malwares.com Official Blog

악성코드감염 (9)

연휴기간 동안 발생한 보안사고 정리

보안 정보/악성코드 관련 정보 malwares.com 2016. 10. 4. 08:49

1. 한국은행 백신 오작동으로 인한 인터넷 PC 184대 장애 10월 1일 금융기관이라고 알려진 곳에서 PC 140여대가 사이버 공격으로 의심되는 현상이 발견됐다는 뉴스기사가 나왔다. 사이버 공격으로 알려진 현상은 C 드라이브부터 순차적으로 파일 삭제가 이루어지고 C:\Windows 내 파일이 삭제되면서 PC 장애가 발생한 것이다. 해당 현상이 발생된 PC를 리부팅하면 윈도우 파일 손상으로 진행 불가 메시지가 발생하며 MBR 파괴와 같은 별도의 동작은 확인되지 않았다. 해당 사건은 9월 29일 13시부터 최초 PC 장애가 발생했으며 10월 3일 금융기관이 한국은행으로 최종 확인되어 보도되었으며 피해 PC는 184대이며 한국은행에서 사용하고 있는 백신 오작동으로 인해 발생한 것으로 추정되고 있다. 또한 최..

도널드 트럼프 랜섬웨어?

보안 정보/악성코드 관련 정보 malwares.com 2016. 9. 27. 12:12

malwares.com 코드분석팀 분석 자료 1. 개요 미국 대선 경쟁이 치열한 가운데 랜섬웨어에 대한 많은 정보가 교류되는 BleepingComputer에서 도널드 트럼프 랜섬웨어 정보가 게시되었다. 아직 개발자 버전으로 추정되는 해당 파일은 파일 암/복호화 기능은 있지만 비활성화된 상태로 향후 정식버전 랜섬웨어가 발견되지 않을까 생각된다. 원문보기 : The Donald Trump Ransomware tries to Build Walls around your Files 2. Anti-Virus 진단 정보 파일 크기 : 92,160 bytesSHA-256 : 4CEA9DBC941756F7298521104001BC20CB73CFDDA06A60A9E90760188661F5E4연관 태그 정보 : #exe_3..

봇넷 관련 악성코드 (systemsv08.exe)

보안 정보/악성코드 분석보고서 malwares.com 2016. 9. 22. 14:33

malwares.com 코드분석팀 분석 자료 1. 개요 최근 3개월전부터 급격히 활동하고 있는 악성코드로 외부 서버에 접속해 추가 악성코드 다운로드 및 실행을 목적으로 한다. 다운로드된 악성코드는 사용자의 인터넷 접속에 따른 동작 우회나 파밍 기능이 있는 Proxy를 설치하고 또 다른 외부 서버에 접속하는 등의 동작을 수행한다. 2. Anti-Virus 진단 정보 파일 크기 : 150,016 bytesSHA-256 : 361B40B2E5A2D9DA0BBD36EACF6976D0B55F7F74EAE57E9FAE744E905F9B2CAB연관 태그 정보 : #exe_32bit, #autorun #peexe유입 파일명 : systemsv08.exe, 193cscacqcqwefqwfqw.exe악성코드 저장경로 : ..

[상세보고서] 우크라이나 정전사태 관련 악성코드 (update. 2016.03.25)

보안 정보/악성코드 분석보고서 malwares.com 2016. 2. 16. 21:11

malwares.com 악성코드 분석팀 분석 자료 update. 2016.03.25우크라이나의 정전사태에 대한 상세보고서가 최초 공개됐다. 관련 기사 보러가기 : [데일리시큐] 우크라이나 전력그리드 사이버공격 기법 상세보고서 최초 공개... 다운로드 [DarkReading] Lessons From The Ukraine Electric Grid Hack분석 보고서 다운로드 : [E-ISAC] Documents-E-ISAC_SANS_Ukraine_DUC_18Mar2016.pdf update. 2016.03.07우크라이나의 대규모 정전사태에 대해 ICS-CERT에서 다음과 같은 보고서를 공개했다. 해당 보고서에서 "우크라이나 정전사태는 CyberAttack이며 함께 발견된 ..

