malwares.com Official Blog

보안 정보/악성코드 관련 정보 (28)

의심스러운 설치파일 분석보고서

보안 정보/악성코드 관련 정보 malwares.com 2017. 5. 22. 18:05

malwares.com 코드분석팀 분석 자료 1. 개요 드랍퍼로 보이는 파일을 수집했다. IDA로 열어보니 평소에 자주보던 설치패키지가 아니다. 이 설치 파일은 어떠한 동작을 할까. 분석을 통해서 알아보자. 2. 분석 정보 IDA로 분석대상을 열어보면 임시폴더에 caoyuanwl 폴더를 생성한다. 현재 바이너리에서 특정한 영역을 복호화하여 [Figure 0] 에서 생성한 임시폴더에 파일을 생성한다. 임시폴더에 9개의 파일이 생겨났다. 각각의 파일은 PE파일로 동작가능하나, exe의 확장자를 가지고 있지않아 다른 파일에서 호출을 통해서만 사용가능 하다. 생성..

안드로이드 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 3. 30. 19:05

malwares.com 코드분석팀 분석 자료 1. 개요 - 안드로이드 악성코드는 예전보다 줄었지만, 어플리케이션을 크랙해 소스코드를 무단도용하는 사례가 많아지게 되었다. 2017년, 안드로이드 패커도 많이 등장했으나, 지금도 해커들과 창과 방패의 싸움을 진행중이다. 분석을 방해하기 위한 기법을 사용한 악성 어플리케이션 분석을 통해서 알아보자. 관련 기사 : (2016.12.27) [애플경제] 오늘의 앱 이야기 50 2. 분석 정보 분석을 시도할 샘플을 분석용 단말에 설치하여 확인해보면 크롬브라우저 어플리케이션과 똑같이 생겨서 정상 어플리케이션과 악성 어플리케이션의 구분이 가지 않는다. 실행했을 때, 기기 관리자 권한획득을..

리눅스에서 랜섬웨어는 무슨 차이가 있을까

보안 정보/악성코드 관련 정보 malwares.com 2017. 3. 3. 14:39

malwares.com 코드분석팀 분석 자료 1. 개요 - 2017년 2월, 리눅스를 타겟으로한 랜섬웨어가 발견되었다. 이 랜섬웨어는 2015년 우크라이나의 국가 인프라를 공격하는데 사용되었던 KillDisk의 변종인것으로 알려졌다. 랜섬웨어에 감염 될 경우 $250K(약 3억)을 요구한다. 그러나 해외 기사에 따르면 키를 서버로 전송하거나 저장하지 않으므로, 복구 비용을 지불하더라도 복구를 할 수 없고, 취약점이 존재해 복구가 가능하지만 이 또한 어렵다고 한다. 분석을 통해서 자세히 알아보자. 관련 기사 : (2017.01.10) [데일리시큐] 리눅스 컴퓨터 암호화하는 KillDisk 악성코드 변종 발견 2. 분석 정보 리눅스의 모든 디렉토리를 crypto_loc..

10만원. 싼맛에 복호화 하렴 Erebus 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2017. 2. 20. 19:08

malwares.com 코드분석팀 분석 자료 1. 개요 - 2017년 2월, 랜섬웨어로 인한 감염은 계속되고 있으며, 값은 지속적으로 오르고있다. 그로 인해 비트코인 시장까지 활성화 되어 1년동안 비트코인의 가치는 2배가 뛰었다. 이번에 한국에 등장한 Erebus 랜섬웨어는 $90(10만원 상당) 을 요구해 "저가형 랜섬웨어" 로 불리고 있다. 타 랜섬웨어와 다른점이 가격말고 무엇이 있을지 분석해보았다. 관련 기사 : (2017.02.17) [보안뉴스] 10만원만 줘! 저가형 랜섬웨어 '에레보스' 등장 2. 분석 정보 프로그램에서는 제일 먼저 가상환경을 탐지해낸다. 3가지 방법으로 탐지를 시도해내고 있으며 탐지 될 경우, 종료한다. 이로 인해 행위 분석으로는 결과가 나오..

목적을 알 수 없는 봇넷

보안 정보/악성코드 관련 정보 malwares.com 2017. 2. 15. 17:18

malwares.com 코드분석팀 분석 자료 1. 개요 분석 대상 샘플은 2016년 초부터 꾸준히 배포/보고되고 있는 악성코드로 감염된 사용자 PC에서 지속적으로 동작하면서 서버와 통신 및 기능 업데이트를 하는 형태의 악성코드이다. 본 악성코드의 특이한 점은 업데이트등을 위해 접근하는 C2 서버는 과거 악성으로 사용된 이력이 없는 신규 등록 도메인이라는 점과 업데이트를 제외한 악성으로 의심할 만한 어떠한 동작도 하지 않는다는 점이다. 또한 해당 악성코드는 하루에도 3~4차례 업데이트가 이루어지고 있는 등 봇넷은 구성되고 있지만 탐지/차단이 매우 어려운 상황이다. 버전 : 1.0.0.455 ~ 1.0.275.3232유사 변종 샘플 수 : 약 1100여개유포/배포 URL : 800여개 2. 분석 정보 (1)..

