본문 바로가기

분석 정보/악성코드 분석 정보405

[악성코드 분석] pmsis.exe (개인정보 유출) pmsis.exe 악성코드 분석 보고서 1. 개요 최근 대부분의 일상생활을 PC를 통해 해결 가능하게 됨으로써 사용자가 인지하지 못하는 방법으로 설치되는 악성파일이 급증하고 있다. 이로 인해 PC 의 제어권을 빼앗기거나, PC 사용 정보를 유출하는 등 다수의 위험에 노출되게 된다. 이번에 분석한 pmsis.exe 의 경우 사용자가 인지하지 못하는 사이에 설치되어 PC의 사용 정보를 유출할 뿐 아니라 사용자의 키보드 사용 정보의 유출 위험성이 있어 개인정보의 유출 및 2차 피해의 우려가 있다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 pmsis.exe 파일크기 145,408 byte 진단명 Trojan/W32.Agent_Packed.145408.I 악성동작 파일/프로세스 제어, 키보드 후킹, .. 2016. 1. 26.
[악성코드 분석] HashCop_Bypass.exe (토렌트를 통한 악성코드 유포) HashCop_Bypass.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 구분내용파일명HashCop_Bypass.exe, svchost.exe파일크기1,009,152 byte진단명Trojan-Downloader/W32.Agent.1009152.C악성동작Bot, Downloader 1.2. 유포경로 HashCop_Bypass.exe는 *토렌트를 통해 유포되었다. 이 악성 파일에 대한 내용이 담긴 torrent 파일 “Inside Men, 2015 .720p.HDRip-H264.by-kyh -.torrent” 은 현재에도 토렌트 공유 사이트에 업로드 되어 있고 파일 다운로드가 가능하므로 주의가 요구된다. *토렌트 – 사용자와 사용자 간(peer-to-peer) 파일 전송 프로토콜이자 그것을 이용하.. 2016. 1. 13.
[악성코드 분석] atotal3.exe (게임 실행화면 탈취, 파일 생성실행) atotal3.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 구분 내용 파일명 atotal3.exe 파일크기 438,272 byte 진단명 Trojan/W32.Agent.438272.SW 악성동작 게임 실행화면 탈취, 파일 생성실행 네트워크 115.**.***.158 에서 다운로드 1.2. 유포경로 atotal3.exe 는 네이트 피싱사이트 nete.kr(115.**.***.158)에서 유포되었다. 정상 사이트(nate.com)와 URL이 비슷한 피싱사이트는 접속 시 정상 사이트와 외관이 동일하기 때문에 이용자가 쉽게 정상 사이트로 착각할 수 있다. 피싱 사이트는 정상 사이트의 정보를 그대로 가져와 보여주지만 페이지 소스코드를 살펴보면 세 개의 악성함수가 숨겨져 있으며, 이 함수를 통해 악성코.. 2016. 1. 6.
[악성코드 분석] fgrfev1.1.exe fgrfev1.1.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 파일명 fgrfev1.1.exe 파일크기 55,198 byte 진단명 Trojan-PWS/W32.WebGame.55198 악성동작 다운로더 네트워크 14.**.***.148/down/dll.dll 파일명 임의숫자.txt 파일크기 68,006 byte 진단명 Trojan-PWS/W32.WebGame.68006 악성동작 계정정보 탈취 네트워크 14.**.***.148 1.2. 유포경로 fgrfev1.1.exe는 복합쇼핑몰 홈페이지 www.y****k.kr/ad/fgrfev1.1.exe 에 업로드 되어 있다. 수집 당시 해당 웹사이트에는 fgrfev1.1.exe 외에도 다른 두 개의 실행파일이 업로드 되어 있었으나 현재는 다운로드되지 .. 2015. 12. 29.
[악성코드 분석] zxarps.exe zxarps.exe 악성코드 분석 보고서 1. 분석 정보 1.1. 유포경로 zxarps.exe는 특정된 경로는 없으나 유아용 교육 콘텐츠 제작사이트 www.i****lp**s.com 에 압축파일(zx.exe) 형태로 업로드 되어 있으며, 분석 당시(12월 15일)에도 다운로드가 가능했다. 실행 시 감염PC 환경에 따라 다른 옵션값을 인자로 줘야 제대로 된 악성 동작을 수행하는 것으로 보아 단독으로 실행되기 보다는 다른 악성코드가 다운받아 실행시키는 것으로 보인다. 1.2. 악성 동작 위 유포지에 업로드 되어 있는 zx.exe파일은 별도의 압축 해제 프로그램이 필요 없는 “실행 가능한 압축파일”이다. zx.exe를 실행하면 “zxarps免杀版” 폴더가 생성되고, 해당 폴더 하위에 아래와 같이 압축 해제된 .. 2015. 12. 24.
[악성코드 분석] Cribinst.exe (인터넷 뱅킹 파밍) Cribinst.exe 악성코드 분석 보고서 1. 분석 정보 1.1. 개요 Cribinst.exe 파일은 기타 금융권 악성파일과 동일하게 hosts 파일을 변조하고 인터넷 접속 시 가짜 금융권 사이트로 연결되어 개인정보 입력을 유도한다.다만, 기존의 금융권 악성파일과는 다르게 화면을 캡쳐하여 저장하는 기능이 추가되었다. 1.2. 동작 Cribinst.exe 파일 실행 시 C:\ 하위에 '1b'이란 파일을 생성한다. 확장자가 없는 '1b' 파일은 .bmp파일 포맷을 가지며. 해당 파일을 확인하면 악성코드에 의해 PC 실행화면 중 일부가 캡처된 이미지 파일임을 알 수 있다. [그림] 악성코드에 의해 캡처된 PC 실행화면 또한, C:\windows\system32\drivers\etc\hosts, hosts... 2015. 12. 23.

티스토리툴바