2011년 3월 2일 ASEC에서는 온라인 게임의 사용자 정보를 유출하는 악성코드에서 보안 제품인 V3의 설치 여부에 따라 다른 감염 기법들을 가지고 있는 악성코드의 사례에 대해 이야기 한 바 있다.
최근에 지속적으로 발견되고 있는 정상 시스템 파일인 imm32.dll에 대한 패치를 수행하는 악성코드들이 발견되고 있으나 그 패치 기법이 변경된 것을 ASEC에서 확인 하였다.
2월 말과 3월 초에 발견된 imm32.dll의 패치를 수행하는 악성코드는 아래 이미지에서와 같이 imm32.dll 파일의 익스포트(Export) 함수 모두를 포워드(Forward)하고 있다.
그러나 최근에 발견되고 있는 악성코드들에서는 아래 이미지와 같이
imm32.dll 파일의 익스포트(Export) 함수들을 포워드 하지 않고 있다.
실제 해당 imm32.dll 파일에 대해 패치를 수행하는 악성코드를 분석 해보면 imm32.dll 파일이 익스포트하는 함수 모두들에 대해서 다음 이미지와 같이 PUSH 이후 CALL을 수행하도록 되어 있다.
CALL을 수행하는 코드 부분을 따라가면 SUB 루틴으로 imm32A.dll를 로드 하도록 구성되어 있다.
결국 imm32.dll 파일을 패치하는 악성코드는 익스포트 함수들을 직접적으로 포워드하는 방식 대신 해당 악성코드 내부에서 별도의 코드로 함수를 호출하는 방식을 사용한 특징이 있다.
Categories:악성코드 정보