- 악성코드와 공격기법의 고도화, 국가간 사이버보안 위협 증대, 침투경로의 다양화 등 사이버 공격이 더욱 교묘해지고 심화될 것으로 예측


안랩[대표 권치중, www.ahnlab.com]은 ‘2014년 예상 7대 보안 위협 트렌드’를 발표했다. 이에 따르면 2014년 예상되는 주요 이슈는 ►APT방식의 악성코드 고도화와 표적[target] 확대 ► 전자금융사기와 사이버범죄의 산업화 가속 ►악성코드 유포 방법의 다양화 및 고도화 지속 ►윈도XP 지원 종료에 따른 보안 위협 증가 ►특정 표적을 노린 소규모 모바일 악성코드 ►사이버 보안에 대한 국가적 인식 변화 ►펌웨어 업데이트에 악성코드 포함 시도 증가 등이다.

 

1] APT방식의 악성코드 고도화와 표적[target] 확대

2013년까지 기업이나 기관 등 특정 표적만을 노려 고도화된 악성코드를 이용해 정보유출이나 시스템 파괴를 노린 APT[Advanced Persistent Threat, 지능형 지속 공격] 공격이 큰 문제로 등장했다. 2014년에는 APT와 같은 지능형 공격의 표적이 확대되어, 일반 PC사용자를 노린 악성코드도 기존 APT 공격과 구분이 되지 않을 정도로 고도화될 것으로 예상된다. 이와 함께, 게임머니 탈취하기 위한 온라인 게임핵[OnlineGameHack] 부류와 금융정보를 탈취하기 위한 금융 악성코드 부류의 기능이 구분되지 않을 정도로 유사해져 가는 것, 혹은 APT공격과 제로데이 취약점을 노리는 워터링홀[보충설명 참조] 공격의 구별이 없어지는 등 악성코드 간의 기능이 융합될 것으로 예상된다. 특히 금전적 이익을 위해 무차별적인 악성코드 유포를 통해 비트코인 채굴을 시도하는 사례가 국내에도 등장할 것이다.

[보충자료] 워터링 홀[Watering hole] 공격: 알려지지 않은 취약점을 활용해 악성코드를 유포하는 방법 중 하나로, 악성코드를 특정 웹사이트에 심어두고 사용자가 해당 사이트에 접속하면 악성코드가 PC로 배포되는 형태의 공격 기법

 

2] 전자금융사기와 사이버범죄의 산업화 가속

2013년 악성코드를 이용한 전자금융사기 피해사례들을 보면 피싱, 파밍, 보이스 피싱, 스미싱, 메모리 해킹 등 다양한 수법들이 사용되었다. 이렇듯 매년 사용자의 금융정보와 예금을 탈취하기 위해서 악성코드에 사용한 기술들이 점차 정교화, 고도화되고 있다. 2014년에도 악성코드 제작자들은 응용 프로그램 취약점, 정상 프로그램 변조, USB와 같은 외부 저장 매체 접근 등 다양한 방법을 통해서 악성코드 유포를 시도할 것을 보인다. 또한, 지금의 인터넷뱅킹과 같은 온라인상에서 돈을 취급하는 특정 금융 서비스를 대상으로 하는 공격이 증가할 것으로 예상된다. 따라서 금전을 노린 사이버 범죄의 산업화가 가속화될 것이다.

 

3] 악성코드 유포 방법의 다양화 및 고도화 지속

2014년에는 악성코드 유포 방법이 더 다양해지고 고도화될 것으로 예상된다. 지금까지는 불특정 다수에게 악성코드를 대량으로 유포하고 목적에 따라 변종을 유포하는 방식이 많았다. 2014년에는 기존의 방식 외에 손쉽게 악성코드를 대량으로 유포할 수 있는 새로운 형태의 유포 방법이 등장할 가능성이 높다. 예를 들어, 다수 사용자가 접속하는 CDN[Content Delivery Network, 컨텐츠 전달 네트워크]이나 도메인 관리업체, ISP[Internet Service Provider, 인터넷 서비스 제공자]업체를 통해 다수 악성코드를 배포하는 공격방식이 증가할 수 있다. 따라서 2014년에는 인터넷 서비스 관리자들의 주의가 필요할 것으로 보인다.

 

4] 윈도XP 지원 종료에 따른 보안 위협 증가

2014년 4월 8일, 윈도XP에 대한 모든 지원이 종료되며, 이후 발견된 취약점에 대한 보안 업데이트도 더는 제공되지 않는다. 따라서 지원 종료 이후 보안 위협에 대한 보호는 백신, 방화벽 등 PC용 보안 솔루션에 전적으로 의존할 수 밖에 없다. 또한, 현재 윈도XP는 인터넷 익스플로러[IE] 9 이상 버전을 지원하지 않고, 악성코드 감염에 취약한 IE 6~8 버전이 주로 사용되고 있어 보안위협에 노출될 가능성이 높다. 윈도우 XP사용자는 윈도7 또는 8 등으로 업그레이드하는 것이 필요하다.

 

5] 특정 표적을 노린 소규모 모바일 악성코드

2014년에는 모바일 악성코드를 활용해 특정 대상을 감시하거나 정보를 유출하는 소규모 모바일 악성코드가 등장할 가능성이 높아질 것으로 예상된다. 2013년에 사회적 문제로 떠오른 다양한 스미싱 악성코드는 대량 유포를 목적으로 했기 때문에 발견이 빠른 측면이 있었다. 하지만 만약 악성코드 제작자가 악성코드를 불특정 다수에 유포하지 않고, 특정 기업 내부 기밀유출이나 감시를 목적으로 소량만 유포한다면 발견이 어려워질 수 있다. 이런 점을 노린 ‘다품종 소량’ 스파이앱이 등장할 수 있다.

 

6] 사이버 보안에 대한 국가적 인식 변화

2013년 미국 국가안보국[NSA]의 광범위한 정보수집을 폭로하는 문건과 특정 국가가 미국을 거점으로 하는 기업과 최소 141개 기관의 데이터 유출을 시도하는 등 다양한 국가간 정보수집 사건이 발생했다. 국가를 대상으로 하는 수 많은 정보 수집 전쟁의 실체가 드러난 것처럼, 2014년에는 이러한 국가 간 사이버 전쟁이 더욱 정교화 되고 가속화 될 것으로 예상된다. 이에 따라 사이버 공격과 데이터 유출의 피해를 줄이기 위한 암호화와 보안기술 역시 요구될 것으로 보인다.

 

7] 펌웨어 업데이트에 악성코드 포함 시도 증가

펌웨어는 기본적으로 소프트웨어지만 하드웨어적인 요소도 포함되어 있다. 즉, 하드웨어에 내장되어 기본 동작을 관리하는 프로그램이다. 2013년 4월에 펌웨어의 일종인 바이오스[BIOS]를 만드는 한 업체의 소스코드 유출이 있었고, 10월에는 특정 회사의 제품 속 펌웨어에 백도어가 포함된 것이 확인되었다. 러시아에 수출된 중국산 가전제품에 무선 인터넷에 접속해 악의적인 기능을 할 수 있는 칩이 포함되어있다는 일부 외신 보도도 있었다. 국가 간 사이버 위협이 현실화되는 환경에서 하드웨어나 펌웨어 등에 악의적인 기능을 수행하는 코드를 포함하는 공격이 시도될 것으로 예상된다.

