韓国の動画再生ソフト GOM Playerのアップデートが原因で、トロイの木馬をダウンロードしてしまったケースを分析してみます。 LACさんが解説していたので、同じケースがないのか発見してみましょう。 PacketBlackHoleなどでフルバケットを記録している場合であれば、どのタイミングでやられてしまったのかが明確にわかります。 直接の原因はまだわかっていませんが、2、3の仮説が立てられます。 仮説1 DNSポイゾニングにより、偽サーバに行っていた。 仮説2 アップデートサーバが乗っ取られた 仮説3 インターネットの途中で書き換えられた 仮説4 何からの方法で、ローカルの、GrVersionJP.iniを書き換えた。 仮説1であれば、送信先のサーバが、本来のものとは異なります。 本来のアップデートサーバは、app.gomlab.comで 38.109.102.176,38.109.10
![GOM Playerのアップデートパケットを確認しよう - luminのコードメモ](https://cdn-ak-scissors.b.st-hatena.com/image/square/5a44f99d929790449ca41fd9313122fcaee3a540/height=288;version=1;width=512/https%3A%2F%2Fcdn-ak.f.st-hatena.com%2Fimages%2Ffotolife%2Fl%2Flumin%2F20140123%2F20140123185411.png)