본문 바로가기
ahnurl.sys, olesau32.dll을 이용하여 개인정보를 가로채는 악성파일 주의!! 해당 파일들은 주말을 이용한 국내 홈페이지 변조(어딘지는 말하지 않겠음, 커뮤니티, 웹하드 사이트 라는것만...) 를 통해 설치되었으며, 루트킷 파일을 통해 자신의 파일을 숨기며 감염PC에 개인정보를 유출하게 된다. 변조 된 사이트에 접속하면 오라클 자바 취약점(CVE-2011-3544)에 의해 악성파일이 다운로드 되어 실행된다. - 생성 파일 C:\Documents and Settings\[사용자계정]\Local Settings\Temp\ddd.exe - Trojan.Dropper.OnlineGames.au32 C:\WINDOWS\setupball.bmp - Spyware.OnlineGames.au32 C:\WINDOWS\olesau32.dll - Spyware.OnlineGames.au32 C:\WI.. 2012. 3. 17.
MBR(Master Boot Record)감염으로 재생성되는 lpk.dll 악성코드 주의!! 요즘 MBR 자주 보네 ㅠ.ㅠ 분석도 어렵고~ 이번 포스팅도 기록용이니~ 그냥 가벼운 마음으로 고고싱!! 지난 주 지X파일 사이트가 변조되어 유포 된 악성파일 중 MBR을 감염시키고, 정상파일인 imm32.dll 을 변조시키는 것이 확인되었다. 정상파일 변조내용은 다음에 다시 쓰기로 하고, 이번 포스팅에서는 MBR을 감염시켜 악성파일(lpk.dll)이 재생성 되는걸 막아보자. 우선 최초 악성파일이 실행되면, 다음과 같이 파일과 레지스트리가 생성된다. - 파일 C:\Windows\System32\Disksystem.exe C:\Windows\System32\halc.dll C:\Windows\System32\drivers\FileEngine.sys C:\Windows\lpk.dll (악성파일 감염 후 재부.. 2011. 9. 18.