malwares.com Official Blog

보안 정보/악성코드 분석보고서 (22)

대한민국을 노린 모바일 악성코드, 로밍 맨티스 캠페인!

보안 정보/악성코드 분석보고서 malwares.com 2018. 8. 22. 14:34

malwares.com 코드분석팀 분석 자료 1. 개요 2018년 4월, 카스퍼스키랩에서 로밍 ?맨티스(Roaming Mantis)라고 명명한 이 공격은 아시아(일본, 한국, 방글라데시)의 사용자들을 대상으로 스마트폰을 감염시킨다는 게시글을 게시했습니다. 해당 악성코드에 감염되기 이전의 사용자들은 네이버, 페이스북, 다음과 같은 사이트에 접근할 때 공격자가 의도한 페이지로 ?리다이렉트(redirect)되어 페이스북이나 크롬으로 위장한 악성코드가 설치됩니다. 공유기 설정 페이지에서 DNS 변조를 통해 악성코드가 유포된 것은유포된것은 매우 오래된 공격으로 아직 많이 이용되고 있을 뿐이므로 공유기 설정에 대한 기본 암호를 변경하는 것이 중요합니다. 그 이후, 카스퍼스키랩은 새로 나타나고 있는 로밍 ?맨티스 그..

문서 파일내 DDE 기능을 활용한 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2017. 11. 13. 14:47

malwares.com 코드분석팀 분석 자료 1. 개요 2017년 10월 9일 SensePost의 블로그에 흥미로운 글이 게시됐다. 이는 오피스 문서 내 DDE(Dynamic Data Exchange) 기능을 활용해 임의의 코드 실행 관련 글로 매크로와 같은 스크립트를 삽입하는 과정이 상세히 나와있다. 또한 이렇게 악성 동작을 삽입한 스크립트는 안티 바이러스 업체에서 탐지가 불가능하다는 것도 보여주고 있다. 그 동안 Macro와 GhostScript(또는 PostScript) 기능을 이용한 형태에 다른 방식이 추가된 것이다. 문제는 대부분의 안티 바이러스 업체에서 이를 탐지하지 못하기 때문에 바이러스 진단에 있어 보안에 적신호가 켜진 것이다. 해당 글이 공개된 이후 연일 관련 뉴스들이 쏟아지고 있으며 그..

많은 서버에서 유포되는 백도어 NetSyst96.dll

보안 정보/악성코드 분석보고서 malwares.com 2017. 11. 2. 19:08

malwares.com 코드분석팀 분석 자료 1. 개요 malwares.com을 통해 유입된 해당 악성코드는 외부로부터 다운로드 받는 파일이 암호화돼 있었다. 이력을 확인해 본 결과, 2015년부터 지금까지 유포되고 있는 악성코드임을 알 수 있다. 그 이전부터 유포됐을 가능성도 배제할 수 없으며, 많은 서버에서 유포되고 있어 저명한 악성코드로 추측하고 있다. 그러나 해당 샘플이 어디서 공유되고 있는 지는 알 수 없다. 어떻게 같은 샘플을 가지고 서로다른 많은 공격자가 사용하는지 분석을 통해 알아 보자. 2. 분석 정보 (1) Dropper szUrl : 4jNnIiz7AYwSsF0fDp4YatEvOJXt+j7K4eauVpX6VwkjB7o=Decode szUrl : http..

봇넷 관련 악성코드 (systemsv08.exe)

보안 정보/악성코드 분석보고서 malwares.com 2016. 9. 22. 14:33

malwares.com 코드분석팀 분석 자료 1. 개요 최근 3개월전부터 급격히 활동하고 있는 악성코드로 외부 서버에 접속해 추가 악성코드 다운로드 및 실행을 목적으로 한다. 다운로드된 악성코드는 사용자의 인터넷 접속에 따른 동작 우회나 파밍 기능이 있는 Proxy를 설치하고 또 다른 외부 서버에 접속하는 등의 동작을 수행한다. 2. Anti-Virus 진단 정보 파일 크기 : 150,016 bytesSHA-256 : 361B40B2E5A2D9DA0BBD36EACF6976D0B55F7F74EAE57E9FAE744E905F9B2CAB연관 태그 정보 : #exe_32bit, #autorun #peexe유입 파일명 : systemsv08.exe, 193cscacqcqwefqwfqw.exe악성코드 저장경로 : ..

랜섬웨어 복구 프로그램 종류와 원리

보안 정보/악성코드 분석보고서 malwares.com 2016. 5. 2. 16:37

1. 개요 악성코드에서 랜섬웨어의 비중이 크게 증가했고, 그 종류 또한 무척 다양해졌다. 2016년 등장한 랜섬웨어 JobCrypt, PadCrypt, HydraCrypt, Radament, Virus-Encoder, DMALocker, 7ev3n, Ransom32, Lechiffre, UmbreCrypt, CryptoJoker, NanoLocker, Locky, Surprise, Maktub, SAMAS, CryptoHost, KimcilWare, Enigma, GNL Locker, CryptoHitman, Crypren, Mischa, CryptXXX, Jigsaw, Petya, TeslaCrypt 랜섬웨어는 특징상 감염될 경우 금전적인 이익 (비트코인, 선불 카드 등) 을 요구하게 되고 중요 파일이..

