온라인 뱅킹 트로이목마 Banki(2) Posted By ASEC , 2013년 2월 1일 지난 12월 국내 인터넷 뱅킹 사용자가 타켓인 악성코드(Banki)에서 특정 시스템 날짜가 되면 윈도우 시스템 파일을 삭제하는 기능이 발견되었다. 과거에 발견된 Banki정보는 아래 페이지에서 확인이 가능하다. http://asec.ahnlab.com/search/banki 이번에 발견된 Banki 변종은 Induc 바이러스에 감염된 악성코드이며, http://210.***.**.32:2323/qq.exe 를 통하여 유포 되는 것으로 확인되었다. (온라인 뱅킹 트로이목마 Banki(1) 에서 유포과정을 다루었다.) 위 파일이 실행되어 악성코드에 감염될 경우 아래와 같은 경로에 파일이 생성된다. C:Windowssystem32muistempblogs.tempblogs.. ‘1216’, ‘Winlogones.exe’, ‘csrsses.exe’ [그림1] 악성코드에 의하여 생성된 파일 감염 후 아래와 같이 레지스트리에 서비스로 등록되어, 부팅시 실행된다. [그림2] 서비스 등록 실행된 환경에 따라 다르게 나타날 수 있지만, 악성 프로세스 ‘winlogones.exe’는 정상 프로세스인 ‘winlogon.exe’ 에 자신을 인젝션하여 프로세스 목록에 ‘winlogones.exe’ 가 보이지 않게 한다. 동시에 또 다른 악성 프로세스인 ‘csrsses.exe’ 도 계산기 프로세스 이름인 ‘calc.exe’ 에 자신을 인젝션하여 실행한다. [그림3] 정상적인 프로세스만…
온라인 뱅킹 트로이목마 Banki(1) Posted By ASEC , 2013년 2월 1일 Boland사에서 개발한 프로그래밍 언어인 Delphi에는 일부 버전(Delphi4 ~ 7)에서 사용하는 Sysconst 라이브러리가 있다. Win32/Induc 바이러스는 이 라이브러리를 감염 시킨 후 컴파일 과정에서 생성되는 EXE, DLL 등에 바이러스 코드를 삽입하는 기법의 바이러스이다. Win32/Induc은 2009년 8월경 발견되었으며 그 당시 국내에서 제작 및 배포되고 있는 Delphi 기반의 프로그램들도 해당 바이러스에 감염된 사례가 다수 있었으나 불행 중 다행인 것은 위에서 언급한 것처럼 Win32/Induc은 Delphi소스에 자신의 코드를 삽입하는 기능만 있을 뿐 감염된 소스가 컴파일 되어 생성된 EXE, DLL을 일반 PC에서 실행시켜도 아무런 피해를 발생시키지 않는다. 만약 Win32/Induc이 Win32/Virut이과 동일한 기능(파일감염, IRC채널 접속, 보안 사이트 접속방해 등)을 가지고 있었다면 다수의 일반 PC들에서 피해가 발생했을 것이다. * Win32/Induc 바이러스 조치 가이드: http://www.ahnlab.com/kr/site/securitycenter/asec/asecIssueView.do?webAsecIssueVo.seq=57 2012년 12월 말 경, Delphi로 제작된 Win32/Induc에 감염된 온라인 뱅킹 트로이목마가 해킹된…
