malwares.com Official Blog

자동분석 (58)

CVE-2017-8759 : WSDL 파서 코드 인젝션

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 25. 16:56

malwares.com 코드분석팀 분석 자료 1. 개요 최근 CVE-2017-8759로 명명된 제로데이 취약점의 POC가 공개되었고 핀피셔(FinFisher)는 해당 취약점을 이용해 RTF(Rich Text Format) 문서를 작성했고, 이 파일을 통해서 감시소프트웨어 Finspy 를 러시아어 사용자들을 감염시키기도 하였다. 또한 해당 취약점은 많은 악성코드 제작자들이 사용하고 있고, .NET framework의 대부분 버전에서 발생하기 때문에 매우 크리티컬한 취약점이다.분석을 통해 해당 취약점이 왜 동작하고, 어떻게 동작하는지 알아보고 현재 어떻게 패치되었는지 알아보자. ※ 참고 : 분석 정보에 나오는 "vuln.kr" 과 "hack.kr"은 내부 분석을 위해 사용된 분석가 도메인으로 악성 도메인은 ..

PostScript를 이용한 한글 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2017. 9. 18. 16:18

malwares.com 코드분석팀 분석 자료 1. 개요 최근 북한의 사이버 공격 그룹이 세금관련 한글문서를 이용해 국내 가상화폐 기업을 공격한 사례가 보도된 바 있다. 해당 북한 공격그룹은 TEMP.Hermit로 다음의 문서 파일을 통해 PEACHPIT 악성코드를 유포했다. 세무조사준비서류.hwp 법인(개인)협의거래보고내역.hwp납세담보변경요구서.hwp환전_해외송금_한도_및_제출서류.hwp2017년5월까지감지된유사수신행위와법률적조치.hwp국내가상화폐의유형별현황및향후전망.hwp이러한 악성 문서 파일들은 최근 유행하는 한글 파일내에 EPS (Encapsulated PostScript) 를 삽입해 동작시키는 형태이다. EPS는 Adobe 측에서 공개한 언어로 인터프리터인 GhostScript를 이용해 문서나 ..

대북 관련 APT 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 11. 18. 14:21

malwares.com 코드분석팀 분석 자료 1. 개요 malwares.com에서 한글 악성코드문서를 수집했다. 기존 매크로형태의 악성코드가 아닌, 한글프로그램의 취약점을 이용한 악성코드이므로 문서 파일을 실행해보는 것만으로도 동작한다. 악성코드가 실행될 경우, 추가적으로 악성코드를 내려받아서 실행시킨다. 현재는 추가적으로 다운로드되는 사이트가 닫혀있어 동작하지않지만 같은 취약점을 이용한 유사 악성코드가 유포되면 큰 파장이 예상된다. 한글 문서의 분석을 통해 악성코드의 동작을 살펴보자. 관련기사 : '최순실 국정농단' 악성코드 메일 유포... 경찰 수사 2. 악성코드 정보SHA-256 : 0D56C5F20B2DA3659F05D613D3FAEB41D9E82A45E9161C3B48805EBB7B2730B9제..

금융권 파밍 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 11. 14. 16:37

malwares.com 코드분석팀 분석 자료 1. 개요 랜섬웨어의 눈부신 활약에 가려져 있지만 금융권 파밍 악성코드는 꾸준히 자신의 역할(?)을 해 나가고 있다. 최근 유포되고 있는 파밍 악성코드는 인터넷 설정의 프록시 설정을 조작해 감염된 PC 사용자가 인터넷에 접속시 파밍 동작을 수행한다. 이때 파밍에 사용되는 정보 중 일부는 악성코드 샘플내에 암호화되어 저장되어 별도로 저장되어 있어 실제 악성코드를 실행하기 이전까지 그 정보를 확인하기 어렵게 되어 있다. 파밍 악성코드 분석을 통해 악성코드의 세부 동작과 악성코드 유포자의 의도가 무엇인지 알아보자. 2. 분석 정보 분석 대상 악성코드는 금융권을 대상으로 한 악성코드인 만큼 금융 거래에 필요한 정보 탈취를 목적으로 한다. [ 탈취 대상 개인 정보 ]공..

도널드 트럼프 랜섬웨어?

보안 정보/악성코드 관련 정보 malwares.com 2016. 9. 27. 12:12

malwares.com 코드분석팀 분석 자료 1. 개요 미국 대선 경쟁이 치열한 가운데 랜섬웨어에 대한 많은 정보가 교류되는 BleepingComputer에서 도널드 트럼프 랜섬웨어 정보가 게시되었다. 아직 개발자 버전으로 추정되는 해당 파일은 파일 암/복호화 기능은 있지만 비활성화된 상태로 향후 정식버전 랜섬웨어가 발견되지 않을까 생각된다. 원문보기 : The Donald Trump Ransomware tries to Build Walls around your Files 2. Anti-Virus 진단 정보 파일 크기 : 92,160 bytesSHA-256 : 4CEA9DBC941756F7298521104001BC20CB73CFDDA06A60A9E90760188661F5E4연관 태그 정보 : #exe_3..

