개요
주요내용
<그림1. 모바일 랜섬웨어와 유사한 기능을 수행하는 코드>  시사점
[출처] 1. TrendMICRO,, “Android Backdoor GhostCtrl can Silently Record Your Audio, Video, and More”, 2017.7.17. 2. BLEEPINGCOMPUTER “GhostCtrl Is an Android RAT That Also Doubles as Ransomware”, 2017.7.17. 작성 : 침해대응단 탐지1팀 |
--------------------------------------------------
출처 : 보호나라 http://boho.or.kr
| [Special Report] 랜섬웨어•파밍•스피어 피싱 대처법은? (0) | 2015.04.22 |
|---|---|
| 김보성 영화 - 의리의 아이들 오디션 현장 (0) | 2015.03.06 |
| Happy - Pharrell Williams (0) | 2014.06.11 |
랜섬웨어(Ransomeware) 란?
사용자의 피시의 주요 파일을 암호화 하여 해당 파일을 사용 불가하도록 한뒤 해당 파일을 인질로 삼아 돈을 요구하는 형태의 악성코드
중요한 파일을 보관하고 있는 상황에서 해당 공격을 받은경우 해당 파일을 사용할수 없는 심각한 상황을 맞게 된다.
돈을 지불하여도 암호화된 파일을 복구 해준다는 보장도 없고, 백신을 이용해 랜섬웨어를 제거한다고 해도 이미 암호화된 파일은 복원되지 않는다.
암호화된 파일을 복호화 하기 위해서는 암호화 시에 사용한 키가 필요한데 대부분 이 키를 공개하거나 비용을 지불하여도 받을 확률은 거의 없기 때문이다.
최근에는 심지어 한국 피시들을 노리는 번역된 비용 요구 까지 보이고 있어 주의가 필요 하겠다.
---------------------------------------------------------------------------------------------------------
랜섬웨어를 예방하기 위한 방법
- 운영체제 를 비롯한 모든 프로그램의 최신 업데이트
- 백신 은 필수로 사용하고 역시 최신 업데이트 상태를 유지 하며 주기적인 검색 스케쥴 필요
- 광고가 많거나 신뢰도가 떨어지는 사이트는 아예 방문하지 않는게 상책
- 3번의 경우가 불가피 하다면, 주요 공격 방법인 플래쉬 를 끄는것도 방법
- 이도저도 힘들다면 크롬을 사용 (알려진 악성코드는 사전에 차단하여 사이트 접속을 막아줌)
- 수신 메일 확인시 첨부파일 함부로 열어보지 않기 (열어볼필요가 있다면 다운로드후 백신을 통해 검사 한뒤에 확인
- 중요 문서는 수시로 백업하거나 일기전용 혹은 폴더를 보안 구역에 따로 배치( 백신/보안툴 에 기능이 있는 경우)
---------------------------------------------------------------------------------------------------------
여러 방법이 있지만 요즘 잘 안쓰는 플래쉬를 끄는 방법 만으로도 최근 클리앙, 뽐뿌 등 광고를 통한 랜섬웨어 유포에서 조금이나마 안심 할 수 있다.
1. 익스플로러 에서 플래쉬 끄기
- 우측 상단의 톱니바퀴 (익스11) 클릭
- 메뉴중 '추가기능 관리' 선택
- 추가기능 관리 에서 플래쉬 (Shockwave Flash Object) 항목을 클릭하여 선택한뒤 우측 하단의 '사용 안함' 클릭
- 이 후 플래쉬기 필요한경우 다시 플래쉬를 선택한뒤 사용함 클릭해주면 사용할수 있다.
2. 크롬 에서 플래쉬 플러그인 끄기
- 크롬 창을 연뒤에 주소창에 'chrome://plugins' 을 입력 하면 아래와 같은 크롬 플러그인 설정 페이지를 볼수있다.
- 플러그인 중 플래쉬 (Adobe Flash Player) 아래 사용 중지 를 클릭하면 플래쉬 플러그인 사용중지가 가능하다.
| MS 인터넷익스플로러 긴급 보안 업데이트 권고(9/24) (0) | 2019.09.24 |
|---|---|
| 구글맵 API 사용시 동해와 독도 표기 방법 (0) | 2015.11.25 |
| 랜섬웨어 크립토락커 스캔/제거 방법 (0) | 2015.07.06 |
광고창이 자꾸 뜰때
마이크로소프트사에서 제시한 해결 방법입니다.
