검색 엔진을 개발하는 구글(Google)에서는 사용자들의 편의성을 위해 지메일(Gmail), 구글 리더(Google Reader)와 구글 닥스(Google Docs) 등 여러가지 서비스를 제공해주고 있다.


구글에서 제공하는 서비스들은 인터넷만 연결되어 있다면 언제든지 메일과 웹 사이트 그리고 문서 등을 읽거나 작업할 수 있는 공간을 제공 해주고 있으며, 개발자들의 경우에는 구글 코드(Google Code)라고 하여 프로그램 개발과 관련한 소스코드와 파일등을 개발자들 사이에서 공유 할 수 있는 공간을 제공하고 있다.


이러한 서비스들 모두 24시간 중단되지 않는 가용성을 제공하고 있으며, 구글에서 운영을 하고 있음으로 안정성까지 제공 받을 수 있다는 점을 악용하여 구글 코드에 악성코드를 업로드하여 유포에 악용하는 사례가 7월 23일 발견되었다.


구글 코드를 악성코드 유포에 악용하였던 사례는 이번이 처음은 아니며 7월 18일 발견되었던 개인 금융 정보 탈취 목적의 Banki 트로이목마 역시 구글 코드를 악용하였다.


이 번에 발견된 구글 코드를 악용해 유포되고 있는 악성코드들은 아래 이미지와 같이 총 2개의 파일이며 server.exe (58,368 바이트)와 1.exe (37,772 바이트)이다.



해당 악성코드들의 상관 관계에 대해 ASD(AhnLab Smart Defense)의 데이터베이스를 통해 분석 결과 1.exe (37,772 바이트)는 최초 7월 22일 17시경 유포되었다.


해당 1.exe (37,772 바이트) 파일이 실행되면 윈도우 시스템 폴더에 다음과 같이 자신의 복사본으로 생성하게 된다.


C:\WINDOWS\system32\WinHelp32.exe


그리고 "Windows Help Systemg" 라는 서비스명으로 다음의 레지스트리 키를 생성하여 시스템 재부팅시 자동 실행하도록 구성하였다.


HKLM\SYSTEM\ControlSet001\Services\WinHelp32t\ImagePath

"C:\WINDOWS\system32\WinHelp32.exe"


그리고 중국에 위치한 특정 시스템으로 접속을 시도하게 되나 분석 당시에는 정상적인 접속이 이루어지지 않았다. 그러나 ASD의 데이터베이스를 통해 네트워크 접속 로그를 확인한 결과 7월 22일 23시경에는 다음 파일을 다운로드 하는 명령을 수행하고 있었다.


http://*********.googlecode.com/files/server.exe


1.exe (37,772 바이트)는 별도의 드라이버 파일(.SYS) 파일을 통해 보안 소프트웨어에 의해 후킹(Hooking)되어 있는 SSDT(System Service Dispatch Table)를 강제로 복구하는 기능을 수행하여, 자신이 보안 제품에 의해 탐지 되지 않도록 한다.


그 외에 공격자 의도에 따라 다음의 악의적인 기능들을 수행하게 된다.


파일 다운로드 및 실행

운영 체제 및 하드웨어 정보 수집

DoS(Denial of Service) 공격


1.exe (37,772 바이트)에 의해 다운로드 되는 server.exe (58,368 바이트)가 실행면 윈도우 시스템 폴더에 다음 파일을 생성하게 된다.


C:\WINDOWS\system32\(6자리 임의의 문자).exe   


그리고 "Remote Command Service"라는 서비스명으로 레지스트리 키를 생성하여 시스템 재부팅시 자동 실행하도록 구성하였다.


HKLM\SYSTEM\ControlSet001\Services\rcmdsvc\ImagePath

"C:\WINDOWS\system32\(6자리 임의의 문자).exe"


이와 함께 레지스트리 특정 키값을 수정하여 윈도우 시스템에 내장된 방화벽을 우회 할 수 있도록 설정하게 된다.


server.exe (58,368 바이트) 역시 7월 23일 20시 경에는 중국에 위치한 시스템에 접속을 시도하였으나 분석 당시에는 정상적인 접속이 이루어지지 않았다.


