malwares.com Official Blog

멀웨어즈닷컴 (68)

문서 파일내 DDE 기능을 활용한 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2017. 11. 13. 14:47

malwares.com 코드분석팀 분석 자료 1. 개요 2017년 10월 9일 SensePost의 블로그에 흥미로운 글이 게시됐다. 이는 오피스 문서 내 DDE(Dynamic Data Exchange) 기능을 활용해 임의의 코드 실행 관련 글로 매크로와 같은 스크립트를 삽입하는 과정이 상세히 나와있다. 또한 이렇게 악성 동작을 삽입한 스크립트는 안티 바이러스 업체에서 탐지가 불가능하다는 것도 보여주고 있다. 그 동안 Macro와 GhostScript(또는 PostScript) 기능을 이용한 형태에 다른 방식이 추가된 것이다. 문제는 대부분의 안티 바이러스 업체에서 이를 탐지하지 못하기 때문에 바이러스 진단에 있어 보안에 적신호가 켜진 것이다. 해당 글이 공개된 이후 연일 관련 뉴스들이 쏟아지고 있으며 그..

세인트시큐리티가 13주년을 맞이했습니다.

공지사항/세인트시큐리티 malwares.com 2017. 11. 1. 02:27

안녕하세요. 여러분!세인트시큐리티 대표이사 김기홍입니다. 여러분!세인트시큐리티가 벌써 13주년을 맞이 했습니다.와... 벌써 13주년이라니!!믿을 수가 없습니다! 저는 이제 한 2년 정도 사업을 한 것 같은데, 벌써 13주년이라는 시간이 지났네요.세월 참 빠릅니다. 한국의 아주 터프한 IT 보안 시장에서 13년을 망하지 않고 버텼다는 것.그리고 정말 20살 대학생이 맨손으로 창업해서 세인트시큐리티를 지금 여기까지 끌고 왔다는 것.정말 칭찬 받을 만한 일이죠? ^^ 감사합니다. 우리 임직원 모두, 정말 고생 많았습니다.이 미친 분들(세인트시큐리티 회사소개서에 우리 임직원은 정말 미친놈이라고 표현했습니다!)이 없었다면 저와 우리 세인트시큐리티는 13년을 버티지 못했을 것입니다. 감사합니다. 지금 함께 할 수..

CVE-2017-8759 : WSDL 파서 코드 인젝션

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 25. 16:56

malwares.com 코드분석팀 분석 자료 1. 개요 최근 CVE-2017-8759로 명명된 제로데이 취약점의 POC가 공개되었고 핀피셔(FinFisher)는 해당 취약점을 이용해 RTF(Rich Text Format) 문서를 작성했고, 이 파일을 통해서 감시소프트웨어 Finspy 를 러시아어 사용자들을 감염시키기도 하였다. 또한 해당 취약점은 많은 악성코드 제작자들이 사용하고 있고, .NET framework의 대부분 버전에서 발생하기 때문에 매우 크리티컬한 취약점이다.분석을 통해 해당 취약점이 왜 동작하고, 어떻게 동작하는지 알아보고 현재 어떻게 패치되었는지 알아보자. ※ 참고 : 분석 정보에 나오는 "vuln.kr" 과 "hack.kr"은 내부 분석을 위해 사용된 분석가 도메인으로 악성 도메인은 ..

PostScript를 이용한 한글 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 18. 16:18

malwares.com 코드분석팀 분석 자료 1. 개요 최근 북한의 사이버 공격 그룹이 세금관련 한글문서를 이용해 국내 가상화폐 기업을 공격한 사례가 보도된 바 있다. 해당 북한 공격그룹은 TEMP.Hermit로 다음의 문서 파일을 통해 PEACHPIT 악성코드를 유포했다. 세무조사준비서류.hwp 법인(개인)협의거래보고내역.hwp납세담보변경요구서.hwp환전_해외송금_한도_및_제출서류.hwp2017년5월까지감지된유사수신행위와법률적조치.hwp국내가상화폐의유형별현황및향후전망.hwp이러한 악성 문서 파일들은 최근 유행하는 한글 파일내에 EPS (Encapsulated PostScript) 를 삽입해 동작시키는 형태이다. EPS는 Adobe 측에서 공개한 언어로 인터프리터인 GhostScript를 이용해 문서나 ..

[MAX] 베타 1, 출시 50일.

공지사항/MAX malwares.com 2017. 3. 16. 17:29

안녕하세요.malwares.com TEAM 입니다. 오늘 3월 16일은 MAX 베타 1이 출시 된지 만 50일이 되는 날입니다.여러분들의 많은 성원과 관심속에, 세인트시큐리티의 개발자 분들의 MAX 베타 2 준비의 심적 압박이 나날이 증가하고 있습니다. (하지만 행복한 고민이 아닐 수 없습니다!! 많은 관심 계속 부탁드리고 감사드립니다.) MAX 베타 1 출시되고~50일 동안 어떤일이 일어났는지, 그리고 저희가 어떻게 유저분들에게 도움을 드렸는지 인포그래픽을 준비를 해보았습니다. MAX 는 정말 여러분들께 도움이 되었는지... 아래 내용을 한번 보시죠! 잘 보셨는지요!? 첫 베타 출시임에도 너무 잘 동작한 것 같고 또 실제 악성코드 감염으로 부터 많은 분들을 보호 해드린 것 같아 너무 뿌듯합니다. :) ..