출처 : http://answers.microsoft.com/ko-kr/ie/forum/ie8-windows_7/%EC%9D%B8%ED%84%B0%EB%84%B7/8f96ad0f-9811-4c88-9060-6e0426b6980d
작업 1. Malwarebyte 실행
http://www.malwarebytes.org/mbam.php
바이러스, 웜, 트로이 목마, 루트킷, 스파이웨어, 등 악성 프로그램을 제거 할 수 있는 Tool 으로Malwarebytes 사에서 제공 된 프로그램 입니다.
작업 2. Internet Explorer 기본 설정을 복구 (개인 설정 삭제 옵션을 사용)
http://support.microsoft.com/kb/923737/ko
작업 3. 시작 프로그램 서비스 내리기
1. [시작 - 실행]에 msconfig 입력 후 엔터 합니다.
2. 시스템 구성 에서 시작프로그램탭으로 이동 합니다.
3. 시작 프로그램 탭에 “모두사용 안함” 에 클릭 합니다.
4. 서비스 탭으로 이동, “모든 microsoft 서비스 숨기기”에 체크 합니다.
5. 후에 나타나는 서비스 목록은 “ 모두 사용 안함 “ 을 클릭 후 적용 확인 합니다.
6. 컴퓨터 재시동 합니다.
작업 4. Internet Explorer 추가 기능 문제 해결
http://support.microsoft.com/mats/ie_freezes_or_crashes/ko
작업 5. 불필요한 프로그램 제거
[제어판 - 프로그램 및 추가 제거 ] 에서 불필요한 툴바나 Search 프로그램은 삭제 합니다.
작업 6. Browser Helper Object 삭제
1. 시작 -> 프로그램 및 파일 검색 란에 regedit 입력 후, Enter를 누릅니다
2. 아래의 경로로 이동하여, Browser Helper Objects 폴더와 Post Platform 폴더 하위의 모든 항목을 삭제합니다.
· HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
· HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent\Post Platform
| Asus setup Log.iniis lost 오류 해결법 (0) | 2014.08.29 |
|---|---|
| iOS6 베타2(beta2) 개발자 버전에서 팟캐스트(podcast) 사용하기 (0) | 2012.06.18 |
| EditPlus3 윈도우7 에서 설정/ftp 백업 복원 (0) | 2011.12.21 |
최근 미국 연방수사국(FBI)에서는 DNS 설정을 변경하는 DNS 체인저 악성코드에 감염된 PC가 접속하던 DNS 서버 대신, 한시적으로 운영해 왔던 Clean DNS 서버의 운영을 2012년 7월 9일부로 중단하기로 하였습니다. 따라서 DNS 체인저 악성코드에 감염된 PC는 2012년 7월 9일 이후 인터넷 접속 장애가 발생할 수 있습니다. 국내 인터넷 이용자는 해당 악성코드에 감염되어 DNS 설정이 변경되었는지 확인이 필요합니다.
<확인방법>
<조치방법>
| 구 분 | 기본 DNS 주소 | 보조 DNS 주소 | 문의 연락처 |
| KT olleh(구 QOOK) | 168.126.63.1 | 168.126.63.2 | ☎ 100 |
| SK 브로드밴드 | 210.220.163.82 | 219.250.36.130 | ☎ 106 |
| LG U+(구 XPEED 파워콤) | 164.124.101.2 | 203.248.252.2 | ☎ 1644-7000 |
| 구글 Public DNS | 8.8.8.8 | 8.8.4.4 | - |
출처 : KISA 보호나라 (http://www.boho.or.kr/kor/notice/noticeView.jsp?p_bulletin_writing_sequence=960)
| iOS 6 beta3 릴리즈 노트 (0) | 2012.07.17 |
|---|---|
| iOS6 애플 지도에서 독도 표기에 대한 문제 리포트 제출 하기 (0) | 2012.06.18 |
| 큐알코드 생성으로 페이스북 좋아요 버튼 / 페이스북 댓글 만들기 (1) | 2012.04.19 |
| 안녕하십니까, 안철수연구소입니다. 최근 국내 웹사이트를 겨냥한 DDoS 공격 및 시스템 손상을 일으키는 악성코드가 발견되었습니다. 1. 안연구소 대응 현황 현재 DDoS 공격 및 시스템 손상을 일으키는 악성코드에 대해 V3 제품군에서는 아래와 같은 진단명으로 진단이 가능합니다.
