ASEC에서는 7월 11일 취약한 웹 사이트를 통해 온라인 뱅킹에 사용되는 개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 유포되었음을 공개하였다.


개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 7월 14일과 15일 주말 사이 사용자가 많은 웹 하드 프로그램 웹 사이트의 설치 파일을 변경하여 유포된 사례가 발견되었다.


이번에 유포된 Banki 트로이목마 변형은 보안 관리가 상대적으로 취약한 웹 하드 프로그램의 웹 사이트에서 배포 중인 설치 파일을 RARSfx로 악성코드와 정상 설치 파일을 압축한 파일을 배포 중인 정상 설치 파일과 변경하여, 사용자로 하여금 악성코드가 포함된 변경된 설치 파일을 다운로드하도록 하였다.



정상 웹 하드 설치 파일을 변경하여 유포된 Banki 트로이목마 변형이 동작하는 전체적인 구조를 도식화 한 이미지는 아래와 같다.



웹 하드 프로그램의 웹 페이지에서 배포 중인 웹 하드 프로그램의 설치 파일은 RARSfx 파일로 압축된 파일로 변경되어 있으며, 변경된 파일 내부에는 아래와 같이 정상 설치 파일과 함께 RARSfx로 압축된 btuua.exe (174,624 바이트)이 포함되어 있다.



해당 변경된 파일을 실행하게 되면 윈도우 폴더의 임시 폴더(temp)에 다음 파일들을 생성하게 된다.


C:\winodws\temp\btuua.exe (174,624 바이트)

C:\winodws\temp\******_Setup.exe (9,918,872 바이트)


그리고 아래 이미지와 같이 정상 웹 하드 프로그램인 ******_Setup.exe의 설치가 진행된다.



그리고 정상 웹 하드 프로그램 설치와 동시에 생성된 RARSfx로 압축된 btuua.exe (174,624 바이트) 파일 내부에는 아래 이미지와 같이 ServiceInstall.exe (69,632 바이트)와 WindowsDirectx.exe (172,032 바이트)가 포함되어 있다.



btuua.exe (174,624 바이트)는 내부에 포함된 파일들을 다음과 같이 윈도우 시스템 폴더에 생성하고 실행하게 된다.


C:\WINDOWS\system32\ServiceInstall.exe (69,632 바이트)

C:\WINDOWS\system32\WindowsDirectx.exe (172,032 바이트)


생성된 ServiceInstall.exe (69,632 바이트)는 WindowsDirectx.exe (172,032 바이트)를 레지스트리 변경을 통해 윈도우 서비스로 등록시켜, 감염된 시스템이 재부팅 하더라도 자동 실행되도록 구성한다.


HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

ImagePath = C:\windows\system32\WindowsDirectx.exe


그리고 WindowsDirectx.exe (172,032 바이트)가 실행이 되면 일본에 위치한 특정 시스템으로 접속을 시도하여 접속이 성공하게 될 경우에는 RARSfx로 압축된 58.exe (517,112 바이트)를 다운로드하게 된다. 


다운로드된 RARSfx로 압축된 58.exe (517,112 바이트) 파일 내부에는 아래 이미지와 같이 CONFIG.INI (29 바이트), CretClient.exe (708,608 바이트)와 HDSetup.exe (458,752 바이트) 파일들이 포함되어 있다.



58.exe (517,112 바이트) 파일이 실행되면 다음 경로에 내부에 포함된 파일들을 생성하게 된다.


C:\WINDOWS\CretClient.exe (708,608 바이트)

C:\WINDOWS\HDSetup.exe (458,752 바이트)


생성된 파일 HDSetup.exe (458,752 바이트)은 기존 변형들과 동일하게 동일하게 아래 이미지와 같이 hosts 파일을 변조하여 온라인 뱅킹을 위해 금융 기관 웹 사이트에 접속하게 될 경우, 홍콩에 위치한 시스템으로 연결하도록 구성하게 된다.



이 번에 발견된 온라인 뱅킹을 위한 개인 금융 정보 탈취를 노리는 Banki 트로이목마 변형들과 관련 악성코드들 모두 V3 제품군에서 다음과 같이 진단한다.


Dropper/Win32.Banki

Trojan/Win32.Scar

Trojan/Win32.Banki


현재까지 온라인 뱅킹 관련 개인 금융 정보 탈취를 노리는 Banki 트로이목마가 유포되는 방식은 2가지로 나누어 볼 수 있다.


