malwares.com Official Blog

보안 정보/악성코드 관련 정보 (28)

어김없이 등장한 모바일 채굴 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2018. 4. 30. 15:54

malwares.com 코드분석팀 분석 자료 1. 개요 2018년 4월 즈음 가상화폐 시장이 얼어붙으며 관련 악성코드도 함께 주춤했었다. 최근 채굴 악성코드가 다시 모습을 드러내고 양상이다. 지금까지 채굴 악성코드는 PC를 주타겟으로 활동해왔다. 갈수록 성능이 좋아지고 24시간 동작하는 특징을 가지고 있는 스마트폰이 채굴 악성코드의 새로운 온상지가 되고 있다. 일반 사용자의 스마트폰을 노리고 있는 해커의 움직임에 주의해야 할 것이다. 본 블로그에서는 새로운 타겟이 되고 있는 스마트폰 위협하는 채굴 악성코드를 분석해본다. 관련 기사 보러가기 : [보안뉴스] 안드로이드 생태계 노리는 악성 채굴 멀웨어 2. 분석 정보 [ Figure 0. 안드로이드 어플리케이션 압축해제 ] 안드로이드 어플리케이션은 압축 파일..

해커들의 새로운 결제 캠페인 DASH 코인

보안 정보/악성코드 관련 정보 malwares.com 2018. 2. 19. 17:34

malwares.com 코드분석팀 분석 자료 1. 개요 2018년 1월 26일에 처음 발견된 GandCrab(.GDCB) 랜섬웨어는 RIG EK, Grandsoft EK 두개의 공격 도구를 통해 배포되었습니다. 그러던 중 최근에 Receipt Feb-21310(임의 숫자) 라는 제목으로 메일이 무작위로 발송되었으며 메일에 첨부되어 있던 PDF를 통해 GandCrab 랜섬웨어가 감염되고 있습니다. GandCrab은 해커들이 주로 사용하던 비트코인의 지불을 요구하지않고 비교적 알려지지 않은 대시코인(DASH) 암호화폐를 요구합니다. 대시(DASH)는 해커들에게 더 많은 익명성을 제공하고 비트코인보다 낮은 수수료로 앞으로도 많이 사용될것으로 보입니다. 관련 기사 보러가기 : [데일리시큐] 익스플로잇 킷 통해 ..

한글을 지원하는 마인크래프트 위장 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2018. 1. 15. 13:28

malwares.com 코드분석팀 분석 자료 1. 개요 최근 malwares.com에 한국어와 카카오톡 이미지를 사용하는 마인크래프트 위장 랜섬웨어가 발견 됐다. 특히 주목할 점은, 감염될 경우 접속하도록 공개한 URL이 2016년 8월에 배포돼 이슈였던 카카오톡 위장 랜섬웨어와 같은 주소였기 때문이다. 즉, 2016년 8월 이후 2018년 1월 현재까지도 배포되고 있는 것이다. 이에 최초 발견되었던 카카오톡 위장 랜섬웨어와 마인크래프트 위장 랜섬웨어의 차이를 확인해 보고자 한다. 2016년 관련 기사 보러가기 : [데일리시큐] 국내에서 제작한 카카오톡 위장 랜섬웨어 확인돼...주의 2. Hidden Tear 2016년 8월에 확인된 랜섬웨어는 교육용으로 깃허브에 공개된 랜섬웨어인 "Hidden Tear..

개발 중인 북한 관련 채굴 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2018. 1. 9. 11:48

malwares.com 코드분석팀 분석 자료 1. 개요 2018년 1월 8일 해외 보안회사 에어리언볼트(AlienVault)에서 최근 지속적으로 이슈가 되고 있는 모네로 채굴 악성코드에 대한 신규 샘플 분석 정보를 내놓았다. 신규 모네로 채굴 악성코드는 분석 결과 북한과 관련된 것으로 추정된다. 북한 정부 산하 해킹 그룹인 라자루스(Lazarus)가 최근 타겟을 금융 부분으로 옮긴 것과 같은 맥락으로 추정된다. AlienVault 분석 정보 : A North Korean Monero Cryptocurrency Miner 관련 기사 보러가기 : [서울경제] 가상화폐 채굴시켜 북한으로 송금하는 "악성코드" 발견돼 2. 분석 정보 에어리언 볼트에서 공개한 3개 샘플을 분석해보니 같은 악성코드 프로젝트의 결과물..

갑작스럽게 많아진 가상화폐 마이너. 이유는?

보안 정보/악성코드 관련 정보 malwares.com 2018. 1. 8. 14:46

malwares.com 코드분석팀 분석 자료 1. 개요 2017년은 랜섬웨어의 해였다고 볼 수 있을 정도로 강세였다. 하반기로 갈수록 비트코인 등 가상화폐의 관심이 높아지면서 이를 노린 가상화폐 마이너들이 급격히 증가했다. [ 그림 1. 가상화폐 마이너의 급격한 증가 그래프 ] 관련 기사 보러가기 : [보안뉴스] 가상화폐 광풍이 불러온 '채굴 악성코드'의 진화 이번에 분석한 악성코드 또한 가상화폐 마이너로 사용자 PC의 리소스를 사용해 특정 가상화폐를 채굴하는 기능을 가지고 있는 것으로 나타났다. 상세한 분석을 통해서 어떻게 채굴하는지 알아보자. 관련 기사 보러가기 : [아이뉴스24] 비트코인 악성코드 10월 기점 "폭발적 증가" 2. 가상화폐 "모네로" 분석 대상 샘플은 가상화폐 중 '모네로'를 채굴하..

