malwares.com Official Blog

보안 정보 (52)

많은 서버에서 유포되는 백도어 NetSyst96.dll

보안 정보/악성코드 분석보고서 malwares.com 2017. 11. 2. 19:08

malwares.com 코드분석팀 분석 자료 1. 개요 malwares.com을 통해 유입된 해당 악성코드는 외부로부터 다운로드 받는 파일이 암호화돼 있었다. 이력을 확인해 본 결과, 2015년부터 지금까지 유포되고 있는 악성코드임을 알 수 있다. 그 이전부터 유포됐을 가능성도 배제할 수 없으며, 많은 서버에서 유포되고 있어 저명한 악성코드로 추측하고 있다. 그러나 해당 샘플이 어디서 공유되고 있는 지는 알 수 없다. 어떻게 같은 샘플을 가지고 서로다른 많은 공격자가 사용하는지 분석을 통해 알아 보자. 2. 분석 정보 (1) Dropper szUrl : 4jNnIiz7AYwSsF0fDp4YatEvOJXt+j7K4eauVpX6VwkjB7o=Decode szUrl : http..

CVE-2017-8759 : WSDL 파서 코드 인젝션

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 25. 16:56

malwares.com 코드분석팀 분석 자료 1. 개요 최근 CVE-2017-8759로 명명된 제로데이 취약점의 POC가 공개되었고 핀피셔(FinFisher)는 해당 취약점을 이용해 RTF(Rich Text Format) 문서를 작성했고, 이 파일을 통해서 감시소프트웨어 Finspy 를 러시아어 사용자들을 감염시키기도 하였다. 또한 해당 취약점은 많은 악성코드 제작자들이 사용하고 있고, .NET framework의 대부분 버전에서 발생하기 때문에 매우 크리티컬한 취약점이다.분석을 통해 해당 취약점이 왜 동작하고, 어떻게 동작하는지 알아보고 현재 어떻게 패치되었는지 알아보자. ※ 참고 : 분석 정보에 나오는 "vuln.kr" 과 "hack.kr"은 내부 분석을 위해 사용된 분석가 도메인으로 악성 도메인은 ..

PostScript를 이용한 한글 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 18. 16:18

malwares.com 코드분석팀 분석 자료 1. 개요 최근 북한의 사이버 공격 그룹이 세금관련 한글문서를 이용해 국내 가상화폐 기업을 공격한 사례가 보도된 바 있다. 해당 북한 공격그룹은 TEMP.Hermit로 다음의 문서 파일을 통해 PEACHPIT 악성코드를 유포했다. 세무조사준비서류.hwp 법인(개인)협의거래보고내역.hwp납세담보변경요구서.hwp환전_해외송금_한도_및_제출서류.hwp2017년5월까지감지된유사수신행위와법률적조치.hwp국내가상화폐의유형별현황및향후전망.hwp이러한 악성 문서 파일들은 최근 유행하는 한글 파일내에 EPS (Encapsulated PostScript) 를 삽입해 동작시키는 형태이다. EPS는 Adobe 측에서 공개한 언어로 인터프리터인 GhostScript를 이용해 문서나 ..

vmware 파일로 위장한 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 13. 08:48

malwares.com 코드분석팀 분석 자료 1. 개요 실행된 파일명이 vmtoolsd.exe 이어야 동작하는 코드를 발견했다. VM에 설치되어 호스트에 영향을 끼치기 위한것인가? 아니면 단순히 분석가에게 걸리지 않기 위함인가? 하지만 설치되어있는 경로가 이상하다. 분석을 통해 C2 서버와 무슨 행위를 하는지 파악해보자 2. 분석 정보 분석 대상 악성코드는 관리자 패스워드 탈취, 원격 명령 실행이 가능한 백도어의 기능을 한다.C2 Server를 가지고 있으며, 파일 드랍의 기능을 가지고 있으나 현재는 동작하고 있지 않다. 다른 포함한 기능을 살펴보며 분석한다. (1) 시작 프로그램의 시작지점인 WinMain을 분석해보면 실행된 자기프로세스가 시스템 디렉토리에 “..

닷넷으로 위장한 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 8. 29. 17:25

malwares.com 코드분석팀 분석 자료 1. 개요 예전에 등장한 백도어로 보이는 파일이 최근에도 유입되고 있었다. 수 많은 랜섬웨어가 등장하고 있지만, 최근에 파밍, 뱅킹, 백도어등 타 악성코드들이 모습을 보이고 있는 추세이다. 백도어로 추정되는 악성코드 분석을 통해 악성코드의 세부 동작과 악성코드 유포자의 의도가 무엇인지 알아보자. 2. 분석 정보 분석 대상 악성코드는 관리자 패스워드 탈취, 원격 명령 실행이 가능한 백도어의 기능을 한다.C2 Server를 가지고 있으며, 파일 드랍의 기능을 가지고 있으나 현재는 동작하고 있지 않다. 다른 포함한 기능을 살펴보며 분석한다. (1) 시작 해당 악성코드를 실행하게 되면, 처음 동작의 경우에는 서비스에 등록하게 되며,..