첫 번째는, 취약한 웹 사이트를 통해 기존 온라인 게임 관련 개인 정보를 탈취하던 악성코드와 동일한 기법으로 취약한 일반 어플리케이션의 취약점을 악용해 유포되는 방식으로 사용되었던 취약점들은 다음과 같다.



두 번째로는 이 번과 같이 상대적으로 보안 관리가 취약한 웹 하드 프로그램 배포 웹 사이트를 해킹한 후 웹 하드 프로그램의 설치 파일을 악성코드가 포함되어 있는 파일로 변경하는 것이다.


이러한 두 가지 유포 사례들로 인해 웹 하드 프로그램을 자주 사용하는 사용자들은 배포그램의 자동 업데이트나 설치 파일의 재설치시 각별한 주의가 필요하다.


그리고 이와 동시에 윈도우 시스템과 자주 사용하는 일반 어플리케이션들의 취약점을 제거할 수 있는 보안 패치 설치에 주의를 기울여야 된다.


저작자 표시
신고
Posted by 비회원
■ 개 요

최근 다수의 웹페이지에 삽입된 악성스크립트로 인해 온라인게임계정을 탈취하는 Onlinegamehack 류의 악성코드에 감염되는 현상이 급증하고 있습니다.

현재 유포 중인 온라인게임핵류 악성코드는 OS 정상 시스템 파일을 교체함으로 치료가 매우 까다롭고, 악성코드의 버그 및 치료 방해 기능으로 인해 감염시 인터넷이 되지 않거나, 심할 경우 시스템 부팅이 되지 않는 증상이 발생하여 개인 및 기업에 심각한 피해를 입히고 있습니다.

이러한 악성코드 감염을 근본적으로 예방하고자, 
온라인게임핵류 악성코드가 주로 이용하는 취약점 관련 어플리케이션  중 'Flash player', 'Java' 패치 방법 에 대해 IT 관리자 측면에서 사용자에게 패치를 적용시키는 방법을 공유하오니, IT 관리자분들은 아래 내용을 참고하시어 관련 업데이트를 적용하시길 권해드립니다.




1. Flash Player silent update guide


최신버전확인: https://www.adobe.com/kr/software/flash/about/ 

  1.  Flash Player 최신버전 다운로드
    http://www.adobe.com/products/flashplayer/distribution3.html
    상단의 링크에서 플랫폼에 맞는 설치파일을 다운로드합니다.

  2. Silent 모드 인스톨

     Install_flash_player_active_x.exe /install 

    C.  참 고
          Adobe Flash player 기술지원
          http://www.adobe.com/kr/support/


2. Java(JRE) silent update guide

  1. Java(JRE) 다운로드
     http://javadl.oracle.com/webapps/download/AutoDL?BundleId=216432 (32bit)
     http://javadl.oracle.com/webapps/download/AutoDL?BundleId=216434 (64bit)
     위 링크 또는 
     http://java.com/ko/download/manual.jsp 로 이동 후
     "Windows 오프라인" 클릭 및 다운로드

  2. Silent 모드 인스톨
     jre-8u111-windows-i586-s.exe /s REBOOT=Suppress
    (설치는 대략 5-10분이 소요됩니다.)

  3. 참 고
    ▶ Java 버전 확인
    $ C:\Program Files\Java\jre8\bin\java.exe -version

    ▶ Java 기술 지원
    http://www.java.com/ko/download/support.jsp

 


관련 어플리케이션 설치및 업데이트시 문제가 발생할 경우 해당  기술 지원센터를 통해 도움받으시기 바랍니다.

※ 추가내용
위의 가이드는 IT관리자가 다수의 PC에 패치를 배포하기 위한 가이드입니다.
일반사용자들은 아래의 방법을 통해 프로그램을 업데이트하시기 바랍니다.

▶ Flash Player 업데이트
http://get.adobe.com/kr/flashplayer/
위 링크 이동 후, "지금 다운로드" 클릭하여 설치 진행
(추가 프로그램 설치를 원치 않을시엔 선택사항 체크 해제 하신 후 다운로드 클릭)

▶ Java (JRE) 업데이트
http://www.java.com/ko/
위 링크 이동 후 "무료 자바 다운로드" 클릭하여 설치 진행



 



저작자 표시 변경 금지
신고
Posted by 비회원