 

안랩 시큐리티대응센터 이호웅 센터장은 "사이버공격은 점점 지능화, 고도화되며 사용자를 위협하고 있다. 2014년에 예상되는 보안위협의 큰 흐름은 악성코드와 공격기법의 고도화, 국가간 사이버보안 위협 증대, 침투경로의 다양화로 정리할 수 있다. 개인과 기관, 기업은 충분한 보안의식을 가지고 이에 대비해야 한다”고 말했다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

이번 악성코드의 유포방식은 10월에 알려진 변형들은 IE 제로데이 취약점을 사용하였다. 


2013년 10월9일 보안패치가 나온 것을 감안 하면 그 이전부터 유포가 진행되었을 가능성이 높으며, 취약점 패치를 하지 않은 PC에는 여전히 유포 가능성이 존재한다. 아울러, CDN 서비스 업체인 G사를 통해 서비스 운영 중인 웹 사이트가 악성코드 배포지 중 일부로 악용된 것으로 추정된다. 


Microsoft Security Bulletin MS13-080 - 긴급

Internet Explorer 누적 보안 업데이트 (2879017)


아래 그림은 IE 제로데이 취약점을 통해 감염이 이루어지는 과정을 나타낸다. 붉은색 블록으로 표시한 파일이 실제 핵심적인 기능을 수행하며, "악성코드 다운로드" 및 "관리자 페이지 계정정보 유출" 기능을 갖고 있다. 



위 그림에 존재하는 swf.jsguy2.html 파일을 iframe 태그로 로딩하는 기능을 가지고 있으며, guy2.html 은 다음의 2가지 기능을 가지고 있다. 


특정 국산 백신들에 대한 무력화 시도 

특정 사이트로부터 파일을 다운로드하고 실행


swf.js는 난독화가 되어 있으며, 이를 해제한 내용은 다음과 같다. 



guy2.html 에 존재하는 쉘코드는 Explorer.exe 프로세스에 코드를 인젝션 한 후 백신들을 무력화(삭제) 하기 위하여 레지스트리를 확인한다. 


백신 무력화에 성공한 이후,  아래 URL에서 파일을 다운받아 저장하고, 저장된 main001.gif 파일을 읽어서 첫 2바이트를 MZ 로 패치한 후 실행한다.  


http://***.***.***.***/mii/fird.gif

C:\DOCUME~1\(사용자계정명)\LOCALS~1\Temp\main001.gif


 * 쉘코드에 의한 백신 무력화 기능으로 인해, 기진단 샘플임에도 불구하고 백신이 무력화 된 상태에서 악성코드가 다운될 것으로 추정됨 

 * 단, V3Lite 3.0은 IP/URL 차단기능으로 인해 사전 차단이 가능함

Fird.gif 는 드롭퍼와 다운로더 기능을 가지고 있다. 생성되는 파일의 경로는 다음과 같다.

- c:\windows\system32\drivers\fironancosftccorpds.sys ( 또는 firanhncorpds.sys ) 

생성되는 드라이버 파일 fironancosftccorpds.sys 은 다음 백신들의 무력화를 시도 한다.

MpfSrv.exe

mcsysmon.exe

McNASvc.exe

Mcshield.exe

McProxy.exe

mcagent.exe

MsMpEng.exe

MpCmdRun.exe

msseces.exe

vmacthlp.exe

VMUpgradeHelper.exe

RSUpdSrv.rse

RSAgent.rse

RSRTSrv.rse

vcrmon.exe

SpiderNT.exe

vrmonnt.exe

vrmonsvc.exe

HFACSvc.exe

vrptsvc.exe

vrscan.exe

hpcsvc.exe

vrfwsvc.exe

hUpSvc.exe

hVrCommandSvc.exe

hVrMalSvc.exe

hVrTray.exe

AYRTSrv.exe

AYUpdSrv.exe

AYAgent.exe

AYRTSrv.aye

AYServiceNT.aye

AYUpdSrv.aye

ALYac.aye

AYUpdate.aye

AYAgent.aye

sgsvc.exe

Nsavsvc.npc

Nsvmon.npc

NVCAgent.npc

Nsavsvc.exe

Nsvmon.exe

NVCAgent.exe

NVCUpgrader.exe

NaverAgent.exe

NVCUpgrader.npc

avp.exe

AvastSvc.exe

avsx.exe

AvastUI.exe

ashUpd.exe

V3IMPro.exe

V3P3AT.exe

MonSysNT.exe

MonSvcNT.exe

v3impro.exe

v3p3at.exe

monsysnt.exe

monsvcnt.exe

AhnSD.exe

AhnSDsv.exe

ASDCr.exe

ASDCli.exe

ASDUp.exe

V3LNetdn.exe

V3LiteExp.exe

ASDSvc.exe

V3Lite.exe

V3LSvc.exe

V3LTray.exe

V3Light.exe

V3Medic.exe

V3LRun.exe

MUpdate2.exe

 

 


그리고 다음 경로에서 파일을 다운로드 및 실행한다.

- hxxp://***.***.***.***/mii/firw.gif

Firw.gif 는 드롭퍼 기능을 갖는다. 백신들을 무력화 하고 특정 사이트들의 관리자 계정과 온라인 게임들의 사용자 계정을 훔쳐낸다. 

그리고 특정 사이트들로부터 랜덤.jpg 파일을 무한히 요청하는 시도를 한다. 해당 악성코드에 의해 드롭되는 파일은 다음 경로에 생성된다.

- c:\windows\olesau32.dll
c:\windows\svchost.exe
c:\windows\system32\drivers\ahnurla.sys

olesau32.dll은 크게 다음의 3가지 주요 기능을 가지고 있다. 

랜덤명.jpg" 파일을 특정 사이트들에게 무한 요청 시도를 함으로써 DDoS를 유발 (도메인 리스트 A 참고)

관리자 계정 유출 (도메인 리스트 B참고, 최근에 발견된 변형에서 이 기능은 제외됨)

온라인 게임 사용자 계정 유출

현재 국내 무료 백신들을 테스트한 결과 olesau32.dll을 진단하지 못하고 있음

Svchost.exe 는 랜덤명.jpg 파일을 특정 사이트들에게 무한 요청 시도를 함으로써 DDoS를 유발하는 기능만을 (도메인 리스트 A 참고) 가지고 있다.  



상기 도메인 리스트(A)은 실제 파일이 존재하지 않을 경우에 웹 서버에 부하를 발생시키는 DDoS를 유발하며, 변종 마다 전체 도메인에 대한 요청 주기가 차이가 날 것으로 추정된다. 


