악성코드

고도의 사회 공학 기법이 포함된 취약한 한글 파일들

ASEC에서는 한글과 컴퓨터에서 개발하는 알려진 코드 실행 취약점을 악용하는 취약한 한글 파일을 악용한 악성코드가 발견되었다는 것을 9월 4일 공개하였다. 9월 4일 취약한 한글 파일에 대해 공개한 이 후인 9월 5일과 9월 6일 오전 기존에 알려진 취약점을 악용하는 취약한 한글과 파일들과 악성코드들이 다시 발견되었다. 9월 5일 발견된 취약한 한글 파일은 아래 이미지와 동일하게 최근 언론을 통해 이슈가 되고 있는 독도 관련 내용을 담고 있으며, 문서 역시 독도 일본땅`日,자신만만증거보니…황당.hwp (447,504 바이트)라는 파일명을 가지고 있다. 해당 취약한 한글 파일은 HncApp.dll에 존재하는 문단 정보를 파싱하는 과정에서 발생하는 버퍼 오버플로우(Buffer Overflow)로 인한 코드 실행 취약점이다. 해당 취약점으로 인해 suchost.exe (295,424 바이트)을 다음의 경로에 생성한다. c:documents and settings[사용자 계정명]local settingstempsuchost.exe 그리고 생성된 suchost.exe (295,424 바이트)는 다시 아래의 경로에 connection.dll (295,424 바이트)를 생성한다. c:documents and settingsall usersapplication dataconnection.dll 윈도우 시스템에 존재하는 정상 파일인 svchost.exe를 실행하여 스레드로…

한글 소프트웨어의 취약점을 악용하는 악성코드

ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 소프트웨어에 존재하는 취약점을 악용하는 악성코드 사례들을 다수 공개한 적이 있다. 2011년 10월 – 취약한 한글 파일을 악용한 악성코드 유포 2012년 6월 – 한글 제로데이 취약점을 악용한 악성코드 유포 2012년 6월 – 알려진 한글 취약점을 악용한 악성코드 유포 2012년 7월 – 지속적으로 발견되는 취약한 한글 파일 유포 2012년 7월 – 한글 취약점을 악용한 취약한 한글 파일 추가 발견 2012년 8월 – 다시 발견된 한글 취약점을 악용한 취약한 한글 파일 2012년 9월 3일 다시 한글 소프트웨어에 존재하는 취약점을 악용하는 취약한 한글 파일과 악성코드가 다시 발견되었다. 이 번에 발견된 취약한 한글 파일을 열게 되면 아래 이미지와 동일하게 “북한전문가와 대북전략가“라는 제목의 내용을 가지고 있다. 이 번에 발견된 취약한 한글 파일은 기존에 발견되었던 취약한 한글 파일들에서 자주 악용되었던  HncTextArt_hplg 관련 버퍼 오버플로우(Buffer Overflow) 취약점은 아니다….

ASEC 보안 위협 동향 리포트 2012 Vol.31 발간

안랩 ASEC에서 2012년 7월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.31을 발간하였다.  이 번에 발간된 ASEC 리포트는 2012년 7월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈 Banki 트로이목마의 공습 구글 코드를 악용한 악성코드 유포 국외 은행 피싱 메일 아래아한글 취약점을 악용한 파일 추가 발견 링크드인 스팸 메일과 결합된 블랙홀 웹 익스플로잇 툴킷 BHO에 등록되는 온라인 게임핵 악성코드 WinSocketA.dll 파일을 이용하는 온라인 게임핵 Cross-Platform 악성코드 위구르족을 타깃으로 한 맥 악성코드 2) 모바일 악성코드 이슈 APT 공격과 관련된 안드로이드 악성코드 발견 스마트폰에도 설치되는 애드웨어 3) 보안 이슈 DNS changer 감염으로 인한 인터넷 접속 장애 주의 BIND 9 취약점 발견 및 업데이트 권고 어느 기업의 데이터 유출 후, 고객에게 보내진 ‘보안 패치’ 메일의 비밀 4)…

오라클 자바 JRE 7 제로 데이 취약점 관련 보안 패치 배포

ASEC에서는 8월 29일 “오라클 자바 JRE 7 제로 데이 취약점 악용 악성코드 유포“를 통해 오라클 자바 JRE(Java Runtime Environment) 7에서 임의의 코드를 실행 할 수 있는 코드 실행 취약점(CVE-2012-4681)을 발견하였음을 공개하였다. 한국 시간으로 8월 31일 금일 자바 JRE 7에 존재하는 취약점 CVE-2012-4681을 제거 할 수 있는 보안 패치를 보안 권고문 “Oracle Security Alert for CVE-2012-4681“를 통해 공개하였다. 현재 해당 자바 JRE 7에 존재하는 취약점 CVE-2012-4681을 악용하는 JAR 파일이 공다 팩(GongDa Pack)과 블랙홀(Blackhole)이라 불리는 웹 익스플로잇 툴킷(Web Exploit Toolkit)을 통해 백도어 기능을 수행하는 윈도우 악성코드와 맥(Mac) 악성코드 등 지속적으로 다양한 형태의  악용 사례가 발견되고 있다. 그러므로, 오라클에서 배포 중인 해당 보안 패치를 즉시 설치하여 해당  CVE-2012-4681 취약점을 악용하는 다양한 보안 위협을 예방하는 것이 중요하다. 오라클에서 배포 중인 보안 패치를 포함한 최신 버전은 웹 사이트 “무료 Java 다운로드” 또는 “Java SE Downloads“를…

악성코드 감염으로 알려진 일본 재무성 침해 사고

2012년 7월 21일 일본 국내 언론들을 통해 “Finance Ministry reveals 2010-2011 computer virus; info leak feared” 일본 재무성에서 2010년에서 2011년 2년 사이에 감염된 악성코드가 발견되었으며, 이로 인해 내부 정보가 유출 되었을 것으로 추정된다는 기사가 공개 되었다. ASEC에서는 해당 침해 사고와 관련한 추가적인 정보와 관련 악성코드를 확인하는 과정에서 해당 침해 사고와 관련된 악성코드를 확보하게 되었으며, 해당 악성코드는 약 1년 전인 2011년 9월 경에 발견된 것으로 파악하고 있다. 이번에 파악된 악성코드가 실행되면 해당 파일이 실행된 동일한 경로에 다음 파일을 생성하고, 정상 시스템 프로세스인 explorer.exe에 스레드로 인젝션하게 된다. C::[악성코드 실행 경로]tabcteng.dll (114,688 바이트) 그리고 다음 레지스트 경로에 키 값을 생성하여 감염된 시스템이 재부팅하더라도 자동 실행 되도록 구성하게 된다. HKLMSYSTEMControlSet001ServicesNetmanParametersServiceDll “C:[악성코드 실행 경로]tabcteng.dll” 감염된 시스템에 존재하는 인터넷 익스플로러(Internet Explorer)의 실행 파일 iexplorer.exe를 실행 시켜 HTTP로 외부에 존재하는…