본문 바로가기

잉카인터넷1655

[악성코드 분석] pmsis.exe (개인정보 유출) pmsis.exe 악성코드 분석 보고서 1. 개요 최근 대부분의 일상생활을 PC를 통해 해결 가능하게 됨으로써 사용자가 인지하지 못하는 방법으로 설치되는 악성파일이 급증하고 있다. 이로 인해 PC 의 제어권을 빼앗기거나, PC 사용 정보를 유출하는 등 다수의 위험에 노출되게 된다. 이번에 분석한 pmsis.exe 의 경우 사용자가 인지하지 못하는 사이에 설치되어 PC의 사용 정보를 유출할 뿐 아니라 사용자의 키보드 사용 정보의 유출 위험성이 있어 개인정보의 유출 및 2차 피해의 우려가 있다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 pmsis.exe 파일크기 145,408 byte 진단명 Trojan/W32.Agent_Packed.145408.I 악성동작 파일/프로세스 제어, 키보드 후킹, .. 2016. 1. 26.
PC 부팅을 막는 MBR 악성코드 PC 부팅을 막는 MBR 악성코드 1. 개요 하드디스크의 MBR(Master Boot Record ; 마스터부트레코드) 영역을 파괴하여 PC 부팅을 못 하게 만드는 MBR 악성코드가 성행하기 시작했다. MBR 영역을 파괴하는 악성코드는 이전 한수원 해킹 사건, 3.20 사이버 테러, 6.25 사이버테러 등에서 국내 주요기관을 마비시킨 이력이 있다. MBR이란 파티션 된 저장장치(하드 디스크, 이동식 저장장치, USB메모리 등)의 가장 앞 부분에 쓰여있는, 저장장치 이용 시 반드시 필요한 정보이다. MBR에는 PC 부팅에 반드시 필요한 여러 정보(파티션정보, 부트로더 정보 등)이 손상되면 저장장치를 읽을 수 없게 되어 대표적으로 PC 부팅 실패 등 여러 이상이 발생한다. 이에 잉카인터넷 시큐리티 대응센터(.. 2016. 1. 18.
[악성코드 분석] HashCop_Bypass.exe (토렌트를 통한 악성코드 유포) HashCop_Bypass.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 구분내용파일명HashCop_Bypass.exe, svchost.exe파일크기1,009,152 byte진단명Trojan-Downloader/W32.Agent.1009152.C악성동작Bot, Downloader 1.2. 유포경로 HashCop_Bypass.exe는 *토렌트를 통해 유포되었다. 이 악성 파일에 대한 내용이 담긴 torrent 파일 “Inside Men, 2015 .720p.HDRip-H264.by-kyh -.torrent” 은 현재에도 토렌트 공유 사이트에 업로드 되어 있고 파일 다운로드가 가능하므로 주의가 요구된다. *토렌트 – 사용자와 사용자 간(peer-to-peer) 파일 전송 프로토콜이자 그것을 이용하.. 2016. 1. 13.
[악성코드 분석] atotal3.exe (게임 실행화면 탈취, 파일 생성실행) atotal3.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 구분 내용 파일명 atotal3.exe 파일크기 438,272 byte 진단명 Trojan/W32.Agent.438272.SW 악성동작 게임 실행화면 탈취, 파일 생성실행 네트워크 115.**.***.158 에서 다운로드 1.2. 유포경로 atotal3.exe 는 네이트 피싱사이트 nete.kr(115.**.***.158)에서 유포되었다. 정상 사이트(nate.com)와 URL이 비슷한 피싱사이트는 접속 시 정상 사이트와 외관이 동일하기 때문에 이용자가 쉽게 정상 사이트로 착각할 수 있다. 피싱 사이트는 정상 사이트의 정보를 그대로 가져와 보여주지만 페이지 소스코드를 살펴보면 세 개의 악성함수가 숨겨져 있으며, 이 함수를 통해 악성코.. 2016. 1. 6.
[악성코드 분석] fgrfev1.1.exe fgrfev1.1.exe 악성코드 분석 보고서 1. 개요 1.1. 파일정보 파일명 fgrfev1.1.exe 파일크기 55,198 byte 진단명 Trojan-PWS/W32.WebGame.55198 악성동작 다운로더 네트워크 14.**.***.148/down/dll.dll 파일명 임의숫자.txt 파일크기 68,006 byte 진단명 Trojan-PWS/W32.WebGame.68006 악성동작 계정정보 탈취 네트워크 14.**.***.148 1.2. 유포경로 fgrfev1.1.exe는 복합쇼핑몰 홈페이지 www.y****k.kr/ad/fgrfev1.1.exe 에 업로드 되어 있다. 수집 당시 해당 웹사이트에는 fgrfev1.1.exe 외에도 다른 두 개의 실행파일이 업로드 되어 있었으나 현재는 다운로드되지 .. 2015. 12. 29.
[악성코드 분석] 80.exe (랜섬웨어) 80.exe 악성코드 분석 보고서 1. 분석 정보 1.1. 유포경로 랜섬웨어는 사용자의 PC에서 실행될 경우 PC 내의 문서, 그림 파일 등 특정 파일들을 암호화하고 복호화를 위해서 금전을 요구하는 악성파일이다. 대다수가 이메일의 첨부파일이나 변조된 웹사이트를 통해 전파되어 감염된다. 80.exe 파일은 랜섬웨어 중 TeslaCrypt에 속하며 이메일 첨부파일을 통해 전파되었다. 이메일 내용을 살펴보면 결제와 관련된 내용이며, 첨부된 .zip 파일은 .js 파일이 압축된 것을 확인 할 수 있다. 사용자가 별다른 의심없이 첨부파일을 다운로드하여 압축해제 후 .js 파일을 실행하면 80.exe 파일을 다운로드하고 실행하는 스크립트가 동작한다. [그림] 메일을 통해 유포된 랜섬웨어 80.exe 1.2. 80... 2015. 12. 28.

티스토리툴바