그러나, 해당 파일이 존재할 경우 추가 악성코드 유포로 악용될 수 있으며, 실제 아래 URL의 경우, 지난 7월에 악성코드 배포 이력을 가지고 있는 것을 확인하였다. 



루트킷 기능을 가지고 있으며, ahnurla.sysolesau32.dll을 은폐한다. 또한, 다음 백신 관련 프로세스들에 대해 무력화를 시도한다. 

RSUpdSrv.rse

RSAgent.rse

RSRTSrv.rse

vcrmon.exe

SpiderNT.exe

vrmonnt.exe

vrmonsvc.exe

HFACSvc.exe

vrptsvc.exe

vrscan.exe

hpcsvc.exe

vrfwsvc.exe

hUpSvc.exe

hVrCommandSvc.exe

hVrMalSvc.exe

hVrTray.exe

AvastSvc.exe

avsx.exe

AvastUI.exe

ashUpd.exe

avp.exe

V3IMPro.exe

V3P3AT.exe

MonSysNT.exe

MonSvcNT.exe

v3impro.exe

v3p3at.exe

monsysnt.exe

monsvcnt.exe

AhnSD.exe

AhnSDsv.exe

ASDCr.exe

ASDCli.exe

ASDUp.exe

V3LNetdn.exe

V3LiteExp.exe

ASDSvc.exe

V3LSvc.exe

V3LTray.exe

V3Light.exe

V3Medic.exe

V3LRun.exe

MUpdate2.exe

AYRTSrv.exe

AYUpdSrv.exe

AYAgent.exe

AYRTSrv.aye

AYServiceNT.aye

AYAgent.aye

AYUpdSrv.aye

ALYac.aye

AYUpdate.aye

Nsavsvc.npc

Nsvmon.npc

NVCAgent.npc

Nsavsvc.exe

Nsvmon.exe

NVCAgent.exe

NVCUpgrader.exe

NaverAgent.exe

NVCUpgrader.npc

 

 

 


"관리자 계정 정보 노린 악성코드 출현!" 이라는 기사에서 다뤄진 다수의 악성코드 분석 결과로 미루어 볼때 국내 온라인 게임 사용자 계정정보 수집 기능과 변형에 따라서 특정 URL 접근시, 계정 ID, PW 를 유출한다. 

도메인 리스트 (A) 에 있는 자사의 웹 페이지들(www.ahnlab.com, m.ahnlab.com, www.v3lite.com)에 대해 10월 28일부터 10월 31일까지 4일 동안 공격을 시도한 IP를 조사한 결과, 중복되지 않는 IP 47만대로부터 공격 시도가 확인 되었다. 

또한,  일자별 공격 IP를 보면 10월 29일 30만대로 급증한 후에 계속 그 수준을 유지하고 있다. 따라서, 해당 악성코드가 감염된 PC들이 상당히 많이 존재하고 있음을 알 수 있다. 


다음은 안랩 대상 공격 IP들에 대한 국가별 분포도이며, 대부분이 국내에 존재하고 있음을 확인할 수 있다. 





IE 취약점을 이용해 배포되고 있는 악성코드는 백신 무력화와 은폐 기능을 가지고 있으며 일부 파일에 대해서는 미진단 상태로 확인되었다. ( 단, V3Lite 3.0은 사전 차단 가능 확인 )


따라서, 안랩 웹 사이트를 대상으로 공격을 시도하고 있는 IP들은 대부분 백신이 무력화 되어 있거나, 미진단 상태의 악성코드에 감염된 것으로 추정된다. ( 구 버전 V3Lite 2.0 사용자, 타사 백신 사용자, 백신 미사용자 )


해당 악성코드는 존재하지 않는 파일에 대한 무한 요청으로 인해 DDoS를 유발하며, 국내 온라인 게임 사용자 계정 정보 수집과 특정 URL 접근 시 계정 정보를 유출하는 기능도 가지고 있다. 특히, 특정 URL의 경우 기업 내 관리자들이 접근하는 주소로 판단된다. 


현재 악성코드의 기능과 확산 상태로 볼 때, 계정 정보 유출, 기업 내부 장악, DDoS 등 다양한 목적으로 악용이 가능하며, 추가 피해를 차단하기 위해서는 대응책 마련이 매우 시급한 상태이다. 


악성코드의 기능과 확산 정보로 볼 때, 단순한 엔진 업데이트를 통한 치료로는 한계가 존재하기 때문에 전용백신을 통한 치료가 필요한 상황이다. 


IE 취약점을 이용해 배포되고 있는 만큼, IE 취약점 패치에 대한 적극적인 권고가 필요하다.


저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 어제(10월 24일) 오후부터 발생, 악성코드 확산 범위 큰 것으로 예상

- 포털, 언론사, 게임사를 포함한 13개 기업 16개 웹사이트  대상

- 안랩 V3 엔진 긴급 업데이트 조치, 사용자는 V3 업데이트 후 검사 필수

 

안랩(대표 김홍선, www.ahnlab.com)은 24일 오후 16시 경부터 국내 16개 웹사이트를 대상으로 디도스(DDoS; Distributed Denial of Service, 분산 서비스 거부) 공격이 발생하고 있다고 발표했다.

 

안랩은 이번에 발생한 디도스 공격이 지난 7월 발견된 악성코드와 최근 발견된 변종 악성코드에 의해 발생한 것으로 보고 있다.

 

안랩 확인결과 25일 현재 디도스 유발 악성코드에 감염이 확인된 PC 대수만 1만대를 넘어 해당 악성코드가 많이 확산 된 것으로 판단(진단된 좀비PC 대수로 볼 때)하고 있다.

 

오늘(10월 25일 오전 09시 현재) 공격 대상은 다음(www.daum.net), 네이트(www.nate.com), MSN(www.msn.com), 티스토리(www.tistory.com), 넥슨(www.nexon.com, user.nexon.com), 한게임(www.hangame.com), 넷마블(www.netmarble.net), CBS(www.cbs.co.kr) 중앙일보(www.joinsmsn.com, www.joins.com),  안랩(www.v3lite.com, m.ahnlab.com) 등 13개 기업 16개 웹사이트이다.

 

안랩 V3는 지난 7월부터 해당 악성코드를 기 진단하고 있었다. 안랩은 당시 PC 사용자가 백신을 설치 하지 않았거나, 업데이트 하지 않는 등 적절한 조치를 취하지 않았을 경우 해당 PC가 감염되어 이번 공격에 이용된 것으로 보고 있다.

 

특히, 안랩은 이번 디도스 공격이 지난 7월의 미치료 좀비PC(백신 미설치나 당시 최신 업데이트를 안 해 감염된 좀비 PC)와, 최근 보안이 취약한 사이트 등에서 배포된 변종 악성코드(안랩 엔진 반영)에 감염된 좀비PC로 인해 발생한 것이므로 백신 검사를 통해 이 악성코드를 삭제하는 것이 근본적인 해결책이라고 밝혔다. 또한, 백신의 실시간 감시를 켜는 것도 필요하다고 말했다.