[상세보고서] 우크라이나 정전사태 관련 악성코드 (update. 2016.03.25)

보안 정보/악성코드 분석보고서 malwares.com 2016. 2. 16. 21:11

malwares.com 악성코드 분석팀 분석 자료 update. 2016.03.25우크라이나의 정전사태에 대한 상세보고서가 최초 공개됐다. 관련 기사 보러가기 : [데일리시큐] 우크라이나 전력그리드 사이버공격 기법 상세보고서 최초 공개... 다운로드 [DarkReading] Lessons From The Ukraine Electric Grid Hack분석 보고서 다운로드 : [E-ISAC] Documents-E-ISAC_SANS_Ukraine_DUC_18Mar2016.pdf update. 2016.03.07우크라이나의 대규모 정전사태에 대해 ICS-CERT에서 다음과 같은 보고서를 공개했다. 해당 보고서에서 "우크라이나 정전사태는 CyberAttack이며 함께 발견된 ..

[상세보고서] 게임 모니터링 프로그램 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2016. 1. 27. 18:29

malwares.com 악성코드 분석팀 분석 자료 1. 분석의 시작 [Figure 1. 관련 기사 ( 출처: KBS 2016년 1월 17일)] 위 사진은 2016년 1월 중순 사회적으로 이슈가 된 기사이다. 이 기사를 살펴보면,인터넷 도박게임에서 상대방의 모니터를 확인할 수 있는 악성코드를 활용한 조직이 검거되었다는 사실을 알 수 있다. 게임에서 상대방의 패를 확인할 수 있는 이 악성코드에 대해 궁금증이 생겨, 유사한 형태의 악성코드를 malwares.com을 통해 찾아보았다. [ Figure 2. malwares.com에서 탐지명을 통해 게임 관련 파일 검색 ] 2. Anti-Virus 진단 정보파일명 : Setup.exeSHA-256 : 761563DF..

[상세보고서] APT : 악성 한글 파일을 통해 확산되는 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2016. 1. 19. 11:44

malwares.com 악성코드 분석팀 분석 자료 1. 개요 한글과 컴퓨터(이하 한컴)의 한글 에디터는 국내에서 가장 많이 사용하는 문서 에디터일 것이다. 특히 관공서에서 적극적으로 활용한다는 점은 이를 대상으로 하는 악성코드가 많이 발견되는 이유이기도 하다. 주로 메일을 통해 전달된 악성 한글 파일을 열람하는 사람의 PC를 공격대상으로 하거나 한글 에디터 자체를 공격 대상으로 삼는다. 상세 분석 정보 보러가기 : [상세보고서] 감염된 한컴 오피스 파일 관련 악성코드 악성 한글 파일은 대부분은 한글 에디터에서 한글 문서 파일을 읽어들이는 과정에서 발생하는 취약점을 이용하며 이를 통해 문서 파일 내부의 악성코드가 실행되어 2차, 3차 피해를 유발한다. 국내..

[상세보고서] Offline Ransomware

보안 정보/악성코드 분석보고서 malwares.com 2015. 12. 23. 10:42

malwares.com 악성코드 분석팀 분석 자료 0. 개요 2015년을 강타한 보안 키워드를 꼽자면 단연 랜섬웨어 일 것이다. 랜섬웨어는 PC에서 모바일에 이르기까지 모든 디바이스를 대상으로 하는 악성코드로 발전했다. 이는 과거 수동적이던 악성코드 수익 모델을 적극적인 형태로 변환한 대표 사례일 것이다. 1. Version History 및 동작 시나리오 [Figure 1. Offline Ransomware Version History (출처: CheckPoint)] "Offline" Ransomware는 러시아에서 주로 활동하는 랜섬웨어로 Cryptolocker와 같이 기존에 알려진 파일 암호화 형태의 Ransomware와 다르게 복호화를 위한 키가 외부 서버가..

[상세보고서] W32.Fareit

보안 정보/악성코드 분석보고서 malwares.com 2015. 11. 18. 01:17

malwares.com 악성코드 분석팀 분석 자료 1. 개요 다이어(W32.Dyre) 악성코드를 기억하는가? 다이어 악성코드와 관련된 것으로 언급된 다수의 악성코드군이 있었다. W32.Fareit도 그 중 하나였다. 다이어 악성코드가 금융정보만을 대상으로 했다면 W32.Fareit은 이메일, FTP 계정정보부터 비트코인에 이르기까지많은 사용자가 아이디, 패스워드를 입력할 만한 모든 프로그램을 대상으로 사용자 정보를 탈취한다. - 이메일 : outlook, Thunderbird 등 6종- 웹 브라우저 : Internet Explorer, Chrome 등 6종- FTP 프로그램 : FileZilla, ALFTP 등 45종- 비트코인 : Litecoin, Terracoin 등 35종..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바