2. 전용백신 제작 및 배포 ▶ 전용백신 다운로드 받기 
- 개인용 무료 백신 : V3 Lite
|
안철수연구소(대표 김홍선)는 분산서비스거부(DDoS) 공격이 국내 40개 웹사이트를 대상으로 4일 10시부터 발생하고 있으며, 같은 날 오후 6시 30분부터 재차 발생할 것이라고 예측했다.
이에 따라 안철수연구소는 ASEC(시큐리티대응센터)과 CERT(컴퓨터침해사고대응센터)를 비롯해 전사 비상 대응 체제를 가동하는 한편 DDoS공격을 유발하는 악성코드의 전용백신을 개발해 무료 제공한다.
이번 공격은 지난 2009년 7월 7일부터 9일까지 국내 17개 웹사이트를 겨냥한 7.7 디도스 대란 때와 유사하다.
공격 대상은 40개로 네이버, 다음, 옥션, 한게임, 디씨인사이드, 지마켓, 청와대, 외교통상부, 국가정보원, 통일부, 국회, 국가대표포털, 방위산업청, 경찰청, 국세청, 관세청, 국방부, 합동참모본부, 육군본부, 공군본부, 해군본부, 주한미군, 국방홍보원, 제8전투비행단, 방송통신위원회, 행정안전부, 한국인터넷진흥원, 안철수연구소, 금융위원회, 국민은행, 우리은행, 하나은행, 외환은행, 신한은행, 제일은행, 농협, 키움증권, 대신증권, 한국철도공사, 한국수력원자력이다.
디도스 공격을 유발하는 악성코드는 ntcm63.dll, SBUpdate.exe, ntds50.dll, watcsvc.dll, soetsvc.dll, mopxsvc.dll, SBUpdate.exe 등이다. 이들 악성코드가 설치된 PC는 이른바 ‘좀비 PC’가 되어 일제히 특정 웹사이트를 공격한다. 안철수연구소 보안전문가들은 지난 3일 첫 신고를 받아 분석한 결과, 공격 대상과 공격 시각을 파악했다. 동시에 좀비 PC를 최소화하기 위해 전용백신을 신속히 개발했다.
안철수연구소는 이들 악성코드를 진단/치료할 수 있는 긴급 전용백신(http://www.ahnlab.com/kr/site/download/vacc/downFile.do?file_name=v3removaltool.exe)을 개발해 개인은 물론 기업/기관에도 무료 제공 중이다. 개인용 무료백신 ‘V3 LIte’(http://www.V3Lite.com)를 비롯해 ‘V3 365 클리닉’(http://v3clinic.ahnlab.com/v365/nbMain.ahn), V3 Internet Security 8.0 등 모든 제품군 사용자는 사용 중인 제품의 최신 버전으로 진단/치료할 수 있다.
한편, 이들 악성코드는 디도스 공격 외에 V3 엔진 업데이트를 제공하는 인터넷 주소의 호스트 파일을 변조해 업데이트를 방해한다. 또한 PC내 문서 및 소스 파일을 임의로 압축하는 증상도 있다.
악성코드가 유포된 경로는 국내 P2P사이트인 셰어박스와 슈퍼다운인 것으로 밝혀졌다. 공격자는 이들 사이트를 해킹해 셰어박스 업데이트 파일과 슈퍼다운 사이트에 올려진 일부 파일에 악성코드를 삽입해 유포했다. 유포 시각은 3월 3일 07시~09시로 추정된다.