 

안랩은 현재 ASEC(시큐리티대응센터)과 CERT(컴퓨터침해사고대응센터)를 비롯해 전사 비상 대응 체제를 가동하는 한편, 변종 악성코드를 긴급히 엔진에 반영해 V3는 현재 해당 악성코드를 모두 진단하고 있다. 안랩은 추가 분석을 통해 악성코드에 대한 정보를 지속적으로 제공할 예정이다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안랩 ASEC에서 2013년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.44을 발간하였다. 


이 번에 발간된 ASEC 리포트는 2013년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다.


1) 악성코드 이슈

메모리 패치형 Banki의 온라인 뱅킹 정보 탈취 기법 분석

고객님, 영수증이 발급되었습니다

아마존 구매 관련 메일로 위장한 스팸 메일

특정 은행 대출 승인 메일로 위장한 스팸 메일

휴가철, 사용자의 휴가비를 노려라!

동영상 재생 프로그램을 이용한 악성코드 유포

토렌트 파일로 위장한 악성코드 주의

Your reservation is now confirmed!’

델타 항공 메일로 위장한 악성코드 유포


2) 모바일 악성코드 이슈

V3 모바일 설치 위장 스미싱 주의!

금융사 피싱 앱 주의


3) 보안 이슈

자바 취약점과 결합된 메모리 해킹

인터넷 뱅킹 보안 대책


ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다. 


ASEC 보안 위협 동향 리포트 2013 Vol.44 발간



저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 안랩 V3모바일, 안드로이드 악성코드 99.99%진단율로 전체 공동 1위 기록 

- 배터리 사용량에서도 글로벌 제품과 어깨 나란히 

- 국제 인증에서 높은 성적 잇따라 획득, 글로벌 시장 진출 발판 


글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com]의 모바일 보안 제품인 V3 모바일 2.0[이하 V3 모바일]’이 독립 보안제품 성능 평가 기관인 ‘AV-Comparatives [http://www.av-comparatives.org, 이하 AV 컴패러티브]’에서 2013년 8월에 진행한 성능평가에서 전체 1위의 악성코드 진단율을 기록했다고 밝혔다.

 

이번 테스트는 AV 컴패러티브가 8월에 카스퍼스키, 트렌드마이크로 등 전세계 14개 모바일 보안 제품을 전세계에서 수집한 2,947개의 안드로이드 악성코드 샘플을 사용해 진행했다. 안랩은 이번 테스트에 국내 기업 중 유일하게 참가해 99.9%의 악성코드 진단율로 전체 참가 제품 중 ‘킹소프트[Kingsoft]’와 공동 1위를 기록해, 모바일 보안 분야에서도 글로벌 기술력을 인정받았다.

 

V3모바일은 함께 진행된 설치 시 배터리 사용량 테스트에서도 3%미만을 기록해, 글로벌 제품들과 어깨를 나란히 했다. 악성코드 탐지 이외에 도난 방지[Anti-Theft] 기능, 스팸 전화·문자 방지 기능 등으로 부가 보안 기능에서도 좋은 평가를 받았다.

 

안랩 김홍선 대표는 “전 세계적으로 모바일 보안이 더욱 중요해지고 있는 가운데, 안랩은 지난 AV-TEST에서 좋은 성적에 이어, 이번에 AV 컴패러티브 테스트에서 1위를 기록하는 등 권위있는 보안제품 테스트 기관을 통해 성능을 인정받고 있다. 안랩은 국제 인증으로 증명된 높은 기술력을 바탕으로 국내외 모바일 보안시장 공략을 강화할 것이다”라고 말했다.

 

한편, 이번 AV 컴패러티브의 모바일 보안제품 성능 평가에는 사전 테스트를 거친 글로벌 보안업체의 제품 14개가 참여했다.

 

V3 모바일은 다양한 국제 인증으로 검증된 악성코드 분석 능력과 글로벌 수준의 대응 체제를 바탕으로 신종 모바일 악성코드에 즉각 대응할 수 있다. 또한, 타사 대비 검사 속도와 진단율은 높고, 프로그램 설치 사이즈 및 메모리 사용량과 CPU 점유율은 낮은 것이 강점이다. 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군]의 스마트폰에 기본 탑재되어 있다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

-접속자 수 많으면서 보안 취약한 여행사 홈페이지에 악성코드 몰래 삽입 

-웹사이트 방문만으로도 금융정보 노리는 파밍 악성코드 설치 

-백신 업데이트, 수상한 메일 첨부파일 실행 금지 등 보안수칙 준수 


많은 직장인이 애타게 기다려온 여름 휴가가 있는 8월이다. 하지만 휴가철을 맞아 들뜬 마음으로 여행을 계획하는 사이에 자신의 금융정보가 유출될 수도 있다.

 

안랩[대표 김홍선, www.ahnlab.com]은 최근 각종 여행상품을 판매하는 여행 전문 웹사이트에서, 금융정보를 유출하는 악성코드 유포가 발견되어 사용자들의 주의가 필요하다고 발표했다.

 

이번 악성코드는 휴가철을 맞아 접속 빈도가 높아진 온라인 여행사의 홈페이지에 삽입되어 자동으로 설치되는 것이 특징이다. 따라서 사용자가 보안이 소홀한 여행사 홈페이지를 방문하기만 해도, 해당 홈페이지에 몰래 삽입된 악성코드가 자동으로 사용자 PC를 감염시킨다.

 

이 때 다운로드 되는 악성코드는 사용자의 금융정보를 탈취하기 위해, 공격자가 만들어 놓은 파밍사이트로 사용자의 접속을 유도하는 기능을 가지고 있다. 즉, 이 악성코드에 감염된 PC에서 사용자가 정상적인 금융사이트로 접속해도, 악성코드가 미리 설정해 놓은 가짜 뱅킹 사이트로 연결된다. 이후 사용자가 입력한 보안카드 번호, 계좌 비밀번호 등의 금융정보가 제작자에게 전송된다. 현재는 해당 홈페이지에 접속해도 악성코드 다운로드는 중지된 상태이다.

 

또한, 휴가를 다녀온 후 자주 받게되는 영수증 문서로 위장한 악성코드도 함께 발견되었다. 이 악성코드는 사용자가 이메일에 첨부된 영수증 위장 문서를 열면, 자동으로 PC에 설치된다. 이 악성코드는 방화벽 설정을 해제해, 원래 방화벽이 막아놓았던 외부 통신을 가능한 상태로 만들어 놓는다. 이 상태에서는 특정 서버로의 정보 유출이나 원격 접속 등 다양한 공격이 가능하다.

 

안랩 이호웅 시큐리티대응센터장은 “휴가철을 맞아 온라인 여행사 방문이 증가하고 있다. 하지만 사용자의 조그만 부주의로, 자신의 금융정보가 유출될 수 있다. 따라서 백신을 항상 최신으로 업데이트하고,신뢰할 수 없는 사이트 방문을 자제, 수상한 메일 첨부파일 실행을 금지하는 등 기본적인 보안수칙을 지키는 것이 중요하다”라고 말했다. 

