시스템 파일을 변조하는 온라인 게임핵 악성코드 변경

1. 서론최근 윈도우 시스템 파일을 악성으로 변조하는 온라인 게임핵 악성코드가 다수 발견되고 있다. 이러한 악성코드는 대부분 웹사이트를 통해 유포되는데 계속해서 새로운 변종을 만들고 있어 많은 사용자가 감염이 되어 정보공유 차원에서 작성을 한다.2. 악성코그 감염 경로해당 악성코드는 웹사이트를 통해 유포되며 유포방법은 총 3가지 취약점을 이용한다.1) Adobe Flash Player, CVE-2011-0611위 취약점은 SWF 파일을 이용한 취약점으로 주소 banner숫자.swf, nb.swf 등의 파일명으로 유포가 이루어 진다. 분석을 해보면 아래와 같이 SWF 파일 내부에 쉘코드가 포함된 것을 확인할 수 있다. [그림 1] SWF 파일 분석 화면 해당 쉘코드를 분석하면 아래와 같이 jpg을 받아 실행함을 알 수 있다. 확장자는 jpg나 실제로는 이미지 파일이 아닌 악성코드 파일이다. [그림 2] 쉘코드 분석 후 최종 다운로드 받는 URL을 확인한 화면 2) Adobe Flash Player, CVE-2011-2110해당 취약점은 지난 6월 15일에 보안…

악성코드 유포에 이용된 Adobe Flash Player 취약점 업데이트!

최근 주말에 국내 다수의 사이트에서 윈도우 시스템 파일을 악성으로 변조시키는 악성코드가 유포되었습니다. 유포에 이용된 취약점은 Adobe Flash Player 취약점이며, Adobe 사에서 금일 긴급 보안 업데이트가 이루어 졌습니다. 따라서 아래 사이트를 방문하셔서 업데이트를 꼭! 진행하시기 바랍니다.Adobe Flash Player 업데이트 : http://www.adobe.com/go/getflash상세정보 : http://www.adobe.com/support/security/bulletins/apsb11-18.html추가로 현재 시스템에 설치된 Adobe Flash Player 버전을 확인하고자 하신다면 아래 메뉴에서 확인해 보시기 바랍니다. Windows 7 : [제어판] – [시스템 및 보안] – [Flash Player] Windows XP : [제어판] – 왼쪽의 [기타 제어판 옵션] – [Flash Player] 위 메뉴를 찾아 실행 후 아래와 같이 [고급] 탭에서 확인하실 수 있습니다. 현재 최신버전은 10.3.181.26 입니다. 만약 위에 안내해드린 메뉴에서 [Flash Player] 메뉴가 존재하지 않는다면 최신버전이 아니오니 업데이트를 하시기 바랍니다. 추가로 이미 악성코드에 감염된 사용자는 인터넷 익스플로러 실행 시 브라우져가 정상적으로…

사이트 하나 접속했을 뿐인데, Browser update?!

1. 서론 최근 DHCP 환경에서 DNS Server 의 주소가 확인되지 않은 IP로 변경되어, 인터넷 이용이 불가하다는 일부 문의가 접수되고 있어 주의가 필요하다. 2. 전파 방법 및 감염 경로 – 공유 네트워크로 전파 – 이동식 저장매체를 통한 전파 – 감염된 시스템으로 부터, DNS Server 변조에 의한 전파 3. 악성코드 감염 증상 악성코드 감염시, 아래와 같이 파일이 생성된다. %Temp%srv(랜덤3자리).tmp %Temp%srv(랜덤3자리).ini 공유 네트워크내 쓰기 가능한 폴더나 이동식 디스크에는 다음과 같은 형태의 파일이 생성된다. setup(랜덤한 숫자).fon  myporno.avi.lnk // MS10-046 취약점 이용 pornmovs.lnk // MS10-046 취약점 이용 autorun.inf 동작중인 시스템을 파악하기 위해(공격 대상 시스템 확인) 동일한 네트워크 대역에 대해서 지속적으로 스캔 작업을 수행한다. [그림 1] 동일 네트워크 대역 스캔 다른 시스템에 악성코드에 감염 시키기 위해, 감염된 시스템을 DHCP Server 로 위장하여 DNS 정보를 변경하기 위한 동작을 한다. 아래의…

스마트폰을 좀비화시키는 DroidKungFu 악성코드 등장.

1. 개 요 안드로이드폰을 강제루팅 후 권한을 탈취하여 좀비화시키는 악성코드가 또 다시 발견되었다. 해당 악성코드는 'DroidKungFu' 라 불리며,  이전 DroidDream 악성코드와 유사한 패턴을 갖고 있지만 좀 더 정교한 코드와 복잡한 기능을 수행함으로서 악성코드가 계속 진화하고 있다는 것을 증명하고 있다. 본 포스트를 통해 악성코드가 어떻게 진화하였는지 알아보자. 2. 분 석 유포 경로 'DroidKungFu' 악성코드는 정상 앱을 리패키징(re-package) 하여 유포되며, 중국 내 몇몇의 App Market 과 forum 들에서 유포되었다.                                                             그림. 악성 어플 정보 수집 해당 악성코드가 설치되면, 먼저 doSearchReport() -> updateInfo() 함수를 통해 스마트폰의 다양한 정보들을 수집 후 특정 서버로 전송한다.                                                          그림. dosearchReport                                                          그림. updateinfo 이 과정에서 탈취되는 정보와 유출 경로는 다음과 같다 – 탈취 정보 imei ostype osapi model SDKVersion SDcard info internal Memory Size Net operator phone number running service – 유출 경로 http://www.xinh*****.com:8111/GetCert/DevInfo? http://search.go**********id.com:8511/search/getty.php…

Adobe Flash Player 보안 업데이트 배포

국내 해킹된 사이트를 통해서 유포되는 악성코드가 PC를 감염시키기 위해서 Internet Explorer에 존재하는 취약점 뿐만 아니라, 브라우저에 추가기능으로 실행되는 Adobe Flash Player의 취약점을 이용한 사례도 증가하고 있다. 2011년 01월부터 4월까지 국내 해킹된 사이트를 통해서 유포되었던 악성코드가 PC를 감염시키기 위해서 가장 많이 사용했던 취약점을 통계를 산출해 보면 아래 [표 1]과 같다. 순 위 취약점 ID  Application 1 MS10-018 Internet Explorer 2 MS10-090 Internet Explorer 3 MS11-003 Internet Explorer 4 CVE-2011-0611 Adobe Flash Player 5 CVE-2011-0609 Adobe Flash Player                                          [표 1] 응용 프로그램 취약점 Top 5 [표 1]중에서도  주로 MS10-018, MS10-090, CVE-2011-0611 취약점 등이 함께 사용되는 사례가 증가하고 있다. 만약 자신의 PC가 분명히 보안 업데이트는 했는데 악성코드에 감염되는 경우라면 Adobe Flash Player 취약점은 패치가 되었는지 반드시 점검해 볼 필요가 있다. 현지 시간으로 2011년 06월…