시만텍에서 보고한 건이고, 그동안 궁금했던 그 샘플이다.

가짜 안심클릭 창 등을 띄어서 정보입력을 유도하는 형태이다.

http://www.symantec.com/connect/blogs/south-korean-financial-companies-targeted-castov

중국 SINA 블로그 ->Baidu 앨범 경로에서 받아지는 JPG 파일로 헤더(632 바이트)를 조작하고 전체코드를 XOR 0xFF 로 암호화 해 두었다.

코드를 좀 보니.. 나름 잔머리를 썼다.

정보 유출 서버

110.34.232.10:1314
110.34.232.11:1314
110.34.232.12:1314

110.34.240.122:1314
110.34.240.123:1314