인터넷 익스플로러 긴급 보안패치 예정

얼마전 인터넷 익스플로러에 대한 취약점(981374, CVE-2010-0806)이 권고되었습니다. 해당 취약점은 현재 MS에서 공식 패치를 내놓지 않은 상태이며 임시적으로 DEP를 활성화 하거나 인터넷 익스플로러 8 버전 사용을 권장하고 있었습니다. [해당 취약점에 대한 자세한 내용 링크] 다수의 Zeroday 취약점 권고! : http://core.ahnlab.com/132 인터넷 익스플로러 제로 데이 악용 타켓 공격 상세 분석 : http://blog.ahnlab.com/asec/271 보안 권고 981374 : http://www.microsoft.com/kore/technet/security/advisory/981374.mspx 하지만 해당 취약점에 대한 공격 및 악성코드가 다수 전파되어 마이크로소프트에서 긴급하게 한국시각으로 내일 3월 31일 수요일 오전 2시 경에 보안패치가 제공될 예정입니다.최근 국가적으로 이슈가 되고 있는 천안함 침몰 관련 악성코드 메일 유포 또한 해당 취약점을 이용한 공격이며 다수의 사이트에서 해당 취약점을 이용하여 악성코드를 유포하고 있는 만큼 보안패치가 나오는대로 설치를 하시기 바랍니다.

파일의 텍스트 비교와 악성코드 분석의 응용 – WinDiff 편

봄의 문턱에서 알아 볼 오늘의 tool은 WinDiff입니다. ^^ WinDiff는 두 파일의 텍스트를 비교해 주는 tool로서 microsoft사에서 만들었으며 무료로 다운로드 받을 수 있습니다. 이제 tool 사용법에 대해 알아보겠습니다! 아래는 WinDiff의 실행과 관련된 파일들입니다. 1.   File(파일) -> Compare Files… [ 비교할 파일을 선택하는 메뉴입니다. ] 2.   비교할 두 파일을 차례대로 선택합니다.      [ 비교 파일은 “카라의 루팡” 노래 가사이며 시연을 위해 하나의 파일은 가사를 일부 수정하였습니다. ^^ ]  3.   비교 후 같은 파일일 경우에는 identical(동일)이라는 멘트가 나타나며 다른 경우 아래와 같이 확인됩니다.      [ 폰트는 Edit -> Set Font… 에서 설정 가능합니다. ]  4.   아래 그림과 같이 서로 다른 텍스트 값에 대해서는 색으로 식별이 가능합니다.      [ 붉은색과 노랜색 부분이 서로 값이 틀린 부분이며 흰색 부분은 일치하는 부분을 나타냅니다. ]  이런 WinDiff의 기능을 이용해 악성코드 분석에도 응용 할 수 있는데요. 악성코드 변종에 대한 것이 바로 그 예입니다….

악성 스팸 메일 주의! “scan upon download”

FakeAV (허위백신 혹은 가짜백신)을 첨부한 악성 스팸메일이 유포되고 있어 사용자 분들의 주의가 요망됩니다. 수신된 악성 스팸메일은 아래 그림과 같이 악성 첨부 파일 'Contract.zip' 을 첨부하고 있으며 첨부된 압축 파일을 다운로드하도록 유도하는 내용이 기재되어 있습니다. 첨부된 악성 파일을 다운로드하여 실행하면 아래와 같이 'XP Security' 라는 FakeAV가 실행되게 됩니다. 첨부된 악성 파일은 V3 엔진에 반영되어 아래와 같은 진단명으로 V3에서 진단 및 치료가 가능합니다. Contract.exe  Win-Trojan/Fakeav.201216.BContract.exe  Win-Trojan/Fakeav.202240.G 항상 아래와 같은 사항을 유의하여 메일을 통해 유포되는 악성코드로 부터 피해를 예방하시기 바랍니다. 1. 발신인이 불분명한 메일일 경우 가급적 메일을 확인하지 마시기 바랍니다. 2. 안티바이러스(백신) 프로그램을 설치하여 항상 최신 엔진을 유지하며, 실시간 감시 기능을 사용합니다. 3. 메일 내에 포함된 첨부파일에 대해 안티바이러스(백신) 프로그램으로 검사를 한 후 열람하시기 바랍니다. 4. 메일 본문에 포함된 URL은 가급적 접속을 하지…

Andre Pitre 키워드 검색 시 주의!

Andre Pitre는 미국 Actor 입니다. 그가 갑자기 검색 키워드 상위에 랭크가 된 이유를 아시나요?? 바로 그가 데뷔로 발표한 'Your Name' 이라는 노래 때문이라네요 그의 노래를 감상하실 분들은 아래 링크를 눌러주세요~~^^ Andre Pitre -Your Name 역시나 이 기회를 악성코드 유포자는 놓치지를 않았군요 ^^ 아래 Andre Pitre 키워드로 검색한 결과 중 악성코드 유포페이지로 연결되는 검색 결과가 발견되었습니다. 이런 패턴을 너무 많이 봐서 이제는 진부할 법도 하지만 한번 살펴보도록 하겠습니다. 언제나 그랫듯 재활용에 재활용을 거듭하는 플래쉬 이미지와 경고 팝업창을 띄우면서 사용자의 시스템이 악성코드에 감염되었다고 허위로 보고를 하고 있습니다. 다운로드 되는 파일의 이름은 역시나 재활용의 재활용을 거듭하여 끝에 숫자만 약간 바꿔서 'pcakupdate_build8_195.exe'라고 명명되어 있네요. 해당 파일 역시 FakeAV 설치 파일이며 이 글들을 보고 계신 구독자라면 최근 FakeAV가 SEO poisoning Attack으로 많이 전파되고 있다는 것을…

WinDBG를 이용한 VMware 커널 디버깅!

오늘은 가상머신(Virtual Machine)인 VMware에 WinDBG를 붙여 커널 디버깅을 해보겠습니다! WinDBG는 Microsoft사에서 제공하는 디버깅 tool로서 http://www.microsoft.com/whdc/devtools/debugging/installx86.Mspx 에서 무료로 다운 받을 수 있습니다. 본격적인 작업에 앞서 디버거(debugger)의 종류에 대해 잠깐 살펴볼까요! ^^ 디버거의 종류는 크게 유저모드(user mode) 디버거와 커널모드(kernel mode) 디버거로 나눌수 있습니다. 이해를 돕기 위해 인텔 아키텍쳐(Intel Architecture)로 설명드리겠습니다. 다들 이해되셨나요? 다시 한번 간단히 말씀드리면 “WinDBG는 커널 접근이 가능한 디버깅 tool이다~” 라고 이해하시면 됩니다!  그럼 이제 부터 본격적인 커널 디버깅의 세계로 고고씽~^^ 가장 먼저 Debugee(대상컴퓨터로서 여기서는 VMware임)를 설정해야 합니다.   V Mware 시리얼 포트(Serial Port)를 추가 해줍니다. (1)   [ Edit virtual machine settings ] 클릭! (2)   [Add…] 클릭! (3)   [Serial Port] 선택 후 Next로 진행합니다. (4)   [Output to named pipe] 선택 후 Next로 진행합니다. (5)   Named pipe 이름을 설정한 후 Finish~        -> Named pipe 이름 형식은 \.pipe임의지정 으로 하시면 됩니다.             (이 글에서는 ASEC_windbg로 설정하였습니다.)…