악성코드

국방 관련 내용의 0-Day 취약점 악용 한글 파일

ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 소프트웨어에 존재하였던 취약점들을 악용하여 원격 제어 형태의 악성코드 감염을 시도하는 형태의 위협들에 대해서 지속적으로 알려 왔었다. 금일 다시 한글 소프트웨어에 존재하는 알려지지 않은 제로 데이(0-Day, Zero-Day) 취약점을 악용하여 원격 제어 형태의 악성코드 감염을 시도한 사례가 발견되었다. 현재 ASEC에서는 금일 발견된 해당 제로 데이 취약점에 대해 자세한 분석을 진행 중에 있다. 이 번에 발견된 취약한 한글 파일은 한국 시각으로 11월 21일에서 22일 사이에 정부 기관을 대상으로 유포된 것으로 추정된다. 해당 제로 데이 취약점을 가지고 있는 취약한 한글 문서를 열게 되면, 아래 이미지와 동일하게 “한국 공군의 위상에 대한 평가와 진단“이라는 제목의 문서 내용이 보여지게 된다. 해당 취약한 한글 문서를 한글과 컴퓨터에서 제공하는 최신 보안 패치가 모두 적용된 한글2010이 설치된 시스템에서 열게 되면 아래 경로에 “HncCtrl.exe (139,264 바이트)” 파일이…

ASEC 보안 위협 동향 리포트 2012 Vol.33 발간

안랩 ASEC에서 2012년 9월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.33을 발간하였다.  이 번에 발간된 ASEC 리포트는 2012년 9월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈 인터넷 익스플로러 버전 7과 8의 제로데이 취약점을 악용하는 악성코드 자바 취약점을 악용하는 악성코드 트래픽을 유발하는 악성코드 P2P 사이트를 통해 유포되는 무협지 위장 악성코드 다양한 전자 문서들의 취약점을 악용한 악성코드 취약점을 이용하지 않는 한글 파일 악성코드 윈도우 8로 위장한 허위 백신 발견 당첨! 자동차를 받아가세요 도움말 파일로 위장한 악성코드가 첨부된 메일 UPS, Amazon 메일로 위장한 악성코드 악성코드 치료 후 인터넷 연결이 되지 않는다면 2) 모바일 악성코드 이슈 2012 미국 대선을 노린 광고성 애플리케이션 주의 일본 여성을 타깃으로 하는 Loozfon 모바일 악성코드 Anime character named Anaru(Android Malware)…

이미지 파일들을 탈취하는 악성코드 발견

PC 성능이 향상되고 멀티미디어로서의 PC 활용도가 높아짐으로 인해 사용하는 PC에 다양한 동영상과 사진, 문서 파일들을 보관하는 일반 사용자들이 증가 추세에 있다. 이러한 시대 상황에 맞추어 감염된 PC에 존재하는 이미지 파일들을 탈취하여 외부로 유출하는 악성코드가 발견되었다. 이 번에 발견된 이미지 파일들을 탈취하는 악성코드와 같은 형태의 악성코드는 2012년 2월 문서 파일들을 탈취하는 악성코드와 유사한 목적을 수행하기 위해 제작되었다라고 볼 수 있다. 이 번에 발견된 해당 악성코드는 아래 이미지의 코드와 같이 감염된 시스템의 C 드라이브, D 드라이브 그리고 E 드라이브에 존재하는 JPG, JPEG와 DMP 확장자를 가지는 파일들 모두를 수집하여 C: 에 모두 복사하게 된다. 그리고 아래 이미지의 코드에서와 같이 독일에 위치한 특정 시스템으로 접속을 시도하게 된다. 접속이 성공하게 되면 FTP(File Transfer Protocol)를 이용하여 C:에 복사된 JPG, JPEG와 DMP 확장자를 가지는 파일들 모두 전송하게 된다. 이 번에 발견된 이미지 파일들을 탈취하기…

한반도 정황 관련 내용을 가진 취약한 한글 파일 발견

ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 소프트웨어에 존재하는 취약점을 악용하여 악성코드 감염을 시도하는 사례들에 대해 여러 차례 언급한 바가 있다. 최근인 10월 25일에는 대통령 선거 관련 내용을 가진 취약한 한글 파일이 유포된 사례가 있어, 한국 사회에서 주요 관심 사항으로 부각되는 주제들을 악성코드 유포에 악용하는 사회 공학(Social Engineering) 기법들이 정교해지고 있다. 이러한 한국 사회의 주요 관심 사항 중 하나인 한반도 정황 관련 내용을 포함하고 있는 취약한 한글 파일이 10월 31일 발견되었다. 이 번에 발견된 취약한 한글 파일은 “한반도 신뢰 프로세스.hwp (309,612 바이트)”라는 파일명으로 유포되었으며, 해당 취약한 한글 파일을 열게 되면 아래 이미지 파일과 같이 “한반도 신뢰 프로세스 (KOREA TRUST PROCESS)”라는 제목이 나타나게 된다. 해당 취약한 한글 파일을 보안 패치가 설치되지 않은 취약한 한글 소프트웨어를 사용하는 시스템에서 열게 되면 사용자 모르게 백그라운드로 “~ZZ.tmp(102,400 바이트)“를…

연봉 계약서로 위장한 취약한 한글 파일 발견

ASEC에서는 지속적으로 국내 관공서 등에서 많이 사용되는 한글 소프트웨어의 취약점을 악용하여 악성코드 감염을 시도하는 공격에 대해 알린 바가 있다. 이러한 한글 소프트웨어의 취약점을 악용하는 공격 형태는 10월 24일 대통령 선거 공약 관련 내용으로도 유포 된 바가 있다. 10월 25일에는 일반 기업들의 연봉 계약서 내용으로 위장하여 유포된 취약한 한글 파일이 발견되었다.  이 번에 발견된 취약한 한글 파일은 “연봉계약서.hwp (1,015,812 바이트)” 라는 파일명을 가지고 있으며, 이를  열게 되면 아래 이미지와 같은 내용을 가지고 있다. 해당 취약한 한글 파일은 HwpApp.dll에 존재하는 문단 정보를 파싱하는 과정에서 발생하는 버퍼 오버플 로우로 인한 코드 실행 취약점이다. 해당 취약점은 2012년 6월에 발견되었으며, 당시 제로 데이(Zero-Day,0-Day) 취약점으로 발견되었다. 해당 취약한 한글 파일이 열리게 되면, 사용자 모르게 백그라운드로 “system32.dll (81,920 바이트)”를 다음 경로에 생성하게 된다. C:Documents and SettingsTesterLocal SettingsTempsystem32.dll 그리고 생성한 system32.dll 는…