해당 파일 역시 공격자 의도에 따라 다음과 같이 일반적인 백도어(Backdoor)와 유사한 다양한 악의적인 기능들을 수행하게 된다.


파일 다운로드 및 실행

운영 체제 및 하드웨어 정보 수집

키보드 입력 후킹

DoS(Denial of Service) 공격

원격 제어


이 번 구글 코드를 통해 유포된 해당 악성코드들은 V3 제품군에서 다음과 같이 진단한다.


Win-Trojan/Agent.70144.KG

Backdoor/Win32.Yoddos


ASD 데이터베이스의 데이터를 통해 1.exe (37,772 바이트)와 server.exe (58,368 바이트)의 정보들을 분석하는 과정에서 1.exe (37,772 바이트)가 다수의 국내 웹 사이트들에 대한 분산 서비스 거부(Distributed Denial-of-Service) 공격을 수행하였던 데이터들을 확인하였다.


해당 분산 서비스 거부 공격의 대상이 되었던 웹 사이트들은 웹 하드 서비스 업체 웹 사이트와 소규모 의류 쇼핑몰이 주를 이루고 있었다.


이러한 정황들을 미루어 공격자는 중국 언더그라운드에서 공유되는 악성코드 생성기를 통해 생성한 악성코드들을 구글 코드에 업로드 한 후 취약한 웹 사이트 또는 포털 웹 사이트의 카페 등을 통해 유포한 것으로 추정된다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

한국에서 많이 사용되는 한글 소프트웨어에 존재하는 알려지지 않은 제로데이(0-Day, Zero-Day) 취약점 또는 기존에 알려진 취약점을 악용한 악성코드 유포는 2010년 무렵부터 국내에서 발견되기 시작하였다.


이러한 취약점이 발견될 때마다 한글 소프트웨어를 개발하는 한글과 컴퓨터에서는 발견된 해당 취약점을 제거하는 보안 패치도 꾸준히 배포하였다.


금일 다시 한글 소프트웨어에 존재하는 알려지지 않은 제로 데이 취약점을 악용하여 악성코드 감염을 시도한 사례가 발견되었다.


이 번에 발견된 취약점을 포함하고 있는 취약한 한글 파일(HWP)은 986,624 바이트의 크기를 가지고 있으며, 전자 메일의 첨부 파일 형태로 유포된 것으로 파악하고 있다.



해당 취약한 파일은 아래 이미지와 같은 구조를 가지고 있으며, 한글 파일 내부에 다른 PE 파일이 인코딩 된 상태로 포함되어 있다.



이 번에 발견된 해당 취약한 한글 파일은 아래 이미지와 같은 전체적인 악성코드 감염 구조를 가지고 있으며, 다른 악성코드들과 로그 파일을 생성하게 된다.



해당 취약한 한글 파일을 실행하게 되면 사용 중인 윈도우(Windows) 시스템에 다음의 파일이 생성된다.


C:\WINDOWS\YAHOO.dll (135,168 바이트)


생성된 해당 YAHOO.dll 파일은 다시 윈도우 시스템 폴더(C:\WINDOWS\system32\)에 다음 파일들을 생성하게 된다.


C:\WINDOWS\system32\winview.exe  (49,152 바이트)

C:\WINDOWS\system32\c_38901.nls (45,056 바이트)


그리고 다시 생성된 파일 중 하나인 winview.exe 는 다시 자신의 복사본을 아래와 같이 생성하고 감염된 시스템의 정보들을 기록하는 로그 파일을 생성하게 된다. 


