난독화

ASEC 보안 위협 동향 리포트 2011 Vol.25 발간

안철수연구소 ASEC에서 2012년 1월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2011 Vol.25을 발간하였다.  이 번에 발간된 ASEC 리포트는 2012년 1월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. MS12-004 윈도우 미디어 취약점을 악용한 악성코드 유포 스페이스와 탭을 이용한 자바스크립트 난독화 소스 출현 보안 제품의 업데이트를 방해하는 Hosts 파일 변경 악성코드 주의 내 하드디스크가 타버린다고? 불안심리를 자극하는 Hoax 악성코드 단축 URL을 이용해 트위터로 유포 중인 피싱 웹사이트 악성코드 버그로 인한 “응용 프로그램 초기화 오류”와 BSOD(Hard Disk) 발생 MADDEN NFL 12 로 위장한 악성 애플리케이션 일본 성인사이트에서 유포되는 악성 애플리케이 Hash Collision 공격을 통한 웹 서버 서비스 거부 공격(DoS) HP LaserJet  펌웨어 관련 치명적 보안 취약점 발견 이 외에 악성코드 분석 특집으로 “모바일 악성코드 동향”을 포함하고 있다.   안철수연구소 ASEC에서…

스페이스와 탭을 이용한 자바스크립트 난독화 출현

자바스크립트 소스를 이용하여 악성코드를 심는 방법은 일반화 된지 오래 되었다. 특히 악성코드 제작자들은 자바스크립트 소스를 분석하기 어렵게 만들기 위한 난독화 과정을 거쳐, 백신제품의 엔진에 반영하기 어렵게 하고 있다. 지금까지는 주로 문자열 인코딩 방식을 ASCII 코드가 아닌 다른 방식을 이용하여 알아보기 힘들게 만들었다.

광고성 html을 가장하여 악성코드를 다운로드하는 스팸메일 (3)

http://core.ahnlab.com/192http://core.ahnlab.com/193 위 링크의 글들에서 광고성 html 을 가장하여 유포되고 있는 스팸의 유포형식과 난독화된 스크립트에 대해서 살펴보았습니다. 난독화된 스크립트를 디코딩하여 수집한 game.exe 파일은 실행 시 아래 그림과 같이 'Defense Center'라는 FakeAV 를 설치하게 됩니다. game.exe 파일에 의해 다수의 악성코드가 설치가 되며 그 중 아래의 경로에 생성되는 폴더 및 파일들이 은폐 및 hooking이 된 상태입니다. c:windowsPRAGMA[랜덤한 문자] 이 경우 아래 링크의 v3alureon_gen_np.exe 전용백신을 다운로드 후 전용백신으로 %systemroot%를 검사하여 은폐 및 hooking을 풀어줍니다. v3alureon_gen_np.zip 검사가 완료되게 되면 아래 그림처럼 바이러스가 없다고 메세지 창이 뜨게 될 것입니다. 왜냐하면 파일을 진단한 것이 아니라 은폐 및 hooking을 풀어준 것이기 때문입니다. 은폐 및 hooking을 풀어준 후 V3 로 해당 폴더를 진단/치료 시 정상적으로 진단/치료가 가능합니다. 작일 (6월 30일)부터 아래의 메일 제목으로 지속적으로 악성 html 링크가 삽입된 악성…

광고성 html을 가장하여 악성코드를 다운로드하는 스팸메일 (2)

http://core.ahnlab.com/193 상기의 이전 글에서 최근 html 파일을 첨부하거나 html 링크를 삽입한 스팸메일을 통해 악성코드를 다운로드 하는 스팸메일의 형태를 살펴보았습니다.  이어서 난독화된 악성 스크립트를 살펴 보도록 하겠습니다. 상기와 같이 난독화된 악성 스크립트는 악성 스크립트 제작자가 제작한 루틴 및 사용되지 않는 쓰레기 코드로 구성되어 있으며 디코딩 후 실제 악의적인 웹 페이지가 완성이 되게 됩니다.  최종 디코딩된 악성 스크립트는 MDAC[Microsoft Data Access Components], PDF, JAVA 취약점을 이용하여 악성코드를 로컬에 저장하고 실행하게 됩니다.    취약점을 이용한 파일 및 game.exe 파일은 아래와 같은 진단명으로 V3에서 진단/치료가 가능합니다. game.exe  -> Win-Trojan/Agent.26112.RQ Notes10.pdf  -> PDF/Exlpoit Applet10.html  ->HTML/Agent 다음 글에서 다운로드 된 game.exe 파일 실행 시 증상에 대해 살펴보도록 하겠습니다.

광고성 html을 가장하여 악성코드를 다운로드하는 스팸메일 (1)

http://core.ahnlab.com/191 http://core.ahnlab.com/189 최근들어 상기 링크에 포스팅된 글들에서 언급해 드렸듯이 악성 html 파일을 첨부했거나 악성 html 링크를 삽입한 스팸메일이 지속적으로 유포되고 있습니다. 현재 글을 포함하여 앞으로 포스팅할 글들에서 해당 html 파일들의 상세한 정보를 알아보고자 합니다. Case 1. 메일 내 링크를 삽입하여 사용자의 클릭 유도 우선, 앞서 언급해 드린 것과 같이 스팸메일 자체 html에 링크를 삽입하여 사용자가 클릭을 하도록 유도합니다. 금일 발견된 악성 스팸메일의 정보는 아래와 같습니다. 메일 본문 곳곳에 악성 html 링크가 삽입되어 있습니다. 메일 제목 : Amazon.com: Get Ready for Cyber Monday Deals 메일 본문 Case 2. 악성 html 파일을 첨부한 스팸메일 악성 html 파일을 첨부한 스팸메일들은 아래와 같이 악성 html 파일을 첨부하여 첨부된 html 파일을 실행하도록 사용자를 유도합니다. 메일 제목 : I Love You Forever 메일 본문 Why You? see attach 😉 첨부된…