목적을 알 수 없는 봇넷

보안 정보/악성코드 관련 정보 malwares.com 2017. 2. 15. 17:18

malwares.com 코드분석팀 분석 자료 1. 개요 분석 대상 샘플은 2016년 초부터 꾸준히 배포/보고되고 있는 악성코드로 감염된 사용자 PC에서 지속적으로 동작하면서 서버와 통신 및 기능 업데이트를 하는 형태의 악성코드이다. 본 악성코드의 특이한 점은 업데이트등을 위해 접근하는 C2 서버는 과거 악성으로 사용된 이력이 없는 신규 등록 도메인이라는 점과 업데이트를 제외한 악성으로 의심할 만한 어떠한 동작도 하지 않는다는 점이다. 또한 해당 악성코드는 하루에도 3~4차례 업데이트가 이루어지고 있는 등 봇넷은 구성되고 있지만 탐지/차단이 매우 어려운 상황이다. 버전 : 1.0.0.455 ~ 1.0.275.3232유사 변종 샘플 수 : 약 1100여개유포/배포 URL : 800여개 2. 분석 정보 (1)..

[보도자료] 멀웨어스닷컴 (malwares.com), 악성코드 검색 때 기업 정보 비공개

뉴스/Press Release malwares.com 2017. 2. 13. 13:54

안녕하세요.malwares.com 입니다. 지난 주 그것이 알고싶다 방영 이후 폭발적인 인기 상승을 느끼고 있는 월요일 오후 입니다.다들 주말은 잘 보내셨죠? 저희가 운영중인 malwares.com 이 해외에 서비스 되고 있는 VirusTotal 과 비교하여 많은 분들이 문의를 주고 계십니다.VirusTotal 은 아무래도 전 세계에서 수집한 풍부한 악성코드 데이터베이스가 아무래도 큰 자랑인데요, 그렇다 보니 수집된 파일이 외부로 노출 되거나 권한을 가진 일부 유료 사용자에게 그 정보와 샘플 파일이 고스란히 노출 되는 문제가 종종 있었습니다. 관련 기사 보기 : http://www.etnews.com/20170206000431 (전자신문) 저희 malwares.com 은 서비스 시작 때 부터 이런 상황에..

malwares.com TEAM, SBS 그것이 알고싶다 자문하다!

공지사항/malwares.com malwares.com 2017. 2. 12. 02:40

안녕하세요. malwares.com 입니다. 요즘 저희는 MAX 출시로 바쁜 나날을 보내고 있습니다. 여러분은 다들 잘 지내시는지요? 혹시 어제(2017년 2월 11일, 토요일) 방송된 SBS '그것이 알고 싶다' 프로그램을 보셨나요?우리나라에 다시는 있어서는 안 될 '선관위 DDoS 사건'에 대한 여러 의혹과 관련 사실에 대해서 방영을 했지요. 해당 방송 1063편에 세인트시큐리티 malwares.com TEAM이 출연을 했습니다. 물론 저희 김기홍 대표님도 함께 출연했지요. 관련된 내용에 진실에 더욱 가깝게 다가서기 위해서 기술적으로 필요한 내용을 설명을 드렸고, 일반인 분들도 알기 쉽게 가상의 시스템을 만들어 시연을 진행했습니다. 시청률이 10%가 넘게 나오는 공중파에 저희 모습이 많이 노출 되었는..

케르베르 (Cerber) 랜섬웨어

보안 정보/악성코드 관련 정보 malwares.com 2017. 1. 2. 15:00

malwares.com 코드분석팀 분석 자료 1. 개요 이제 작년이 되어버린 2016년 3월 다수의 랜섬웨어 중 눈에 띄는 랜섬웨어가 있었다. 케르베르(Cerber) 랜섬웨어가 바로 그것이다. 케르베르 랜섬웨어는 기존의 랜섬웨어와 같이 문서, 이미지 등 사용자의 중요 데이터를 암호화 후 금전을 요구하는 형태를 띄고 있지만 이전 랜섬웨어에서는 볼 수 없었던 특징을 갖고 있었다. 음성지원 (3월경 발견된 케르베르 랜섬웨어) 이후 업그레이드를 통해 다음과 같은 기능도 추가되었다. 다국어 지원 (10월경 발견된 케르베르 랜섬웨어) 즉, 케르베르 랜섬웨어에 감염된 경우 스피커를 통해 감염 관련 정보를 음성으로 전달하거나 다양한 언어를 지원해 감염 사실을 통보하거나 요금 지불을 좀 더 용이하도록 하는 친절함(?)을..

차세대 안티바이러스 MAX AI, 영국의 SE LABS 테스트를 통과하다!

공지사항/MAX malwares.com 2016. 12. 28. 17:17

안녕하세요.malwares.com 입니다. 저희가 최근에 머신 러닝 기술을 이용한 인공지능 차세대 안티바이러스 엔진을 개발 했습니다.이름은 MAX AI 라고 내부적으로 붙였고, 이 친구는 버전이라는 것을 붙이기는 애매해서 "세대" 라는 뜻에서 G1 을 붙이기로 했습니다. 잘 아시겠지만, 저희는 malwares.com 사이트와 서비스를 운영중에 있으며 여기로 부터 수집된 각종 정보를 기반으로 악성코드를 군으로 나눠서 학습 시키기 시작했습니다. 대표적인 악성코드의 종류 별 (바이러스, 웜, 스파이웨어, 랜섬웨어, 개인정보 탈취, 파밍, 피싱 등) 로 학습을 시켰고 이들과의 유사한 정보를 머신 러닝 알고리즘을 통해서 식별을 할 수 있도록 구현을 했습니다. 그 결과, 꽤 성능이 좋은 안티바이러스 엔진이 만들어졌..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바