Autorun 관련 악성코드 조치 가이드! Posted By ASEC , 2010년 5월 10일 1. 개요 Autorun의 증상 가운데 정상 폴더와 파일의 속성을 숨김 속성으로 바꾸어 파일을 숨기고, 폴더명과 동일한 파일명의 실행 파일을 생성하여 사용자로 하여금 백신프로그램이 정상적인 프로그램을 삭제한다는 이슈가 발견되고 있어 관련 증상 및 조치가이드를 안내해 드립니다. 2. 주요증상 악성코드가 실행되면 USB 폴더 내(또는 C:나 D:등의 특정폴더)의 정상적인 폴더를 숨김 속성으로 바꾼 후 정상적인 폴더명과 폴더 모양의 아이콘을 갖는 실행 파일(.exe)을 생성합니다. 아이콘 모양이 폴더모양과 동일하지만 아래 [그림 1]과 같이 [보기]속성을 변경할 경우 실행 파일이라는 것을 알 수 있습니다. (해당 실행 파일은 악성코드의 복사본입니다.) [그림 1] 폴더 보기속성 변경 [그림 2] 감염시스템에서 확인된 악성 실행파일 이 악성코드는 많은 변종이 있으나 V3에서는 현재까지 발견된 악성코드는 아래와 같이 대부분 진단하고 있습니다. [그림 3] 악성코드 치료화면 3. …
허위백신으로 인한 증상 및 조치 방법 Posted By ASEC , 2010년 3월 17일 1. 서론 최근 허위백신으로 인하여 피해가 다수 발생하고 있어 증상 및 임시 조치 방법을 소개하고자 해당 내용을 작성 합니다. 2. 증상 해당 악성코드에 감염이 되면 아래와 같은 허위 백신이 실행되며 허위로 악성코드를 진단하여 결제를 유도하게 됩니다. [그림1. 허위백신이 실행된 화면] 위 이미지에서는 AntiVirus XP 2010 이지만 아래와 같이 다수의 이름이 존재합니다. Windows 7 WIndows Vista Windows XP Win 7 Internet Security 2010 Win 7 Internet Security Win 7 Antivirus Pro 2010 Win 7 Antivirus Pro Win 7 Antivirus 2010 Win 7 Antivirus Win 7 Defender 2010 Win 7 Guardian Win 7 Guardian 2010 Antivirus Win 7 2010 Win 7 Antispyware 2010 Vista Internet Security 2010 Vista Internet Security Vista Antivirus Pro 2010 Vista Antivirus Pro Vista Antivirus 2010 Vista Antivirus Vista…
Microsoft 3월 보안 패치 Posted By ASEC , 2010년 3월 10일 Excel 및 Windows Movie Maker 취약점 보안 패치가 Microsoft 3월 월례 보안 패치를 통해 금일 발표 되었습니다. MS10-016 – Microsoft Windows의 취약점 해결(KB 975561) 이 보안 업데이트는 Windows Movie Maker 및 Microsoft Producer 2003에서 발견되어 비공개적으로 보고된 취약점을 해결합니다. Windows Vista 및 Windows 7에서 사용할 수 있는 Windows Live Movie Maker는 이 취약점의 영향을 받지 않습니다. 이 취약점으로 인해 공격자가 특수하게 조작된 Movie Maker 또는 Microsoft Producer 프로젝트 파일을 전송하고 특수하게 조작된 파일을 열도록 사용자를 유도한 경우 원격 코드 실행이 발생할 수 있습니다. 시스템에 대한 사용자 권한이 적게 구성된 계정의 사용자는 관리자 권한으로 작업하는 사용자에 비해 영향을 적게 받습니다. MS10-017 – Microsoft Office의 취약점 해결(KB 980150) 이 보안 업데이트는 Microsoft Office Excel에서 발견되어 비공개적으로 보고된 취약점 7건을 해결합니다. 사용자가 특수하게…
Win32/Bredolab 류로 인한 네트워크 트레픽 유발 가이드 Posted By ASEC , 2010년 2월 9일 1. 서론 최근 다수의 시스템에서 네트워크 트래픽을 유발하는 악성코드가 확인 되어 가이드를 작성합니다. 2. 악성코드 감염 증상 해당 악성코드에 감염이 되면 다수의 파일을 다운로드 및 드랍하여 지속적인 재감염 및 네트워크 트래픽을 유발하여 네트워크 장애 및 시스템 리소스를 고갈 시킵니다. 네트워크 트래픽의 대부분은 스팸메일 발송으로 V3 제품이 설치된 시스템이라면 아래와 같은 메시지를 확인할 수 있습니다. 3. 악성코드 감염 시 생성되는 파일 및 레지스트리 3. 1 파일 대표적으로 아래와 같은 파일을 생성하며 해당 파일 외 다수의 파일이 있습니다. C:RECYCLERS-1-5-21-4023274132-7382142363-650398018-2867(임의의 폴더명)wnzip32.exe C:RECYCLERS-1-5-21-0243936033-3052116371-381863308-1811(임의의 폴더명)vsbntlo.exe C:Documents and SettingsAdministratorLocal SettingsTempinit.exe C:bdxcphif.exe, C:hfhhhml.exe, C:uipcafn.exe 등의 임의의 파일명 C:windowssystem32notepad.exe C:WINDOWSsystem32regedit.exe C:WINDOWSsystem32imPlayok.exe C:Documents and SettingsAdministratorimPlayok.exe C:program fileswindows ntdialer.exe C:program fileswindows ntpinballpinball.exe 3. 2 레지스트리 시작 프로그램에 등록하기 위해 아래와 같은 레지스트리 값을 추가 합니다. HKLMSOFTWAREMicrosoftWindows NTCurrentVersionWinlogonTaskman “C:RECYCLERS-1-5-21-4023274132-7382142363-650398018-2867(임의의 폴더명)wnzip32.exe” HKLMSOFTWAREMicrosoftWindows…
게임 계정 탈취. OnlineGameHack [Cyban] 조치가이드 Posted By ASEC , 2010년 1월 14일 이번 포스트에서는 최근들어 급증하고 있는 온라인게임핵(Cyban) 의 증상과 조치방법에 대해 살펴보겠습니다. ◆ 증 상 특정 사이트에서 악성코드를 다운로드+드랍하고 아래와 같은 동작들을 수행합니다. < 캡쳐된 패킷 > 1. 온라인게임사이트 계정정보 탈취 – 악성코드는 인터넷익스플로러에 인젝션되어 아래 그림과 같이 하드코딩된 특정 게임사이트의 목록에서 쿠키값(ID,PW 등)을 노립니다. < 게임사이트 목록 > …. …. var b=LOGIN.getCookieValue(“CAT”);if(b.length>0){var a=b.split(“+”);if(a.length>1){return a[1];}}return”2″; …. …. < 쿠키값 탈취하는 코드의 일부 > 2. 키보드로깅 – 악성코드는 실행중인 프로세스에 인젝션되어 Key정보를 후킹합니다. < dll 인젝션 > 3. Autorun 을 이용한 자동실행 + 확산, File 숨기기 – Autorun 취약점을 이용하여 악성코드를 이동디스크매체를 통해 퍼뜨리고, 자신을 은폐하기 위해 레지스트리를 조작합니다. < inf file내용 > < 탐색기-숨김폴더보기 레지스트리 + 부팅실행 레지스트리 > 4. 안티바이러스를 무력화시키는 AV Kill – 아래 그림과 같이 A.V(안티바이러스) 프로세스들의 이름들이…
