 URL이 링크되어, 사용자가 클릭하면 1개의 실행파일을 다운로드 하는 방식이였다.

근래에 들어서는 쪽지나 대화창으로 악성URL이 유포되는 방식은 동일하지만, 파일을 다운로드 시키는 것이 아니라~
특정 사이트로 이동하여 사용자PC에 해당 취약점이 존재 시에만 사용자PC에 다운로드 받는 방식으로 변경되었다.

http://www.*****guj.com (네이트온 쪽지로 전달되는 URL)

http://www.*****guj.com/1.html (취약점을 이용한 악성 스크립트)
http://www.*****guj.com/k.js (악성 스크립트에 연동되는 스크립트)

http://www.*****guj.com/yangfd/adjku.exe (취약점에 의해 다운로드 되는 악성파일)

악성파일 제작자는 사용자의 눈을 속이기 위해 URL 클릭 시 특정사진(747_1000.jpg)을 보여준다.
(사진이 19금 파일로 자극적이라~ 더보기로.....ㅋㅋ)

사용자 PC에 취약점이 존재하면 1.html 악성 스크립트 파일에 의해 adjku.exe 파일이 다운로드 되어,
사용자 몰래 실행되며 아래와 같은 악성파일을 생성시킨다.

- 생성 된 악성파일
C:\WINDOWS\FXSST.dll
C:\WINDOWS\system32\V3lght.dll

- 계정 탈취 대상

CKAppEx.dll(NateOn)

QuBie(철도 예약 사이트)

dnf(온라인게임 던전앤 파이터)

maplestory(온라인게임 메이플 스토리)

- 탈취 한 계정을 전송시키는 서버

hxxp://www.xd****.com/bo**r/dtenh/ndf.asp

hxxp://www.xd****.com/bo**r/ndehgy/nate.asp

hxxp://www.xd****.com/bo**r/msore/maoxiandao.asp

알약에서는 다음과 같이 탐지 중이니, 실시간검사를 항상 On 으로 켜 두길 바란다.
adjku.exe(Mal/Behav-066), FXSST.dll(Trojan.Heur.Gm.5002806020), V3lght.dll(Trojan.Heur.Gm.1002816020)

아이폰 트래커(iPhoneTracker), 아이폰 트래커 사용방법 "내 위치추적은 얼마나 잘되나!!" (4)	2011.04.27
[정상파일변조] 변조된 사이트를 이용한 정상파일(midimap.dll)을 수정하는 악성파일 주의!! (12)	2011.04.18
야후 메신저(Yahoo! Messenger), 야후 메신저로 전파 되는 "Worm.IM.Slenfbot.AK(Worm.Ckbface)" 주의!! (0)	2011.04.12
어도비 플래쉬 플레이어 제로데이(Adobe Flash Player 0-Day)를 이용한 악성파일 유포 주의!! (0)	2011.04.12
현대캐피탈(HyundaiCapital), 고객정보 42만건 해킹사건(4월 8일) (0)	2011.04.09

처리의 블로그