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 안랩 V3모바일, 총 13.0 만점에 12.5점을 기록, AV-TEST 인증 획득 

- 악성코드 샘플 및 PUP(유해 가능 프로그램)를 100% 진단 


글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com]의 모바일 보안 제품인 V3 모바일 2.0[이하 V3 모바일]’이 독립 보안제품 성능 평가 기관인 AV-TEST[www.av-test.org]의 최근 7월 모바일 보안제품 테스트[보충자료 참조]에서 높은 점수로 인증을 획득했다.

 

안랩은 이번 테스트에 국내 기업 중 유일하게 참가해 연속 4회 인증을 획득해 모바일 보안 분야에서도 글로벌 기술력을 인정받았다. 특히, 서구권 위주의 악성코드 샘플이라는 불리한 상황에서도 악성코드 샘플 및PUP[Potentially Unwanted Program, 유해 가능 프로그램]를 100% 진단하고, 총 13.0 만점에 12.5점으로 인증을 획득[8점 이상 인증 통과]했다.

 

이번 테스트는AV-TEST가 7-8월에 시만텍, 맥아피 등 전세계 30개 모바일 보안 제품을 안드로이드 환경에서 진행했다. V3모바일은 이번 테스트에서 악성코드 및 PUP를 모두 진단해 탐지율[Protection]에서 6.0만점을 받았다.

 

또한, 오진 1개를 제외하고 제품 실행 시 단말기의 성능에 미치는 영향 평가에서도 상위권 점수를 기록해 사용편의성[Usability]에서도 6.0만점에 5.5점을 획득했다. 이밖에 악성코드 탐지 이외에 도난 방지[Anti-Theft] 기능, 스팸 전화·문자 방지 기능 등으로 부가 보안 기능에서도 추가 점수를 획득했다.

 

안랩 김홍선 대표는 “전 세계적으로 스마트폰이 보편화될 뿐만 아니라 이를 통한 업무 활동도 증가하면서 모바일 보안이 더욱 중요해지고 있다. 안랩은 국제 인증으로 증명된 높은 기술력을 바탕으로 국내외 모바일 보안시장 공략을 강화할 것이다”라고 말했다.

 

한편, 이번 AV-TEST의 모바일 보안제품 성능 평가에는 글로벌 보안업체 30곳이 참여해 27개가 테스트를 통과했다.

 

V3 모바일은 다양한 국제 인증으로 검증된 악성코드 분석 능력과 글로벌 수준의 대응 체제를 바탕으로 신종 모바일 악성코드에 즉각 대응할 수 있다. 또한, 타사 대비 검사 속도와 진단율은 높고, 프로그램 설치 사이즈 및 메모리 사용량과CPU 점유율은 낮은 것이 강점이다. 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군]의 스마트폰에 기본 탑재되어 있다. 

 

<보충자료>

AV-TEST의 모바일 보안제품 테스트

모바일 보안제품 평가는 권위있는 글로벌 보안제품 성능 평가기관인 AV-TEST가 2013년 1월부터 새롭게 시작된 것으로, 현재까지 가장 신뢰할 수 있는 모바일 보안제품 성능 테스트다. 악성코드 탐지율, 오진, 모바일 디바이스 성능 저하율, 부가기능 등 다양한 측면에서 보안제품의 성능을 테스트한다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 다차원 분석 플랫폼 기반으로 V3 전 제품군에 악성코드 대응력 강화, 엔진사이즈 감소 및 빨라진 검사속도, 사용자 편의성 대폭 향상 

- 매체제어 기능 포함한 기업용 PC 보안통합 관리 솔루션 ‘V3 ES 9.0’ 동시 출시


V3 탄생 25주년을 맞은 보안 기업 안랩이 보안 기능을 대폭 강화시킨 개인 및 기업 사용자용 새로운 V3 제품군을 출시했다.

 

안랩[대표 김홍선 www.ahnlab.com]은 30일, 새로워진 다차원 분석 플랫폼을 적용해 더욱 강력한 악성코드 방어 기능을 제공하는 V3 제품군 4종의 새 버전과 1개의 신제품을 정식 출시했다.

 

오늘 공개된 신제품은 ‘다차원 분석 플랫폼’을 기반으로 탄생했다. 안랩의 다차원 분석 플랫폼이란 새로운 V3의 통합 플랫폼으로, 강력한 악성코드 통합 분석 및 대응, 향상된 탐지 및 진단 기능을 제공한다.

 

새로운 버전의 V3 제품군은 개인사용자용 토털 PC보안 케어 제품‘V3 365 클리닉’, 중소기업용 통합 PC 보안 솔루션 ‘V3 MSS[Managed Security Service]’, 기업용 PC 보안 제품인 ‘V3 인터넷 시큐리티 9.0[V3 Internet Security 9.0]’, 서버전용 백신 ‘V3 Net 9.0’이며, 새롭게 선보인 제품은 기업용 PC 보안통합 관리 솔루션인 ‘V3 엔드포인트 시큐리티 9.0[V3 Endpoint Security 9.0]이다.

 

진단기능 추가로 악성코드 방어기능 강화


오늘 공개한 새로운 버전의 V3 유료 제품군에는 안랩의 클라우드 기술인 ‘안랩 스마트 디펜스[AhnLab Smart Defense]’ 기반의 강력한 악성코드 탐지 기능과 행위기반 진단과 평판기반 진단 기술을 추가로 탑재해 악성코드 대응력을 크게 향상되었다.

또한, 의심 파일의 행위를 분석해 알려지지 않은 악성코드의 실행을 사전 차단하는 ‘행위기반 진단’, 의심 파일에 대한 클라우드 평판 정보로 의심스러운 신규 파일을 분석하는 ‘평판기반 진단’을 통해 더욱 정교한 악성코드 탐지가 가능하다.

이러한 행위기반 및 평판기반 진단 기술로 사전 차단된 악성코드 유포경로를 실시간으로 추적/관리해 사용자들의 악성 웹사이트 혹은 피싱사이트 방문을 차단하는 사전 예방 기능도 새롭게 제공한다. 이에더해, 이상/과다 트래픽 등 네트워크의 의심 행위를 바탕으로 침입을 탐지하고 차단하는 네트워크 보안 기능도 새로 탑재했다.

 

엔진사이즈 감소 및 검사속도 증대[기존 V3 대비 30% 엔진 경량화, 최대 10배 빠른 검사]


새로운 엔진인 ‘TS 프라임[TS Prime]’엔진을 적용해 엔진 크기와 검사 시 PC의 시스템 부담을 대폭 감소시키고, 검사속도는 빨라졌다. 새로운 V3 플랫폼은 악성코드의 고유정보[DNA]를추출하는 방식으로 엔진 용량을 기존 V3 제품군 대비 30% 수준으로 경량화해, 사용자 PC의 시스템 부담은 대폭 감소했다. 이와 함께, 최초 1회 검사로 안전성 확보 후 새로운 파일 및 변환된 파일을 검사하는 ‘스마트 스캔[Smart Scan]’ 기술로 검사 속도가 기존 V3 대비 최대 10배 가량 빨라졌다.