김홍선 안철수연구소 사장은 “운용체계의 보안 패치를 최신으로 유지하고, 백신 프로그램을 설치해 항상 최신 버전으로 상태에서 실시간 검사 기능을 켜두어야 한다”며 “이메일, 메신저의 첨부 파일이나 링크 URL을 함부로 열지 말고, P2P 사이트에서 파일을 내려받을 때 백신으로 검사하는 습관이 필요하다”고 강조했다.@
| 구글 크롬 10 설치 및 간략 리뷰 (0) | 2011.03.09 |
|---|---|
| 아이패드2 발표 동영상(스티브잡스) (0) | 2011.03.03 |
| 윈도우7 서비스팩1 정식 배포~!! 설치하기 (0) | 2011.02.23 |
□ 개요
o Internet Explorer의 mshtml.dll 라이브러리가 재귀적으로 CSS @import 규칙을 포함하는 웹 페이지를 처리하는 과정에서 원격코드실행 취약점이 발생 [1, 3, 4, 6]
o 공격자는 웹 페이지 은닉, 스팸 메일, 메신저의 링크 등을 통해 특수하게 조작된 콘텐트로 구성된 악의적인 웹 사이트에 방문하도록 사용자를 유도하여 악성코드를 유포 가능
o 해당 취약점의 개념증명코드[2, 7]가 공개되었으므로 인터넷 사용자의 주의가 요구됨
□ 해당 시스템
o 영향 받는 소프트웨어 [1]
- Internet Explorer 6
- Internet Explorer 7
- Internet Explorer 8
※ 모든 운영체제의 모든 Internet Explorer 버전이 취약할 것으로 추정
(DEP와 ASLR 우회 가능[6])
□ 임시 권고 사항
o 현재 해당 취약점에 대한 보안업데이트는 발표되지 않았음
o KrCERT/CC와 MS 보안업데이트 사이트[5]를 주기적으로 확인하여 해당 취약점에 대한 보안업데이트 발표 시 신속히 최신 업데이트를 적용하거나 자동업데이트를 설정
※ 자동업데이트 설정 방법: 시작→제어판→보안센터→자동업데이트→자동(권장) 선택
o 취약점에 의한 피해를 줄이기 위하여 사용자는 다음과 같은 사항을 준수해야함
- 파일공유 기능 등을 사용하지 않으면 비활성화하고 개인방화벽을 반드시 사용
- 사용하고 있는 백신프로그램의 최신 업데이트를 유지하고, 실시간 감시기능을 활성화
- 신뢰되지 않는 웹 사이트의 방문 자제
- 출처가 불분명한 이메일의 링크 클릭하거나 첨부파일 열어보기 자제
□ 용어 정리
o CSS (Cascading Style Sheet) : 웹페이지에 포함된 여백이나 글자의 크기 및 색깔 등의 각종 스타일을 기술하는 언어
o @import : 외부 CSS 파일을 참조하는 URL을 지정하는 규칙
o mshtml.dll : Internet Explorer의 핵심 모듈로서 HTML, CSS 등을 처리함
o DEP (Data Execution Prevention, 데이터 실행 방지) : 프로그램의 비실행영역 메모리에서 코드가 실행되지 않도록 함으로써 악성코드 및 다른 보안 위험으로부터 손상되지 않게 해주는 보안 기능
o ASLR (Address Space Layout Randomization) : 주소 공간 레이아웃을 불규칙하게 배치하는 보안 기능
□ 기타 문의사항
o 보안업데이트는 언제 발표되나요?
- 해당 보안업데이트의 발표 일정은 미정이나, 발표 시 KrCERT/CC 홈페이지를 통해 신속히 공지할 예정입니다.
o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118
[참고사이트]
[1] http://www.vupen.com/english/advisories/2010/3156
[2] http://www.exploit-db.com/exploits/15746/
[3] http://www.breakingpointsystems.com/community/blog/ie-vulnerability/
[4] http://www.wooyun.org/bugs/wooyun-2010-0885
[5] http://update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko
[6] http://www.offensive-security.com/offsec/internet-explorer-css-0day-on-windows-7/
[7] http://www.metasploit.com/modules/exploit/windows/browser/ms11_xxx_ie_css_import
----------------------------------------------------------------------------------------------------------
출처 : 보호나라 2010-12-22 (http://www.boho.or.kr/dataroom/data_05_dtl.jsp?u_id=118&page=0&TempNum=124&page_id=6)
| [애플] 맥북에어 리뷰 (1) | 2011.01.28 |
|---|---|
| [무한도전] 유재석 1위 비결 (1) | 2011.01.11 |
| [로봇] 트렌스포머 커피머신 (0) | 2010.12.06 |
블루웹 로그인 -> My page -> 호스팅관리 -> 호스팅관리툴 -> FTP Passw 변경
개인용 무료백신으로 개인 PC를 점검 할 수 있습니다.
