트랙백(Trackback)으로 전파 되는 웹하드 광고 및 악성파일

최근 블로그 사이에 이상한 트랙백들이 돌고 있다.

자신이 블로그를 운영한다면 그 블로그를 보기 위해 접속한 방문자를 위해서라도 꼭 한번 확인해보시기 바란다.

또한 바로 삭제 해 주는 센스는 기본이다!!

- 확인 할 트랙백 제목
"OOO 의 미공개동영상" 이라는 트랙백으로 등록이 된다.
OOO는 제작자가 Search 한 특정한 문구 or 태그 문구로 파악되고 있다.

(그림 1, 실제 등록 되어 있는 트랙백 화면)

그림1)을 살펴보면 중앙대학교와 정경미 라는 문자열로 트랙백이 걸려 있는것을 알 수 있다.

본 블로그에도 "던전앤파이터" 관련으로 트랙백이 걸렸었지만, 이후 삭제가 되어서 다시 걸리고 있지 않다.

역시 유명해야 이런 것도 많이 오는듯 ㅋㅋㅋ(왠지 서글픔 ㅠ_ㅠ)

에흠,,다시 본론으로 들어가서 저 미공개 동영상 링크를 클릭 하면 다음과 같이 리다이렉션된다.

http://4s1q4xi.231qdgd.naver.com.yoonlife.info/movie.php?word=던전앤파이터

http://pox5n72.jlas932.naver.com.yoonlife.info/movie.php?word=중앙대학교

http://b93x9fp.78le4tr.naver.com.yoonlife.info/movie.php?word=정경미

http://8dfcu37.rs30hq5.naver.com.yoonlife.info/movie.php?word=세이클럽

http://d3khb59.wyng487.naver.com.yoonlife.info/movie.php?word=교보문고

리다이렉션 된 후에는 "Vision Power ActiveX" 를 가장 하여 악성 파일들을 설치한다.

http://123.109.93.117:6050/ver/Installer.cab (악성 ActiveX)

http://123.109.93.117:6050/ver/winsoft98.xss (정상 Pc지기 ActiceX)

http://123.109.93.117:6050/ver/movie.gif (사용자에게 보여지는 화면)

(그림2, 사용자에게 보여지는 movie.gif 화면)

(그림3, 정상적인 Active 를 설치 하기 위한 경고창 화면)

(그림4, 정상적으로 Active 설치 화면)

Active 설치가 완료 되면 악성파일은 "C:\Program Files\Internet Explorer\Temp" 다음 위치에 생성된다.

이중 악성 파일은 Update.exe, expIorer.dll, explorer.dll 총 3개의 파일이다.

사용자가 헷갈리게 동일한 이름이지만, "L" 과 "I"의 차이가 있으며, dll의 확장자만 사용 된 exe 파일이다.

(그림 5, Active로 설치 되어 C:\Program Files\Internet Explorer\Temp에 생성 된 파일 화면)

파일 설치가 완료 되면, 사용자에게 웹하드 광고 팝업창을 보여준다.

- 웹하드 광고 팝업창의 주소는 다음 php를 참조 할 수도 있다.

http://www.beagler.co.kr/bbs/keyword.php

http://123.109.93.117:6050/bbs/keyword.php

- Keyword.php 목록

주소에 들어가 있는 "join, join11, join111, join1111" 은 추천인의 ID로 추정됨

href=http://downss.co.kr/?mi=join1111&inty=DRA&spop=0||a||link sh_web_title sh_web_link||

href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||

href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||http://adcr.naver.com/adcr?||

href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||

href=http://jumpdisk.com/?ad=join11||a||sh_blog_title||

href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||

href=http://jumpdisk.com/?ad=join11||a||sh_blog_title||

href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||

href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||

href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||

href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||

href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||link sh_web_title sh_web_link||

href=http://bbs.zfile.co.kr/?ad=join111||a||link sh_web_title sh_web_link||

href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||

href=http://sharebox.co.kr/?ptn=join11&inty=DRANN||a||sh_blog_title||

href=http://bbs.zfile.co.kr/?ad=join111||a||sh_blog_title||

href=http://jumpdisk.com/?ad=join11||a||link sh_web_title sh_web_link||

href=http://intro.superdown.co.kr/?ad=join11&ct4=DRA&st=||a||link sh_web_title sh_web_link||

href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||

href=http://intro.quickdown.co.kr/intro_drama.html?ad=join11||a||link sh_web_title sh_web_link||

href=http://www.qdown.com/intro.php?joinid=join11||a||link sh_web_title sh_web_link||

href=http://www.qdown.com/intro.php?joinid=join11||a||sh_blog_title||

href=http://www.qdown.com/intro.php?joinid=join11||a||http://adcr.naver.com/adcr?||