악성 스팸 메일 주의! “scan upon download” Posted By ASEC , 2010년 3월 29일 FakeAV (허위백신 혹은 가짜백신)을 첨부한 악성 스팸메일이 유포되고 있어 사용자 분들의 주의가 요망됩니다. 수신된 악성 스팸메일은 아래 그림과 같이 악성 첨부 파일 'Contract.zip' 을 첨부하고 있으며 첨부된 압축 파일을 다운로드하도록 유도하는 내용이 기재되어 있습니다. 첨부된 악성 파일을 다운로드하여 실행하면 아래와 같이 'XP Security' 라는 FakeAV가 실행되게 됩니다. 첨부된 악성 파일은 V3 엔진에 반영되어 아래와 같은 진단명으로 V3에서 진단 및 치료가 가능합니다. Contract.exe Win-Trojan/Fakeav.201216.BContract.exe Win-Trojan/Fakeav.202240.G 항상 아래와 같은 사항을 유의하여 메일을 통해 유포되는 악성코드로 부터 피해를 예방하시기 바랍니다. 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람하시기 바랍니다. 4. 메일 본문에 포함된 URL은 가급적 접속을 하지…
Andre Pitre 키워드 검색 시 주의! Posted By ASEC , 2010년 3월 24일 Andre Pitre는 미국 Actor 입니다. 그가 갑자기 검색 키워드 상위에 랭크가 된 이유를 아시나요?? 바로 그가 데뷔로 발표한 'Your Name' 이라는 노래 때문이라네요 그의 노래를 감상하실 분들은 아래 링크를 눌러주세요~~^^ Andre Pitre -Your Name 역시나 이 기회를 악성코드 유포자는 놓치지를 않았군요 ^^ 아래 Andre Pitre 키워드로 검색한 결과 중 악성코드 유포페이지로 연결되는 검색 결과가 발견되었습니다. 이런 패턴을 너무 많이 봐서 이제는 진부할 법도 하지만 한번 살펴보도록 하겠습니다. 언제나 그랫듯 재활용에 재활용을 거듭하는 플래쉬 이미지와 경고 팝업창을 띄우면서 사용자의 시스템이 악성코드에 감염되었다고 허위로 보고를 하고 있습니다. 다운로드 되는 파일의 이름은 역시나 재활용의 재활용을 거듭하여 끝에 숫자만 약간 바꿔서 'pcakupdate_build8_195.exe'라고 명명되어 있네요. 해당 파일 역시 FakeAV 설치 파일이며 이 글들을 보고 계신 구독자라면 최근 FakeAV가 SEO poisoning Attack으로 많이 전파되고 있다는 것을…
WinDBG를 이용한 VMware 커널 디버깅! Posted By ASEC , 2010년 3월 23일 오늘은 가상머신(Virtual Machine)인 VMware에 WinDBG를 붙여 커널 디버깅을 해보겠습니다! WinDBG는 Microsoft사에서 제공하는 디버깅 tool로서 http://www.microsoft.com/whdc/devtools/debugging/installx86.Mspx 에서 무료로 다운 받을 수 있습니다. 본격적인 작업에 앞서 디버거(debugger)의 종류에 대해 잠깐 살펴볼까요! ^^ 디버거의 종류는 크게 유저모드(user mode) 디버거와 커널모드(kernel mode) 디버거로 나눌수 있습니다. 이해를 돕기 위해 인텔 아키텍쳐(Intel Architecture)로 설명드리겠습니다. 다들 이해되셨나요? 다시 한번 간단히 말씀드리면 “WinDBG는 커널 접근이 가능한 디버깅 tool이다~” 라고 이해하시면 됩니다! 그럼 이제 부터 본격적인 커널 디버깅의 세계로 고고씽~^^ 가장 먼저 Debugee(대상컴퓨터로서 여기서는 VMware임)를 설정해야 합니다. V Mware 시리얼 포트(Serial Port)를 추가 해줍니다. (1) [ Edit virtual machine settings ] 클릭! (2) [Add…] 클릭! (3) [Serial Port] 선택 후 Next로 진행합니다. (4) [Output to named pipe] 선택 후 Next로 진행합니다. (5) Named pipe 이름을 설정한 후 Finish~ -> Named pipe 이름 형식은 \.pipe임의지정 으로 하시면 됩니다. (이 글에서는 ASEC_windbg로 설정하였습니다.)…
Tool을 이용한 초간단 언패킹! (UPX편) Posted By ASEC , 2010년 3월 18일 오늘은 기존에 했던 메뉴얼 언패킹이 아닌 다소 쉬운 방법으로 tool을 사용한 언패킹(unpacking)을 해보도록 하겠습니다. 그전에 패커(Packer)에 대해 다시 한번 간단히 정리 해볼까요! 패킹(packing)은 실행파일 포장이라는 개념으로 쉽게 이해하시면 될 것 같습니다. 아래 그림은 파일이 패킹되어 메모리에 올라가는 일괄의 과정을 표현한 것으로서 패킹된 파일은 메모리 할당시 재배치(Relocation) 과정을 하지 않기 위해 target 프로그램과 동일한 위치에 .txt 섹션을 배치 합니다. Uninitialized data section은 언패킹 후 메모리에 올릴 장소입니다. 언패킹을 하기 위해서는 먼저 Packer Detection(탐지)을 통해 패커를 확인하는 작업이 선행되어야 합니다. 패커를 확인하는 가장 손쉬운 방법은 잘 알려진 패커 탐지 tool을 이용하는 것이며 탐지 tool로는 PEID, DIE, RDG, exeinfo PE 등 이 있습니다. 오늘 시연에 사용된 tool은 upx와 Exeinfo PE 이며 upx는 win32 콘솔 버젼으로 언패킹하려는 파일과 동일한 폴더에 존재하여야 합니다. 그럼 이제부터 초간단 언패킹의 세계로 빠져 볼까요? 패킹된 샘플 파일을 Exeinfo PE 를 이용하여 정보를 확인 해…
헐리우드 배우 Corey Haim 장례식 & Pacquiao vs Clottey Posted By ASEC , 2010년 3월 16일 해외 유명인사 Corey Haim 장례식 혹은 유명 권투 선수 Pacquiao 와 Clottey 선수의 빅매치 경기를 겨냥하여 관련 키워드로 검색 시 아래 그림과 같이 악성코드 유포 사이트로 연결이 되게 됩니다. 악성코드 유포 사이트는 연결될 경우 아래 그림과 같이 백신이 스캔하는 듯한 것처럼 위장한 플래쉬를 동작하여 사용자로 하여금 자신의 PC를 스캔하고 진단 치료하는 것으로 속입니다. (이제 이런 속임수를 너무 많이 봐서 지겨우시죠?? ^^) 허위 진단을 한 후 치료를 원하면 사용자로 하여금 다운로드 후 실행을 하도록 유도를 합니다. SEO Poisoning Attack을 예방하기 위해서는 사이트 가드(Site Guard)와 같은 웹브라우저 보안 제품을 설치하여 사전에 예방할 것을 권해 드립니다.
