악성코드

ASEC 보안 위협 동향 리포트 2012 Vol.32 발간

안랩 ASEC에서 2012년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.32을 발간하였다.  이 번에 발간된 ASEC 리포트는 2012년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈 보안 프로그램으로 위장한 악성코드 변조된 정상 프로그램을 이용한 게임핵 유포 ActiveX라는 이름의 악성코드 게임부스터 패스트핑으로 위장한 악성코드 국내 업체를 대상으로 유포된 악성 스팸 메일 이메일을 이용한 어도비 CVE-2009-0927 취약점 악성코드 유포 오라클 자바 JRE 7 제로데이 취약점을 악용한 악성코드 유포 MS12-060(CVE-2012-1856) 취약점을 악용한 타깃 공격 어도비 플래시 플레이어의 CVE-2012-1535 취약점 악용 악성코드 페이팔 스팸 메일과 결합된 블랙홀 웹 익스플로잇 툴킷 런던 올림픽 악성 스팸메일 Xanga 초대장을 위장한 악성 스팸메일 Flame 변형으로 알려진 Gauss 악성코드 YSZZ 스크립트 악성코드의 지속 발견 사우디아라비아 정유 업체를 공격한 Disttrack 악성코드 악성코드…

ZeroAccess로도 알려진 Smiscer 변형

제로엑세스(ZeroAccess)로도 알려진 스미서(Smiscer) 변형은 얼마 전 국내 언론의 “악성코드 ‘제로액세스’, 전 세계 900만대 감염시켜” 기사를 통해 전 세계적으로 많은 감염 피해를 유발하고 있다. ASEC에서는 9월 초에 발견된 스미서의 변형에 대해 상세한 분석을 통해 이 번에 발견된 스미서 변형이 어떠한 방식으로 동작하는지 파악하였다. 우선 스미서 변형의 감염 기법을 이해하기 위해서는 EA(Extended Attributes)에 대한 이해가 선행되어야 한다.  EA(Extended Attributes)는 원래 HPFS(High Performance File System)에 있는 기능을 NTFS에서 구현 해 놓은 것을 말하며, 쉽게 설명하면 파일의 추가적인 속성을 “Name=Value” 처럼 환경 변수 형태로 파일에 붙이는 것을 이야기 한다.   윈도우 시스템에서는 ZwSetEaFile과 ZwQueryEaFile 두 개의 API로 해당 값들을 Set 혹은 Query 할 수 있게 제공하고 있으며 FILE_FULL_EA_INFORMATION이라는 구조체의 링크드 리스트(Linked List)로서 EA를 구현해 놓았다. 물론 EaValueLength가 2 Byte 변수이므로 최대 64K 바이트(Byte)까지 값을 쓸수 있다. 위 이미지와 같은…

취약점을 악용하지 않는 한글 파일 악성코드

ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 워드프로세스에 존재하는 알려진 코드 실행 취약점을 악용하는 취약한 한글 파일들이 유포된 사례들 다수를 공개하였다. 유포되었던 취약한 한글 파일들 대부분은 아래 3가지 형태의 취약점을 가장 많이 악용하여 백도어 형태의 악성코드 감염을 시도하였다. 1. HncTextArt_hplg에 존재하는 스택(Stack)의 경계를 체크하지 않아 발생하는 버퍼 오버플로우(Buffer Overflow)로 인한 임의의 코드 실행 취약점 2. HncApp.dll에 존재하는 문단 정보를 파싱하는 과정에서 발생하는 버퍼 오버플로우로 인한 임의의 코드 실행 취약점 3. EtcDocGroup.DFT에 존재하는 버퍼 오버플로우로 인한 임의의 코드 실행 취약점 그러나 9월 10일과 11일 이틀 동안 그 동안 알려진 한글 워드프로세스에 존재하는 취약점을 악용하지 않는 다른 형태의 한글 파일들 다수가 발견되었다. 이 번에 발견된 한글 파일들은 총 4개로 안전여부.hwp (47,616 바이트), 운영체제 레포트 제목.hwp (31,744 바이트), 120604 전북도당 통합진보당 규약(6월 2주차).hwp (63,488 바이트)와 민주통합전라남도당 입당,정책 입당원서(제1호).hwp (102,912 바이트)이다. 해당 한글 파일들…

윈도우 8로 위장한 허위 백신 발견

몇 년전부터 금전적인 목적을 가지고 있는 허위 백신들들은 사회적인 이슈들 또는 소셜 네트워크(Social Network)등을 통해 지속적으로 유포되었다.  다양한 기법으로 유포되는 허위 백신 형태의 악성코들은 감염된 시스템에 존재하지 않는 악성코드 감염이라는 허위 정보를 시스템 사용자들에게 보여줌으로서 금전적인 결제를 유도하여 직접적인 금전 획득의 목적을 가지고 제작되었다. 특히 다양한 사회적인 이슈들과 IT 트렌드를 반영하여 PC 또는 모바일(Mobile) 형태까지 다양한 형태로 유포 되는 사례가 많았다. 2011년 1월 – AVG 백신으로 위장해 유포된 허위 백신 2011년 10월 – SNS로 전파되는 맥 OS X 대상의 허위 백신 2011년 10월 – 클라우드 백신으로 위장한 허위 백신 발견 2011년 12월 – 2012년 버전으로 위장한 허위 클라우드 백신 2012년 5월 – 안드로이드 모바일 허위 백신 유포 최근 윈도우(Windows) 운영체제를 개발하는 마이크로소프트(Microsoft)에서는 10월 26일 전 세계적으로 차기 윈도우 운영체제인 윈도우 8을 출시 할 계획이라고 밝힌 바가 있다. 이러한…

자바 취약점을 악용하는 악성코드들

ASEC에서는 8월 29일 “오라클 자바 JRE 7 제로 데이 취약점 악용 악성코드 유포“를 통해 자바(Java) JRE에서 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점이 발견되었으며, 이를 악용한 악성코드가 유포되었다고 공개하였다. 해당 CVE-2012-4681 자바 취약점외에도 다른 CVE-2012-0507 자바 취약점 역시 다수의 악성코드 유포에 사용되고 있다. 일반적으로 자바의 경우 JVM을 이용한 샌드박스(SandBox) 개념의 보안 기능을 운영체제에 제공하고 있다. 악의적인 코드의 경우 JVM에서 시큐리티 매니져(Security Manager)를 기준으로 차단을 하게 된다. 예를 들어 파일을 디스크에 쓰거나 실행하는 경우에 정책(Policy)에 허용 되지 않은 경우에는 해당 명령은 허용 되지 않는다. 그러나 최근에 발견된 자바 취약점을 악용하는 악성코드 제작자들은 샌드박스를 우회 하기 위해 2가지 방법을 사용하고 있다. 1. 샌드박스 자체 무력화 – CVE-2012-0507 취약점 해당 CVE-2012-0507 취약점은 AtomicReferenceArray에서 발생한다. AtomicReferenceArray 클래스의 경우 시큐리티 매니져에서 ArrayObject에 대한 타입(Type)을 체크 하지 않으며, 해당 배열 생성시 역직렬화를 하고, 역직렬화된 악의적인 코드를 doWork에…