페이스북 메신저를 통해 배포된 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 12. 18. 17:05

malwares.com 코드분석팀 분석 자료 1. 개요 2017년 12월 17일 일요일 오후, 친구가 페이스북 메신저로 파일을 전송했다. 파일명은 Video.67846746.mp4.exe. 친구는 자신이 파일을 보낸 사실조차 모르고 있었다. 무슨 파일일까?그 후 같은 경험을 한 사람들이 페이스북에 글을 올리기 시작했다. 이렇게 파일을 배포한 해커는 무엇을 목표로 이렇게 동시다발적으로 유포를 시도했을까? 파일을 통해 확인해 보자. 관련 기사 보러가기 : 보안뉴스 [긴급] 페이스북 메신저로 온 video.xxxx.zip 파일의 정체 2. 분석 정보 [ 그림1. AutoIt 소스코드 ] URL : http://byclixe.ozivu.bid/api/apple/config.phpUser-Agent : Miner..

CVE-2017-8759 : WSDL 파서 코드 인젝션

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 25. 16:56

malwares.com 코드분석팀 분석 자료 1. 개요 최근 CVE-2017-8759로 명명된 제로데이 취약점의 POC가 공개되었고 핀피셔(FinFisher)는 해당 취약점을 이용해 RTF(Rich Text Format) 문서를 작성했고, 이 파일을 통해서 감시소프트웨어 Finspy 를 러시아어 사용자들을 감염시키기도 하였다. 또한 해당 취약점은 많은 악성코드 제작자들이 사용하고 있고, .NET framework의 대부분 버전에서 발생하기 때문에 매우 크리티컬한 취약점이다.분석을 통해 해당 취약점이 왜 동작하고, 어떻게 동작하는지 알아보고 현재 어떻게 패치되었는지 알아보자. ※ 참고 : 분석 정보에 나오는 "vuln.kr" 과 "hack.kr"은 내부 분석을 위해 사용된 분석가 도메인으로 악성 도메인은 ..

PostScript를 이용한 한글 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 18. 16:18

malwares.com 코드분석팀 분석 자료 1. 개요 최근 북한의 사이버 공격 그룹이 세금관련 한글문서를 이용해 국내 가상화폐 기업을 공격한 사례가 보도된 바 있다. 해당 북한 공격그룹은 TEMP.Hermit로 다음의 문서 파일을 통해 PEACHPIT 악성코드를 유포했다. 세무조사준비서류.hwp 법인(개인)협의거래보고내역.hwp납세담보변경요구서.hwp환전_해외송금_한도_및_제출서류.hwp2017년5월까지감지된유사수신행위와법률적조치.hwp국내가상화폐의유형별현황및향후전망.hwp이러한 악성 문서 파일들은 최근 유행하는 한글 파일내에 EPS (Encapsulated PostScript) 를 삽입해 동작시키는 형태이다. EPS는 Adobe 측에서 공개한 언어로 인터프리터인 GhostScript를 이용해 문서나 ..

vmware 파일로 위장한 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 13. 08:48

malwares.com 코드분석팀 분석 자료 1. 개요 실행된 파일명이 vmtoolsd.exe 이어야 동작하는 코드를 발견했다. VM에 설치되어 호스트에 영향을 끼치기 위한것인가? 아니면 단순히 분석가에게 걸리지 않기 위함인가? 하지만 설치되어있는 경로가 이상하다. 분석을 통해 C2 서버와 무슨 행위를 하는지 파악해보자 2. 분석 정보 분석 대상 악성코드는 관리자 패스워드 탈취, 원격 명령 실행이 가능한 백도어의 기능을 한다.C2 Server를 가지고 있으며, 파일 드랍의 기능을 가지고 있으나 현재는 동작하고 있지 않다. 다른 포함한 기능을 살펴보며 분석한다. (1) 시작 프로그램의 시작지점인 WinMain을 분석해보면 실행된 자기프로세스가 시스템 디렉토리에 “..

닷넷으로 위장한 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 8. 29. 17:25

malwares.com 코드분석팀 분석 자료 1. 개요 예전에 등장한 백도어로 보이는 파일이 최근에도 유입되고 있었다. 수 많은 랜섬웨어가 등장하고 있지만, 최근에 파밍, 뱅킹, 백도어등 타 악성코드들이 모습을 보이고 있는 추세이다. 백도어로 추정되는 악성코드 분석을 통해 악성코드의 세부 동작과 악성코드 유포자의 의도가 무엇인지 알아보자. 2. 분석 정보 분석 대상 악성코드는 관리자 패스워드 탈취, 원격 명령 실행이 가능한 백도어의 기능을 한다.C2 Server를 가지고 있으며, 파일 드랍의 기능을 가지고 있으나 현재는 동작하고 있지 않다. 다른 포함한 기능을 살펴보며 분석한다. (1) 시작 해당 악성코드를 실행하게 되면, 처음 동작의 경우에는 서비스에 등록하게 되며,..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바