 

능동적 위협관리 기능 ‘액티브 디펜스[Active Defense]’


새롭게 추가된 ‘액티브 디펜스[Active Defense]’로 사용자 PC에서 발생한 프로그램의 행위 정보와 문제가 될 만한 가능성이 있는 파일을 필터링한다. 또한, 사용자에게 의심스러운 파일 및 프로세스에 대해 평판 정보, 프로그램의 의심 행위 정보 등 의심파일에 대한 상세한 정보를 제공해 사용자의 능동적 대응이 가능하다. 액티브 디펜스 기능은 사용자가 자신의 PC 상태를 파악하고 능동적으로 대응 할 수 있도록 프로그램 활동 내역 정보, 동작 중인 프로세스 정보. 최근 생성된 파일 정보, 클라우드 자동분석 목록 등 다양한 정보를 제공한다.

 

사용자 편의성 강화


사용자 인터페이스도 대폭 변화했다. 먼저 첫 화면에 파랑[안전], 노랑[주의], 주황[위험] 등 알기 쉬운 색상을 사용해 사용자가 PC의 보안 상태를 한눈에 알 수 있다. 제품의 각종 상태를 점검해 문제를 해결하는 ‘해결하기’와 PC 검사 및 최적화 등 핵심 기능을 타일형식으로 배치해 첫 화면에서 즉시 이용할 수 있다. 이전에 찾기 어려웠던 복잡한 옵션 기능도 단순화해 사용자가 다양한 기능을 손쉽게 활용할 수 있다. 또한, 보안센터 기능을 새롭게 추가해, 6가지 보안상태[네트워크보안, 클라우드보안, PC보안, 평판기반실행차단, 행위기반 진단, 액티브 디펜스]를 실시간으로 보여주고 관련 상세정보를 제공한다. 개인용 제품인 V3 365 클리닉의 경우 보안 전문 클리닉 서비스를 한 곳에 모아 손쉽게 서비스를 이용할 수 있도록 사용성이 강화됐다.

 

[신제품] ‘V3 엔드포인트 시큐리티 9.0[V3 Endpoint Security 9.0]’


오늘 새롭게 선보인 V3 엔드포인트 시큐리티 9.0는 기업용 PC 보안통합 관리 솔루션으로, 매체제어 기능을 가지고 있는 것이 특징이다. 안랩의 전사 SW 관리솔루션인 안랩 폴리시 센터[AhnLab Policy Center]와 함께 사용하면 USB, 블루투스, CD/DVD 드라이브, 스마트카드 리더 등 PC와 연결되는 모든 매체의 권한을 중앙에서 일괄적으로 관리할 수 있어, 더욱 광범위한 보안이 가능하다. 하반기에는 안랩의 보안제품과 기능연결을 제공해, 손쉬운 전사 PC 통합관리가 가능하다.

 

안랩 김홍선 대표는 "최근의 고도화되는 보안위협에 대응하기 위해서는 악성코드 유입 단계부터 능동적으로 대응하는 것이 중요하다. 이에 안랩은 평판 기반, 행위 기반 등 진일보한 기술을 결합해 다차원 분석 플랫폼을 구축하고 이를 통해 더욱 강력해진 V3 제품군을 선보였다. 특히, V3 탄생 25주년을 맞는 올해에 이를 발표하게 되어 더욱 의미가 있다. 앞으로도 안랩은 안전한 온라인 환경을 만들어 나가기 위해 기술 개발을 이어나갈 것이다.”고 말했다.

 

한편, 안랩은 V3 제품군 통합 출시를 기념해 안랩닷컴 사이트[http://www.ahnlab.com/kr/site/event/event/V3platform.do]에서 퀴즈 맞추기, 영상 소문내기, 구매고객 혜택 제공 등 다양한 프로모션을 오늘부터 시작한다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 문서 파일 실행 시 취약점으로 인해 악성코드 설치, 실행 

- SW 보안 패치, 백신 실시간 감시 기능 실행 등 필수


정보보안 기업 안랩[대표 김홍선, www.ahnlab.com]은 한/글 프로그램에서 보안 취약점이 발견되어 이에 대한 보안 패치를 적용하라고 11일 권고했다.


이번에 발견된 취약점은 한/글 문서를 실행했을 때 특정 악성코드가 설치, 실행되는 것이다. 안랩은 취약점을 발견한 7월 5일 한글과컴퓨터사에 관련 정보를 공유했고, 한글과컴퓨터사는 10일 보안 패치를 완료해 사용자에게 공지했다. 한컴 오피스 2007, 한/글 2007, 한/글 2005, 한/글 2004, 한/글 2002 SE 사용자는 해당 패치를 반드시 업데이트해야 안전하다.


이번 악성코드는 ‘동북아 평화 협력 구상 어떻게 실현할 것인가’라는 제목의 문서에 삽입되어 소형 커뮤니티 사이트에 업로드되었거나 이메일에 첨부되어 유포된 것으로 추정된다. 악성코드에 감염되면 HWP 파일은 물론 DOC, PPT, PDF, TXT, XLS, RAR, ZIP 등의 파일을 외부로 유출한다. 또한 MAC 주소, 사용자 이름 등 시스템 정보도 외부로 유출한다. 또한 PC를 감염시킨 후에는 자신을 정상 한/글 파일로 덮어씀으로써 사용자로 하여금 악성코드 감염 사실을 인지하기 어렵게 한다. 해당 악성코드는 V3 제품군 최신 버전으로 진단/치료할 수 있다. [진단명 Win-Trojan/Infostealer.147456.B]


안랩 시큐리티대응센터 김아영 주임연구원은 “소프트웨어의 취약점을 이용하는 악성코드가 많이 발견되는 가운데 사용자가 많은 문서 프로그램의 취약점을 겨냥하는 경우가 급증하고 있다.”라고 분석했다.


이호웅 시큐리티대응센터장은 “인터넷 검색 시 아무 파일이나 다운로드하지 말고 이메일에 첨부된 문서로 함부로 실행하지 말아야 한다. 항상 최신 버전의 백신을 사용하고 실시간 감시 기능을 켜두는 것이 안전하다.”라고 강조했다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

6월 25일 오전 10시에 일부 정부 기관 홈페이지를 대상으로 DDoS(Distributed Denial of Service) 공격을 수행하도록 제작된 악성코드가 발견되었다. 


ASEC에서는 해당 DDoS 공격 수행 기능을 가진 악성코드들을 신속하게 확보하여 상세한 분석을 진행 중에 있다. 현재까지 분석된 정보들은 아래와 같으며, 추가적으로 분석된 정보들은 ASEC 블로그를 통해 지속적으로 업데이트 할 예정이다.