의심스러운 설치파일 분석보고서

보안 정보/악성코드 관련 정보 malwares.com 2017. 5. 22. 18:05

malwares.com 코드분석팀 분석 자료 1. 개요 드랍퍼로 보이는 파일을 수집했다. IDA로 열어보니 평소에 자주보던 설치패키지가 아니다. 이 설치 파일은 어떠한 동작을 할까. 분석을 통해서 알아보자. 2. 분석 정보 IDA로 분석대상을 열어보면 임시폴더에 caoyuanwl 폴더를 생성한다. 현재 바이너리에서 특정한 영역을 복호화하여 [Figure 0] 에서 생성한 임시폴더에 파일을 생성한다. 임시폴더에 9개의 파일이 생겨났다. 각각의 파일은 PE파일로 동작가능하나, exe의 확장자를 가지고 있지않아 다른 파일에서 호출을 통해서만 사용가능 하다. 생성..

안드로이드 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 3. 30. 19:05

malwares.com 코드분석팀 분석 자료 1. 개요 - 안드로이드 악성코드는 예전보다 줄었지만, 어플리케이션을 크랙해 소스코드를 무단도용하는 사례가 많아지게 되었다. 2017년, 안드로이드 패커도 많이 등장했으나, 지금도 해커들과 창과 방패의 싸움을 진행중이다. 분석을 방해하기 위한 기법을 사용한 악성 어플리케이션 분석을 통해서 알아보자. 관련 기사 : (2016.12.27) [애플경제] 오늘의 앱 이야기 50 2. 분석 정보 분석을 시도할 샘플을 분석용 단말에 설치하여 확인해보면 크롬브라우저 어플리케이션과 똑같이 생겨서 정상 어플리케이션과 악성 어플리케이션의 구분이 가지 않는다. 실행했을 때, 기기 관리자 권한획득을..

리눅스에서 랜섬웨어는 무슨 차이가 있을까

보안 정보/악성코드 관련 정보 malwares.com 2017. 3. 3. 14:39

malwares.com 코드분석팀 분석 자료 1. 개요 - 2017년 2월, 리눅스를 타겟으로한 랜섬웨어가 발견되었다. 이 랜섬웨어는 2015년 우크라이나의 국가 인프라를 공격하는데 사용되었던 KillDisk의 변종인것으로 알려졌다. 랜섬웨어에 감염 될 경우 $250K(약 3억)을 요구한다. 그러나 해외 기사에 따르면 키를 서버로 전송하거나 저장하지 않으므로, 복구 비용을 지불하더라도 복구를 할 수 없고, 취약점이 존재해 복구가 가능하지만 이 또한 어렵다고 한다. 분석을 통해서 자세히 알아보자. 관련 기사 : (2017.01.10) [데일리시큐] 리눅스 컴퓨터 암호화하는 KillDisk 악성코드 변종 발견 2. 분석 정보 리눅스의 모든 디렉토리를 crypto_loc..

10만원. 싼맛에 복호화 하렴 Erebus 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2017. 2. 20. 19:08

malwares.com 코드분석팀 분석 자료 1. 개요 - 2017년 2월, 랜섬웨어로 인한 감염은 계속되고 있으며, 값은 지속적으로 오르고있다. 그로 인해 비트코인 시장까지 활성화 되어 1년동안 비트코인의 가치는 2배가 뛰었다. 이번에 한국에 등장한 Erebus 랜섬웨어는 $90(10만원 상당) 을 요구해 "저가형 랜섬웨어" 로 불리고 있다. 타 랜섬웨어와 다른점이 가격말고 무엇이 있을지 분석해보았다. 관련 기사 : (2017.02.17) [보안뉴스] 10만원만 줘! 저가형 랜섬웨어 '에레보스' 등장 2. 분석 정보 프로그램에서는 제일 먼저 가상환경을 탐지해낸다. 3가지 방법으로 탐지를 시도해내고 있으며 탐지 될 경우, 종료한다. 이로 인해 행위 분석으로는 결과가 나오..

목적을 알 수 없는 봇넷

보안 정보/악성코드 관련 정보 malwares.com 2017. 2. 15. 17:18

malwares.com 코드분석팀 분석 자료 1. 개요 분석 대상 샘플은 2016년 초부터 꾸준히 배포/보고되고 있는 악성코드로 감염된 사용자 PC에서 지속적으로 동작하면서 서버와 통신 및 기능 업데이트를 하는 형태의 악성코드이다. 본 악성코드의 특이한 점은 업데이트등을 위해 접근하는 C2 서버는 과거 악성으로 사용된 이력이 없는 신규 등록 도메인이라는 점과 업데이트를 제외한 악성으로 의심할 만한 어떠한 동작도 하지 않는다는 점이다. 또한 해당 악성코드는 하루에도 3~4차례 업데이트가 이루어지고 있는 등 봇넷은 구성되고 있지만 탐지/차단이 매우 어려운 상황이다. 버전 : 1.0.0.455 ~ 1.0.275.3232유사 변종 샘플 수 : 약 1100여개유포/배포 URL : 800여개 2. 분석 정보 (1)..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바