본문 바로가기

Analysis/유포지 정보

악성유포 제품 - 글에 댓글을 달아 유도후 설치페이지 이동 사례 2007-0826


특정글 인기글에 전혀 상관없는 댓글을 달거나 관련링크인양 달아 클릭을 유도하는 방법.

<형식적인 동의/몰래설치 - 번들 설치에 대한 논란 부분>

1>특정페이지 방문시 ACTIVE X 를 통한 설치
--> 이것은 동의창이 아니므로 무단설치에 해당.
--> 단, 해당페이지가 원래 해당툴에 대한 설치페이지일 경우 제외된다.
--> 전혀 관계 없는 페이지에서의 설치.
2>업데이트 창을 통해 선택창만 제공하고 프로그램에 대한 별도 정보 및 별도의 동의를 구하지않을 경우로 클릭을 유도하는 것과 다를게 없습니다.


<일부보안사 해명>


--> 아래와 같이 특정글로 유인후 설치되지만 ACTIVE X 보안팝업이 뜨기 때문에 사용자 선택이 가능하다고 한다.

정말 웃기지 않는가?

--> ACTIVE X 보안팝업은 특정프로그램 또는 사용자의 XP 보안설정여부에 따라 팝업자체가 안뜨고 설치될 수 있다.

--> ACTIVE X가 문제되고 현제 악성배포의 경로가 되고 있는 이유가 보안설정에 따라 팝업자체가 안뜰 수있기 때문에 악용되고 있다


<설치목록>


Internet Keyword Service - 다른이름 :  Micronames Internet Keyword Service / 등

<설치폴더>

c:\Program Files\0ysbpt0erwpix
c:\WINDOWS\system32 --> MSINET.OCX  / VB6KO.DLL

윈도우 익스플로어 추가기능관리(BHO)에 아래항목을 등록한다.

(cKoreaKey.acKoreaKey) - http://www.hebogo.com/ActiveX/cKoreaKey.CAB

시작프로그램에 아래항목을 등록한다.

[tso0nbfmsvxrwfty] C:\Program Files\0ysbpt0erwpix\tso0nbfmsvxrwfty.exe
01