봇넷 관련 악성코드 (systemsv08.exe)

보안 정보/악성코드 분석보고서 malwares.com 2016. 9. 22. 14:33

malwares.com 코드분석팀 분석 자료 1. 개요 최근 3개월전부터 급격히 활동하고 있는 악성코드로 외부 서버에 접속해 추가 악성코드 다운로드 및 실행을 목적으로 한다. 다운로드된 악성코드는 사용자의 인터넷 접속에 따른 동작 우회나 파밍 기능이 있는 Proxy를 설치하고 또 다른 외부 서버에 접속하는 등의 동작을 수행한다. 2. Anti-Virus 진단 정보 파일 크기 : 150,016 bytesSHA-256 : 361B40B2E5A2D9DA0BBD36EACF6976D0B55F7F74EAE57E9FAE744E905F9B2CAB연관 태그 정보 : #exe_32bit, #autorun #peexe유입 파일명 : systemsv08.exe, 193cscacqcqwefqwfqw.exe악성코드 저장경로 : ..

[상세보고서] 우크라이나 정전사태 관련 악성코드 (update. 2016.03.25)

보안 정보/악성코드 분석보고서 malwares.com 2016. 2. 16. 21:11

malwares.com 악성코드 분석팀 분석 자료 update. 2016.03.25우크라이나의 정전사태에 대한 상세보고서가 최초 공개됐다. 관련 기사 보러가기 : [데일리시큐] 우크라이나 전력그리드 사이버공격 기법 상세보고서 최초 공개... 다운로드 [DarkReading] Lessons From The Ukraine Electric Grid Hack분석 보고서 다운로드 : [E-ISAC] Documents-E-ISAC_SANS_Ukraine_DUC_18Mar2016.pdf update. 2016.03.07우크라이나의 대규모 정전사태에 대해 ICS-CERT에서 다음과 같은 보고서를 공개했다. 해당 보고서에서 "우크라이나 정전사태는 CyberAttack이며 함께 발견된 ..

[상세보고서] 게임 모니터링 프로그램 악성코드

보안 정보/악성코드 분석보고서 malwares.com 2016. 1. 27. 18:29

malwares.com 악성코드 분석팀 분석 자료 1. 분석의 시작 [Figure 1. 관련 기사 ( 출처: KBS 2016년 1월 17일)] 위 사진은 2016년 1월 중순 사회적으로 이슈가 된 기사이다. 이 기사를 살펴보면,인터넷 도박게임에서 상대방의 모니터를 확인할 수 있는 악성코드를 활용한 조직이 검거되었다는 사실을 알 수 있다. 게임에서 상대방의 패를 확인할 수 있는 이 악성코드에 대해 궁금증이 생겨, 유사한 형태의 악성코드를 malwares.com을 통해 찾아보았다. [ Figure 2. malwares.com에서 탐지명을 통해 게임 관련 파일 검색 ] 2. Anti-Virus 진단 정보파일명 : Setup.exeSHA-256 : 761563DF..

삼성 메신저 사칭 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 1. 26. 20:41

1. 개요삼성 내부의 메신저를 사칭한 악성코드가 이슈가 되어 분석을 진행했다. 전형적인 서버의 명령을 수행하는 백도어로 많은 기능이 포함되었다.※ 백도어 : 원래는 다른 PC에 접근하기 위해 편의로 만들어 놓았으나, 최근에는 해커가 해킹에 성공한 PC를 간편하게 제어하기 위해 이용한다. 2. 전체 동작 해당 악성코드는 실행을 하게 되면, 원격에서 연결 할 수 있는 "데스크톱 연결"은 위장용으로 실행하고 다른 악성 행위를 하지않는다. 그 후, 서버에서 동작을 받아 명령을 처리하게 되는데 특정 서버로 연결을 시도하고 연결된 서버로부터 지속적인 통신을 통해 28개의 커맨드를 받을 수 있게 설계되어 있다. 3. 샘플 정보파일명 : mySingleMessenger.exe파일크기..

메일의 첨부파일로 전달되는 뱅킹 악성코드

보안 정보/악성코드 관련 정보 malwares.com 2016. 1. 25. 18:02

1. 개요 메일의 첨부파일을 통해 악성코드가 배포되는 정황이 포착되어 분석을 진행했다. ※ 스피어 피싱 : 지인, 업체가 발송한 메일로 가장해 특정 사용자만을 노리는 표적 공격 2. 전체 동작 해당 악성코드는 보내는 사람으로 "신뢰할 수 있는 사람의 메일 주소"를 기입해 사용자로 하여금 메일 열람을 유도한다. 열람된 메일에는 매크로 동작이 가능한 워드 문서 파일 (DOC)을 포함하고 있고 사용자는 해당 첨부 파일을 열람하게 된다. 기본적으로 마이크로 소프트의 워드 프로세스는 매크로 동작을 차단하고 있으나 사용자가 매크로를 활성화할 경우 외부 서버에 접근해 악성파일을 다운로드 한다. 현재 해당 파일 다운로드는 지원하지 않으나 malwares.com을 통해 확인한 결과 D..

Copyright © malwares.com Official Blog All Rights Reserved
Designed by JB FACTORY

티스토리툴바