[업데이트 히스토리]

1) 2013.06.25 - 6.25 DDoS 공격에 사용된 악성코드 상세 분석 내용 최초 작성

2) 2013.06.266.25 DDoS 공격에 사용된 악성 스크립트 상세 분석 내용 추가


1. 공격 시나리오


특정 웹하드 업체(www.simdisk.co.kr)의 설치 파일(RARSFX)을 변조하여 압축 해제 후 SimDiskup.exe 가 실행 되도록 해두었다. 


아래 이미지는 이 번에 유포된 악성코드들의 전체적인 상관 관계를 도식화한 이미지이다.



2. 주요 파일 분석 정보


1) servmgr.exe (4,383,232 바이트)


해당 파일은 전체적인 구조에서 드롭퍼(Dropper) 역할을 수행하도록 제작된 악성코드이다. 해당 파일의 리소스(Resource) 영역에는 다른 PE 파일 4개를 포함하고 있으나, 실제로는 동일한 기능을 수행하는 32비트(Bit)와 64비트(Bit) 악성코드로 나누어져 있다. 


아래 이미지는 해당 파일에 대한 구조를 도식화 한 것 이다. 



해당 악성코드가 실행이 되면 우선 감염된 시스템의 운영체제 버전 정보를 체크한 후, OpenFileMappingA 함수를 호출하여 동일한 악성코드에 이미 감염되어 있는지를 확인하게 된다.


MappingName = "Global\MicrosoftUpgradeObject9.6.4"

 

그리고 감염된 시스템의 윈도우가 32비트인지 64비트 운영체제인지를 확인하여, 해당 윈도우 운영체제  환경에 맞는 파일들을 생성하게 된다. 그리고 GetVersionExA 함수를 이용하여 윈도우 운영체제의 버전 정보가 6.0 (Vista) 이상일 경우에는 UAC(User Access Control)를 무력화 한 후 다른 파일들을 추가로 생성하게 된다.


우선 32비트 윈도우 운영체제에서는 %Temp% 폴더에 ~DR(임의의 숫자).tmp (1,995,776 바이트) 파일을 생성 한 후에 별도의 인자값 없이 LoadLibaray 함수를 호출하여 자신을 로드 하게 된다.


이후 다시 Ole(윈도우 정상 서비스명).dll (936,448 바이트) 파일을 생성하고 윈도우 서비스로 등록 한다. ~DR(임의의 숫자).tmp가 생성한 파일은  "Ole" 문자열과 감염된 시스템의 윈도우 서비스명을 조회하여 이를 조합하여 파일명을 생성하게 된다.  


해당 Ole(윈도우 정상 서비스명).dll 파일은 특정 파일을 다운로드 한 이 후, 다운로드 한 파일에서 특정 조건이 확인 되면 DoS(Denial of Service) 공격을 수행하는 파일을 생성하고 실행하게 된다.


그리고 64비트 윈도우 운영체제에서는 다음 2개 파일 생성 한 이후에 CreateProcessA 함수를 이용하여 실행하게 된다.


* 사용자 계정의 임시 폴더(Temp)에 ~ER6.tmp (215,048 바이트)

64비트 윈도우 운영체제에서 UAC 무력화 기능을 수행하는 파일이다.


사용자 계정의 임시 폴더(Temp)에 ~DR7.tmp (146,170 바이트)

32비트 윈도우 운영체제에서 로드 한 파일과 동일한 기능을 수행하는 파일로 Ole(정상윈도우서비스명).dll 파일을 윈도우 서비스로 등록하게 된다.


그리고 해당 파일들을 실행하기 위한 인자값으로 다음을 사용한다.


"C:\DOCUME~1\(사용자 계정)\LOCALS~1\Temp\~ER6.tmp" 

"C:\DOCUME~1\(사용자 계정)\LOCALS~1\Temp\~DR7.tmp"

 

해당 파일들이 정상적으로 실행이 되면 이 후 다음 배치(Batch) 파일을 생성하여, 자기 자신을 삭제하게 된다.


C:\DOCUME~1\(사용자 계정)\LOCALS~1\Temp\ud.bat


2) Ole(윈도우 정상 서비스명).dll (936,448 바이트) 


해당 악성코드는 윈도우 시스템 폴더(system32)에 ole(윈도우 정상 서비스명).dll 라는 파일 형태로 생성하여 실행 된다. 


그러나 드로퍼에 의해 감염 될 때 마다 임의의 문자열을 사용하여 파일명이 달라지게 된다. 파일의 첫 문자열인 Ole는 접두어로 항상 일정하게 생성되나, 나머지 문자열은 감염된 시스템에 존재하는 정상 윈도우 시스템 파일들 중 하나의 DLL 파일명을 조합하여 사용하는 것으로  추정 된다. 


그리고 해당 파일은 윈도우 서비스로 동작 하며, 다음의 URL로 접속을 시도하여 성공하게 될 경 다른 파일을 다운로드 하게 된다.


webmail.genesyshost.com/mail/images/ct.jpg

www.hostmypic.net/pictures/e02947e8573918c1d887e04e2e0b1570.jpg


파일 다운로드가 성공하게 될 경우에는 사용자 계정의 임시 폴더(Temp)에 ~MR(임의의 숫자 2자리).tmp 파일을 생성하게 된다. 


해당 파일은 시그니쳐('BM6W')와 시간 정보(6월 25일10:00)를 포함하고 있는 데이터 파일로서, 감염된 시스템의 시간 정보를 비교하여 동일 할 경우에는 윈도우 시스템 폴더(system32)에 wsauieop.exe(847,872 바이트) 파일을 생성하고 실행하게 된다.


3) wuauieop.exe (847,872 바이트)


윈도우 시스템 폴더(system32)에 생성된 wuauieop.exe (847,872 바이트) 파일은 DDoS 기능을 수행한다. 


해당 파일 내부에는 DDoS 공격의 대상이 되는 시스템의 IP 2개가 하드코딩되어 있으며, 각각 쓰레드로 무한루프를 돌면서 DDoS 공격이 이루어 지게 된다.


* Thread Function(1) (=401110) 공격 대상 IP: "152.99.1.10:53"



* Thread Function(2) (=4012A0) 공격 대상 IP: "152.99.200.6:53"


이 외에 추가로 2개의 쓰레드 루틴을 더 생성하여 임의의 도메인명을 생성하게 된다. 이는 임의의 도메인명들을 생성하여 DDoS 공격효과를 증대 시킨 것으로 추정 된다. 

 

생성하는 임의의 도메인명들은 "[임의의 문자열].gcc.go.kr" 을 가지고 있으며, 사용하는 임의의 문자열은  a~z 까지의 ASCII로 무작위로 채워진다.


그리고, 도메인명에 사용하는 임의의 문자열은 최대 길이는 28자를 넘을 수가 없도록 제작 되었다.



4) ~SimDisk.exe (3,405,824 바이트)


해당 파일은 인터넷에 공개되어 있는 토르(Tor) 프로그램의 소스코드를 사용하여 제작된 파일로 네트워크 접속 정보의 감시, 추적 및 분석을 어렵게 하기 위한 목적으로 제작 된 것으로 추정된다.


