악성코드

ASEC 보안 위협 동향 리포트 2011 Vol.21 발간

안철수연구소 ASEC에서 2011년 10월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2011 Vol.21을 발간하였다. 이 번에 발간된 ASEC 리포트는 2011년 10월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. * 10월 주요 보안 위협 이슈들 MySQL 사이트에 삽입된 악성 스크립트 스티브 잡스 사망 관련 메일로 위장한 악성코드 Smiscer Rootkit QR 코드를 통해 감염되는 안드로이드 악성코드 발견 NETFLIX 위장 안드로이드 악성 애플리케이션 CVE-2011-2140 취약점을 이용한 악성코드 유포 플래시가 당신 컴퓨터의 웹 카메라와 마이크를 조종한다 리눅스 Tsunami DDoS 공격 툴의 맥 OS X 포팅 국내PC를 감염 목표로 하는 부트킷 상세 분석 안철수연구소 ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다  ASEC 보안 위협 동향 리포트 2011 Vol.21 발간

윈도우 커널 제로 데이 취약점을 악용한 Duqu 악성코드

현지 시각 2011년 10월 18일 미국 보안 업체인 시만텍(Symantec)에서는 이란 원자력 발전소를 공격 대상으로한 스턱스넷(Stuxnet)의 변형인 Duqu 악성코드가 발견되었음 블로그 “W32.Duqu: The Precursor to the Next Stuxnet“를 통해 공개하였다. 그리고 Duqu에 대해 약 46 페이지의 분석 보고서 “W32.Duqu The precursor to the next Stuxnet” 를 공개하였다. 현재 해당 보고서는 현지 시각 2011년 11월 1일부로 1.3 버전으로 업데이트 되었다. 시만텍에서는 Duqu 악성코드를 분석하는 과정에서 2009년 발견되었던 스턱스넷 악성코드와 유사한 형태를 가지고 있으며, 동일 인물 또는 제작 그룹에 제작된 것으로 추정되고 있음을 밝히고 있다. 이번에 발견된 Duqu는 스턱스넷과 같이 산업 제어 시스템과 관련된 코드와 자체 전파 기능은 존재하지 않았다.  그러나 C&C(Command and Controal) 서버를 통해 원격 제어가 가능하며, 키로깅(Keylogging)을 통해 정보를 수집할 수 있는 기능이 존재한다. 그리고 시스템에 감염된지 36일이 지나면 자동 삭제하는…

imm32.dll을 패치하는 악성코드 조치 가이드 Ver. 2.0

1. 서 론 imm32.dll을 패치하는 악성코드와 관련된 피해사례가 꾸준히 접수되고 있어 확인해 본 결과 기존의 방식과는 조금은 다른 방식을 사용하여 악성코드를 실행하도록 되어 있어 일반 사용자들을 위해서 “imm32.dll을 패치하는 악성코드“에 대한 정보를 업데이트하였다. 2. imm32.dll을 패치하는 악성코드, 수동조치는 어떻게? 최근에 발견된 imm32.dll을 패치하는 악성코드를 수동조치하기 위해서는 두 가지 경우의 수를 두고 수동조치를 해야한다. Case 1. 정상 imm32.dll -> imm32A.dll로 백업 후 순도 100%의 악성 imm32.dll로 교체되는 경우 Case 1에 해당하는 PC에서 안리포트를 실행하여 프로세스 & 모듈 -> 로드된 모듈 부분을 살펴보면 아래 그림처럼 이름 기준으로 서명이 Unsigned된 imm32.dll과 Signed catalog(nt5.cat)된 imm32a.dll파일 두 개가 실행 중임을 알 수 있다. [그림 1] Case 1에 해당하는 PC의 상태 Unsigned된 imm32.dll은 순도 100%의 악성 imm32.dll이며, Signed catalog(nt5.cat)된 imm32a.dll은 악성코드가 백업한 정상 imm32.dll이다. 수동조치는 아래 단계를 거친다….

[긴급] MBR 및 파일 손상 !! 시스템 복구 불가능 !! 부팅전에 전용백신으로 조치하세요 !!

◆ 서론  2011년 3월 3일부터 국내 웹사이트를 겨냥한 DDoS 공격 및 감염PC의 시스템 손상을 일으키는 악성코드가 발견 되었습니다. 시스템 손상은 하드디스크 내부에 존재하는 모든 문서파일 등 주요파일을 손상시킨 후 부팅에 관여하는 MBR 정보를 파괴하여 PC를 부팅불가 및 데이터복구 불가 상태로 만들게 됩니다. 이에 아래 조치 가이드를 활용하여 즉시 예방조치 하실 것을 권해 드립니다. (본 문서는 윈도2000 이상의 모든 OS군에 유효 합니다.) 1. 현재 사용 중인(전원이 켜있는) 컴퓨터의 예방조치 방법  A. 안철수연구소 홈페이지에 접속하여 [전용백신 다운로드] 후 검사 2. 현재 사용 중이지 않은(전원이 꺼진) 컴퓨터의 예방조치 방법  A. 안전모드(네트워크사용)로 부팅  B. 안철수연구소 홈페이지에 접속하여 [전용백신 다운로드] 검사 따라서, 최초 시스템을 부팅하실때 안전모드(네트워크 사용)으로 부팅하여, 안철수연구소에서 제공하는 전용백신으로 선 조치 후 PC 를 사용하시기 바랍니다. MBR 이란? 하드 디스크의 맨 앞에 기록되어…

‘G20 Issues paper’ 제목의 악성코드 링크된 스팸메일 주의

1. 서론  G20 정상회의 가 얼마남지 않은 시점에, 이러한 사회적 이슈를 이용하는 Social Engineering 기법으로 악성코드를 전파시키는 스팸메일이 발견되어 관련 내용을 공유합니다. 2. 전파 경로  해당 악성코드는 ‘G20 Issues paper’ 라는 제목의 G20 관련 문서가 포함된 메일로 위장하여 전파되며, 메일에 포함된 미국 서버에 존재하는 링크를 클릭시 MS워드문서로 위장된 악성코드가 담긴 압축파일이 다운로드 되게 됩니다. [fig.1] G20을 이용한 악성스팸메일. 출처: Trendmicro 블로그 [fig.2] 접속을 시도하는 시스템에 대한 위치정보 [fig.3] 링크로 전송받는 압축파일 [fig.4] 압축파일 내부에 존재하는 워드문서 위장 악성코드 3. 대응 현황  현재 V3 제품군에서는 아래와 같은 진단명으로 진단이 가능합니다. 엔진버젼: 2010.11.10 Dropper/Agent.77980 Win-Trojan/Downloader.25434.C [fig.5] 해당 악성코드에 대한 V3 제품군 진단명 4. 악성코드 분석  해당 악성코드 내부에는 EXE 파일 및 DOC 문서가 포함되어 있습니다. 따라서 악성코드가 실행이 되면 사용자가 문서파일을 연거처럼 착각을 유도하도록…