GOM Playerのアップデートパケットを確認しよう - luminのコードメモ

韓国の動画再生ソフト GOM Playerのアップデートが原因で、トロイの木馬をダウンロードしてしまったケースを分析してみます。 LACさんが解説していたので、同じケースがないのか発見してみましょう。 PacketBlackHoleなどでフルバケットを記録している場合であれば、どのタイミングでやられてしまったのかが明確にわかります。 直接の原因はまだわかっていませんが、２、３の仮説が立てられます。 仮説１ DNSポイゾニングにより、偽サーバに行っていた。 仮説２ アップデートサーバが乗っ取られた 仮説３ インターネットの途中で書き換えられた 仮説４ 何からの方法で、ローカルの、GrVersionJP.iniを書き換えた。 仮説１であれば、送信先のサーバが、本来のものとは異なります。 本来のアップデートサーバは、app.gomlab.comで 38.109.102.176,38.109.10

[tmatsuu]

Linuxディストリビューションのパッケージ配布に倣ってGPGなどで署名＆検証するようにすればHTTPSにする必要もなくなるので良いと思いますよ、えぇ。

[kotaponx]

SSLなら仮設1や仮設3(MITM)は普通は証明書チェックで分かるはずでは……。

[hirata_yasuyuki]

Browsing: “GOM Playerのアップデートパケットを確認しよう - luminのコードメモ”

[tukanana]

例の騒ぎになったGOM Playerについて、LACに続くネットエージェントlumin氏の追検証。