[상세보고서] 게임 모니터링 프로그램 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2016. 1. 27. 18:29

malwares.com 악성코드 분석팀 분석 자료 1. 분석의 시작 [Figure 1. 관련 기사 ( 출처: KBS 2016년 1월 17일)] 위 사진은 2016년 1월 중순 사회적으로 이슈가 된 기사이다. 이 기사를 살펴보면,인터넷 도박게임에서 상대방의 모니터를 확인할 수 있는 악성코드를 활용한 조직이 검거되었다는 사실을 알 수 있다. 게임에서 상대방의 패를 확인할 수 있는 이 악성코드에 대해 궁금증이 생겨, 유사한 형태의 악성코드를 malwares.com을 통해 찾아보았다. [ Figure 2. malwares.com에서 탐지명을 통해 게임 관련 파일 검색 ] 2. Anti-Virus 진단 정보파일명 : Setup.exeSHA-256 : 761563DF..

삼성 메신저 사칭 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 1. 26. 20:41

1. 개요삼성 내부의 메신저를 사칭한 악성코드가 이슈가 되어 분석을 진행했다. 전형적인 서버의 명령을 수행하는 백도어로 많은 기능이 포함되었다.※ 백도어 : 원래는 다른 PC에 접근하기 위해 편의로 만들어 놓았으나, 최근에는 해커가 해킹에 성공한 PC를 간편하게 제어하기 위해 이용한다. 2. 전체 동작 해당 악성코드는 실행을 하게 되면, 원격에서 연결 할 수 있는 "데스크톱 연결"은 위장용으로 실행하고 다른 악성 행위를 하지않는다. 그 후, 서버에서 동작을 받아 명령을 처리하게 되는데 특정 서버로 연결을 시도하고 연결된 서버로부터 지속적인 통신을 통해 28개의 커맨드를 받을 수 있게 설계되어 있다. 3. 샘플 정보파일명 : mySingleMessenger.exe파일크기..

메일의 첨부파일로 전달되는 뱅킹 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 1. 25. 18:02

1. 개요 메일의 첨부파일을 통해 악성코드가 배포되는 정황이 포착되어 분석을 진행했다. ※ 스피어 피싱 : 지인, 업체가 발송한 메일로 가장해 특정 사용자만을 노리는 표적 공격 2. 전체 동작 해당 악성코드는 보내는 사람으로 "신뢰할 수 있는 사람의 메일 주소"를 기입해 사용자로 하여금 메일 열람을 유도한다. 열람된 메일에는 매크로 동작이 가능한 워드 문서 파일 (DOC)을 포함하고 있고 사용자는 해당 첨부 파일을 열람하게 된다. 기본적으로 마이크로 소프트의 워드 프로세스는 매크로 동작을 차단하고 있으나 사용자가 매크로를 활성화할 경우 외부 서버에 접근해 악성파일을 다운로드 한다. 현재 해당 파일 다운로드는 지원하지 않으나 malwares.com을 통해 확인한 결과 D..

[파밍] 네이버 그리고 APT

보안 정보/악성코드 관련 정보 malwares.com 2016. 1. 6. 12:59

1. 개요 SaintSecurity의 CyDrone을 통해 실시간 탐지 중 네이버 파밍 사이트가 확인되었다. 해당 사이트는 과거 네이버 사이트를 그대로 옮겼으며 도메인명 또한 주의깊게 관찰하지 않으면 악성 사이트임을 판단하기 매우 어려운 형태로 작성되어 있다. 또한 해당 사이트를 통해 다운로드되는 악성코드는 국지적으로 동작하는 형태임에 따라 확인이 더욱 어려운 형태이다. ※ 워터링 홀 : 특정 타겟을 목표로 악성코드를 특정 사이트에 심어두고 사용자가 해당 사이트에 접속하거나 특정 동작 (클릭)을 수행하면 악성코드가 PC에 설치/배포되는 형태의 타겟 공격 기법 2. 추적 과정 오전 08시 54분경 파일명의 일부만 바꾼 채 순차적으로 파일을 배포하..

[상세보고서] Offline Ransomware

보안 정보/악성코드 분석보고서 malwares.com 2015. 12. 23. 10:42

malwares.com 악성코드 분석팀 분석 자료 0. 개요 2015년을 강타한 보안 키워드를 꼽자면 단연 랜섬웨어 일 것이다. 랜섬웨어는 PC에서 모바일에 이르기까지 모든 디바이스를 대상으로 하는 악성코드로 발전했다. 이는 과거 수동적이던 악성코드 수익 모델을 적극적인 형태로 변환한 대표 사례일 것이다. 1. Version History 및 동작 시나리오 [Figure 1. Offline Ransomware Version History (출처: CheckPoint)] "Offline" Ransomware는 러시아에서 주로 활동하는 랜섬웨어로 Cryptolocker와 같이 기존에 알려진 파일 암호화 형태의 Ransomware와 다르게 복호화를 위한 키가 외부 서버가..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바