다음 경로에 다수의 파일들을 생성하며 생성한 파일들의 파일명은 윈도우 시스템 폴더(System32)를 조회하여 사용하는 것으로 추정된다.


C:\Documents and Settings\(사용자 계정명)\Application Data\Identities\{e38632c0-f9a0-11de-b643-806d6172696f}


cmd.exe (Npkcmsvc.exe) - conime.exe (tor.exe) 를 구동하는 런처 프로그램

config.ini - cmd.exe 가 참조하는 구성 설정 파일

conime.exe - 토르(Tor) 프로그램의 소스코드를 사용하여 제작한 파일


3. DNS(Domain Name Service) DDoS 트래픽 분석


1) DNS DDoS


DNS DDoS는 DNS 서버에 과도한 양의 네트워크 트래픽(Network Traffic)을 전송하여, 정상적인 DNS 조회가 성공하지 못하도록 서비스 거부를 유발하게 된다.


발생하는 트래픽은 2 개의 DNS 서버를 목표로 공격하였으며, 공격 대상이 되는 해당 네임 서버는 주요 정부 기관에서 사용하는 것으로 이로 인해 이번 공격의 대상이 된 것으로 추정된다.


ns.gcc.go.kr (152.99.1.10)

ns2.gcc.go.kr (152.99.200.6)


해당 악성코드에 의해 발생한 DDoS 공격 트래픽의 특징을 정리하면 다음과 같다.


일반적인 경우 A Query인데 반해, 모두 ANY Query를 전송

질의는 하나의 NS에 전송하는 데 반해, 152.99.1.10, 152.99.200.6 을 동시에 요청

일반적인 DNS Query는 소량의 트래픽이지만, DNS 서버 부하를 위해 데이터 크기를 1300~1400 Byte로 조정


ANY 레코드가 사용 된 점은 "gcc.go.kr" 의 주 네임 서버를 효과적으로 공격하기 위한 것이며, [임의의 문자열].gcc.go.kr 를 쿼리(Query)에 사용한 점은 랜덤 호스트명을 사용하여 캐쉬(Cached) 된 정보 재사용으로 인해 공격 효과가 떨어지는 것을 막기 위해서 이다. 그리고 약 1400 bytes 의 데이터를 사용한 것은 공격 네임 서버로의 밴드위쓰(Bandwidth)  소모하기 위해서이다.


악성코드에 의해 생성된 패킷(Packet)에서는 초당 약 712회의 DNS Query를 전송하는 것으로 확인 되었다.



DNS Query의 형식은 아래 이미지와 같이 [임의의 문자열의 호스트 이름].gcc.go.kr로 되어 있다.



4. DDoS 공격 악성 스크립트 분석


1) 스크립트 기반의 DDoS 공격 시나리오


이번 6.25 DDoS 공격에는 기존의 좀비 PC를 이용한 공격 외에 악성 스크립트를 이용한 공격 방식이 이용됐다. 이 경우, 일반 사용자가 웹 브라우저를 통해 변조된 서버를 방문하는 것만으로 악성 트래픽을 발생하게 된다.



위 이미지는 스크립트(Script) 기반의 DDoS 공격의 시나리오를 재구성한 것으로, 주요 공격 진행 과정은 다음과 같다.


* 공격자는 사전에 다수의 불특정 사용자들이 방문하는 경유지 서버를 해킹

* 경유지 서버에서 사용하는 정상적인 페이지에 DDoS 공격 스크립트 삽입

* 불특정 다수 사용자들이 웹 브라우저로 경유지 서버 방문시, 사용자 PC 상에서 DDoS 공격 스크립트 실

* 스크립트에 설정된 공격 대상 서버에 다량의 HTTP GET을 요청해 악성 트래픽 유발


2) 경유지/공격대상 서버 정보


* 경유지 서버


경유지로 이용된 서버는 외국인들이 주로 이용하는 하숙/고시원 정보 제공 사이트로, 공격 목적에 따라 다음과 같이 일부 파일이 변조되었으나 현재 정상화되었다.



* 공격 대상 서버

공격 대상인 3개 사이트의 총 60개 하위 URL을 대상으로 DDoS HTTP GET 공격이 이루어졌다.



3) 공격 트래픽 분석


* HTTP GET 패킷 정보


아래 이미지는 HTTP GET 요청 패킷 정보로, 아래 표의 HTTP GET 요청의 특징적인 부분을 확인할 수 있다.




* DDoS 트래픽 통계 정보


공격 스크립트는 아래 이미지와 같이 0.25 ms 단위로 공격 대상 URL을 랜덤으로 선택하여 HTTP GET 요청을 시도하도록 구현되어 있다.



분석 환경에서 재현한 결과, 아래 이미지과 같이 대략 초당 60회의 HTTP GET 요청을 시도하는 것으로 분석되었으나, 사용자 시스템에 따른 영향이 있을 수 있다.



4) 공격 스크립트 구성


공격자는 다음과 같이 다수의 사용자가 방문하는 경유지 서버(www.********.co.kr)를 해킹하여 DDoS 공격을 수행하는 스크립트를 삽입하였다.


[메인 페이지]

www..*********.co.kr/index.html - 청와대 공격용 스크립트 삽입



위 이미지는 경유지 서버의 메인 페이지가 변조 전의 코드들이며, 아래 이미지는 공격자에 의해 변조된 메일 페이지 모습을 나타낸다.



[공통 자바 스크립트 파일]

www..*******.co.kr/common/js/common.js - 새누리당/국정원 공격용 스크립트 삽입



위 이미지는 경유지 서버의 변조 전의 자바 스크립트(Java Script) 코드이며, 아래 이미지는 공격자에 의해 변조된 자바 스크립트 코드 모습을 나타낸다.



아래 이미지와 같이 makeHTTPRequest 함수에서 실제 공격 URL을 구성해 HTTP GET 요청 트래픽을 발생시킨다.



아래 이미지와 같이 setInterval 함수를 이용해 일정 시간 단위로 공격 URL을 요청하는 settingUrl 함수를 호출한다.



5) 공격 대상 상세 정보


아래 표와 같이 공격 대상인 3개 사이트의 하위 URL 총 60개를 대상으로 HTTP GET 요청을 반복적으로 수행한다.



6월 25일 오전 정부 기관 홈페이지를 대상으로 발생한 DDoS(Distributed Denial of Service) 공격을 수행하도록 제작된 악성코드들은 2013.06.25.04 버전 이후의 최신 엔진으로 업데이트 한 V3 제품군들에서는 모두 다음과 같이 진단한다.


Trojan/Win32.Ddkr 

Trojan/Win32.XwDoor


앞서 언급한 바와 같이 ASEC에서는 상세한 분석을 진행 중에 있으며, 추가적으로 확인 된 정보들에 대해서는 본 블로그를 통해 지속적으로 업데이트 할 예정이다.


저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원