안랩 (http://home.ahnlab.com)
알약 (http://alyac.altools.co.kr/)
카스퍼스키 (http://www.kasperskylab.co.kr/ )
(단, 감염이 의심되는 경우 OS 재설치를 재설치 하시는 것이 좋습니다.)
블루웹 로그인 -> My page -> 호스팅관리 -> 호스팅관리툴 -> FTP lock 설정/해제
http://고객도메인/119 접속 후 ftp lock 설정/해제
한국인터넷진흥원의 정보보호 사이트에서는 악성코드 감염을 진단할 수 있는 서비스를 제공하고 있으며, 그에 대한 대응책 및 신고센터를 운영하고 있습니다. 스스로 해결이 불가능한 분들을 위해 원격점검 서비스도 지원을 하고 있으니 악성코드에 감염되었는지에 대한 여부를 꼭 확인해 보시고, 감염되었다면 치료하시기 바랍니다. 아래는 한국인터넷진흥원에서 제공하고 있는 감염 진단 서비스 입니다.
- 보호나라에서 제공하는 업데이트 툴은
| ie6 버그 - div 잔상 (0) | 2009.11.02 |
|---|---|
| 웹표준(1) (0) | 2009.10.13 |
| Microsoft Offers 90 Day Trial of Windows 7 Enterprise (0) | 2009.09.21 |
| 온라인 게임사용자의 개인 정보를 노린 악성코드가 확산되고 있어 주의가 요구된다. 잉카인터넷(대표 주영흠 www.nprotect.com)은 지난 26일께부터 국내외 불특정 다수의 웹 사이트가 자동화된 SQL인젝션(Injection) 공격 피해를 입었으며 이는 어도브 플래시플레이어의 액션 스크립트(Action Script)를 악용한 것이라고 28일 밝혔다. 이번 공격에 사용된 악성 스크립트코드가 국내 많은 사이트에 삽입됐기 때문에 사이트 관리자와 해당 사이트에 방문하는 사용자들의 감염 피해가 우려된다. 스크립트에 의해 연결된 ‘1231.swf’ ‘1232.swf’ 등의 악성 플래시 파일이 실행되면 웹사이트에 숨겨져 있는 또 다른 악성 실행파일이 TEMP 폴더에 ‘orz.exe (42,268바이트)’라는 파일명으로 다운로드되고 자동으로 실행된다. 잉카인터넷은 “컴퓨터를 보호받으려면 어도브 플래시플레이어 버전을 업데이트해야 한다”며 “플래시플레이어 버전이 ‘9.0.115.0’이거나 하위 버전이라면 신속한 업데이트가 필요하다”고 강조했다. |
|
상위 버전은 웹사이트(http://www.adobe.com/shockwave/download/flash/trigger/kr/2/index.html)에서 내려받을 수 있다. |
| Microsoft Baseline Security Analyzer (0) | 2008.06.02 |
|---|---|
| 메모리해킹 (0) | 2008.05.07 |
| MS Windows XP Service Pack 3 (1) | 2008.04.24 |
| 알툴즈의 알약 엔진 비트디펜더10 (0) | 2008.01.05 |
|---|---|
| 대량 트래픽 유발 '바이럿 바이러스' 비상 (0) | 2007.09.16 |
| 1페타 슈퍼컴·1테라 슈퍼칩 (0) | 2007.08.31 |
| 악성코드 scrun.exe !!! (0) | 2007.04.18 |
|---|---|
| ASUS V60 (2) | 2007.04.11 |
| 3D Floating System (0) | 2007.04.04 |
invalid-file