Marlboro 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2017. 1. 12. 11:32

malwares.com 코드분석팀 분석 자료 1. 개요 - 2017년 1월, 배포된 랜섬웨어 중 Marlboro 랜섬웨어로 명명된 랜섬웨어가 있었다. Marlboro 랜섬웨어는 몇일 뒤, 복호화 도구가 배포되었지만 제한적으로 복구가 가능하다. 어떤 이유로 완전한 복구가 불가능한지, 분석을 통해서 확인해보자. [2017년 2월 1일 수정] 이번 주말 emsisoft측이 DDOS 공격을 받았다고한다. DDOS공격자는 랜섬웨어 제작자로 추정되고 있으며, 랜섬웨어 복호화 도구를 배포한것에 대한 보복성 공격으로 추측하고 있다고한다. https://www.bleepingcomputer.com/news/security/emsisoft-website-hit-by-ddos-attack-as-company-releases..

케르베르 (Cerber) 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2017. 1. 2. 15:00

malwares.com 코드분석팀 분석 자료 1. 개요 이제 작년이 되어버린 2016년 3월 다수의 랜섬웨어 중 눈에 띄는 랜섬웨어가 있었다. 케르베르(Cerber) 랜섬웨어가 바로 그것이다. 케르베르 랜섬웨어는 기존의 랜섬웨어와 같이 문서, 이미지 등 사용자의 중요 데이터를 암호화 후 금전을 요구하는 형태를 띄고 있지만 이전 랜섬웨어에서는 볼 수 없었던 특징을 갖고 있었다. 음성지원 (3월경 발견된 케르베르 랜섬웨어) 이후 업그레이드를 통해 다음과 같은 기능도 추가되었다. 다국어 지원 (10월경 발견된 케르베르 랜섬웨어) 즉, 케르베르 랜섬웨어에 감염된 경우 스피커를 통해 감염 관련 정보를 음성으로 전달하거나 다양한 언어를 지원해 감염 사실을 통보하거나 요금 지불을 좀 더 용이하도록 하는 친절함(?)을..

대북 관련 APT 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 11. 18. 14:21

malwares.com 코드분석팀 분석 자료 1. 개요 malwares.com에서 한글 악성코드문서를 수집했다. 기존 매크로형태의 악성코드가 아닌, 한글프로그램의 취약점을 이용한 악성코드이므로 문서 파일을 실행해보는 것만으로도 동작한다. 악성코드가 실행될 경우, 추가적으로 악성코드를 내려받아서 실행시킨다. 현재는 추가적으로 다운로드되는 사이트가 닫혀있어 동작하지않지만 같은 취약점을 이용한 유사 악성코드가 유포되면 큰 파장이 예상된다. 한글 문서의 분석을 통해 악성코드의 동작을 살펴보자. 관련기사 : '최순실 국정농단' 악성코드 메일 유포... 경찰 수사 2. 악성코드 정보SHA-256 : 0D56C5F20B2DA3659F05D613D3FAEB41D9E82A45E9161C3B48805EBB7B2730B9제..

금융권 파밍 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 11. 14. 16:37

malwares.com 코드분석팀 분석 자료 1. 개요 랜섬웨어의 눈부신 활약에 가려져 있지만 금융권 파밍 악성코드는 꾸준히 자신의 역할(?)을 해 나가고 있다. 최근 유포되고 있는 파밍 악성코드는 인터넷 설정의 프록시 설정을 조작해 감염된 PC 사용자가 인터넷에 접속시 파밍 동작을 수행한다. 이때 파밍에 사용되는 정보 중 일부는 악성코드 샘플내에 암호화되어 저장되어 별도로 저장되어 있어 실제 악성코드를 실행하기 이전까지 그 정보를 확인하기 어렵게 되어 있다. 파밍 악성코드 분석을 통해 악성코드의 세부 동작과 악성코드 유포자의 의도가 무엇인지 알아보자. 2. 분석 정보 분석 대상 악성코드는 금융권을 대상으로 한 악성코드인 만큼 금융 거래에 필요한 정보 탈취를 목적으로 한다. [ 탈취 대상 개인 정보 ]공..

연휴기간 동안 발생한 보안사고 정리

보안 정보/악성코드 관련 정보 malwares.com 2016. 10. 4. 08:49

1. 한국은행 백신 오작동으로 인한 인터넷 PC 184대 장애 10월 1일 금융기관이라고 알려진 곳에서 PC 140여대가 사이버 공격으로 의심되는 현상이 발견됐다는 뉴스기사가 나왔다. 사이버 공격으로 알려진 현상은 C 드라이브부터 순차적으로 파일 삭제가 이루어지고 C:\Windows 내 파일이 삭제되면서 PC 장애가 발생한 것이다. 해당 현상이 발생된 PC를 리부팅하면 윈도우 파일 손상으로 진행 불가 메시지가 발생하며 MBR 파괴와 같은 별도의 동작은 확인되지 않았다. 해당 사건은 9월 29일 13시부터 최초 PC 장애가 발생했으며 10월 3일 금융기관이 한국은행으로 최종 확인되어 보도되었으며 피해 PC는 184대이며 한국은행에서 사용하고 있는 백신 오작동으로 인해 발생한 것으로 추정되고 있다. 또한 최..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바