C:\WINDOWS\system32\IBMCodecSrv.exe (49,152 바이트)

C:\WINDOWS\system32\c_43911.nls

C:\WINDOWS\system32\abc.bat (39 바이트)


생성된 abc.bat 는 아래와 같은 커맨드 명령으로 동일한 윈도우 시스템 폴더에 tmp.dat를 생성하고 악성코드가 실행된 년도와 날자를 기록하게 된다.


date /t > "C:\WINDOWS\system32\tmp.dat" 


생성된 로그 파일 c_43911.nls은 아래 이미지와 같이 감염된 시스템의 하드웨어 및 운영체제 정보들 그리고 현재 감염된 시스템에서 실행 중인 프로그램들의 프로세스(Process) 정보 모두를 기록하게 된다



그리고 감염된 시스템이 재부팅을 하더라도 악성코드 자신을 다시 실행시키기 위하여 윈도우 레지스트리에 특정 키를 생성하여 생성된 파일 중 하나인 IBMCodecSrv.exe 을 "Microsoft Audio Codec Services"라는 명칭으로 윈도우 서비스로 등록하게 된다.


HKLM\SYSTEM\ControlSet001\Services\Microsoft Audio Codec Services

ImagePath = "C:\WINDOWS\system32\IBMCodecSrv.exe"


생성된 파일들은 각가 다른 역할을 하도록 설계 되어 제작되었으며, 하나의 악성코드만을 분석하여서는 해당 악성코드들이 어떠한 목적을 가지고 설계 및 제작이 되었는지를 파악하기 어렵도록 구성되었다.


최초 YAHOO.dll에 의해 생성되는 파일인 winview.exe와 해당 파일의 복사본인 IBMCodecSrv.exe는 아래 이미지에서와 같이 감염된 시스템의 하드웨어 및 운영체제 정보 수집한다.



그리고 이와 함께 함께 감염된 시스템에서 다음의 웹 브라우저들이 실행되면 해당 프로세스를 모니터링하여 접속하는 웹 사이트 주소들 역시 모두 수집하게 된다.


FireFox

Internet Explorer

Chrome


winview.exe와 해당 파일의 복사본인 IBMCodecSrv.exe는 감염된 시스템에서 웹 사이트 접속 주소, 하드웨어 및 운영체제 정보들을 수집하여 이를 로그 파일인 c_43911.nls에 기록하는 정보 수집 목적으로 제작된 악성코드 이다. 


그리고 YAHOO.dll 파일에 의해 생성되는 다른 c_38901.nls 파일은 아래 이미지에서와 같이 감염된 시스템에서 임의로 구글(Google) 지메일(Gmail)의 사용자 세션을 연결하게 된다. 



연결한 구글 지메일 세션을 이용하여 c_38901.nls는 특정 메일 주소로  winview.exe와 해당 파일의 복사본인 IBMCodecSrv.exe에 의해 감염된 시스템에서 수집된 정보들이 기록된 로그 파일인 c_43911.nls을 전송하는 정보 탈취 목적으로 제작된 악성코드이다.


이 번에 발견된 한글 소프트웨어에 존재하는 알려지지 않은 제로 데이 취약점을 악용한 악성코드 감염 시도는 해당 악성코드가 감염된 시스템으로부터 다양한 정보들을 수집하기 위한 목적으로 제작된 것으로 추정되며, 이러한 정보는 향후 다른 공격을 계획하거나 구상할 경우 유용한 데이터로 활용 될 수 있다.


이 번에 발견된 한글 소프트웨어에 존재하는 알려지지 않은 제로 데이 취약점을 악용한 악성코드들은 V3 제품군에서 모두 다음과 같이 진단한다.


HWP/Exploit

Trojan/Win32.Dllbot

Trojan/Win32.Npkon


APT 전문 대응 솔루션인 트러스와쳐(TrusWatcher)에 포함된 DICA(Dynamic Intelligent Content Analysis)에 의해 시그니처 없이 아래와 같이 탐지가 가능하다.


Exploit/HWP.AccessViolation-DE


향후 출시 예정인 V3 인터넷 시큐리티(Internet Security) 9.0 에 포함된 ASD 2.0의 MDP 엔진에서도 시그니처 없이 다음과 같이 탐지가 가능하다.


Dropper/MDP.Document(57)


현재 해당 악성코드에서 사용한 취약점은 앞서 언급한 바와 같이 한글과 컴퓨터에서 보안 패치가 제공되지 않는 제로데이 취약점이다.


그러므로 메일이나 웹 사이트 등으로부터 전달 받게된 출처가 불명확한 한글 파일을 실행하는 경우에는 각별한 주의가 필요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원