chm

국내 대학교 대상으로 악성 CHM 유포 중

ASEC 분석팀은 국내 특정 대학교를 대상으로 악성 CHM 파일이 다수 유포되고 있는 정황을 포착하였다. 유포 중인 악성 CHM 파일은 지난 5월에 소개했던 유형과 동일한 유형인 것으로 확인하였다. [그림 1] 은 악성 CHM 내부에 존재하는 HTM 파일의 코드이며, 파일명 “2022년도_기초과학연구역량강화사업_착수보고회_개최_계획 Ver1.1.chm” 으로 유포 중인 것으로 추정된다. 사용자가 악성 CHM 파일을 실행하게 되면, 해당 HTM 파일의 코드가 실행된다. 해당 스크립트는 hh.exe 를 통해 CHM 파일을 디컴파일 후 LBTWiz32.exe 파일을 실행하는 기능을 수행한다. 이후 정상 이미지(KBSI_SNS_003.jpg) 를 사용자 PC 화면에 생성하여 악성 행위를…

CHM 악성코드에서 확인된 안티 샌드박스 및 기업 타겟 공격

ASEC 분석팀은 최근 국내 유포 중인 CHM 악성코드에서 안티 샌드박스 기법이 적용된 유형과 기업을 타겟으로 하는 유형이 존재하는 것을 확인하였다. 두 유형 모두 지난 3월과 5월, 아래 ASEC 블로그를 통해 소개한 유형이다. 먼저, 안티 샌드박스 기법이 적용된 CHM 유형은 악성 VBE 파일을 드롭하기 전에 사용자 PC 환경을 검사하게 된다. 악성 CHM 파일 내부에 포함된 HTML 코드는 아래와 같으며, HTML 은 정상 프로그램(EXE)과 악성 DLL 파일을 생성 후 실행하는 기능을 수행한다. DLL 하이재킹 기법을 통해 생성된 악성 DLL 이 로드되며, 해당…

윈도우 도움말 파일(*.chm)을 통해 유포 중인 AgentTesla

ASEC 분석팀은 최근 AgentTesla 악성코드가 새로운 방식으로 유포 중인 정황을 포착하였다. ASEC 블로그에도 여러 번 소개해왔던 AgentTesla 의 기존 유포 방식은 파워포인트(*.ppt) 문서 내 악성 VBA 매크로를 이용하였다면, 새로운 유포 방식은 윈도우 도움말 파일(*.chm) 을 이용하여 powershell 명령어를 실행하는 것으로 확인하였다. 악성 CHM 파일은 운송 회사인 DHL 을 사칭한 피싱 메일에 첨부되어 압축 파일 형태로 유포되고 있다. DHL 외에도 다양한 주제로 피싱 메일을 유포하고 있어 사용자의 주의가 필요하다. 피싱 메일에 첨부된 압축 파일을 압축 해제하면 악성 CHM 파일이 존재하며, 해당…

코인분실, 급여명세서 위장한 악성 도움말 파일 (*.chm)

ASEC 분석팀은 윈도우 도움말 파일(*.chm) 형식의 악성코드가 지속적으로 유포되고 있음을 확인하였다. 최근 확인된 chm 파일은 <윈도우 도움말 파일(*.chm)로 유포되는 APT 공격>에서 소개한 파일과 동일한 유형으로 추가 악성코드 다운로드를 목적으로 한다. 해당 유형의 chm 파일은 주로 압축파일 형태로 유포되는 것으로 추정된다. 확인된 압축파일명과 내부 chm 파일명은 다음과 같다. 압축 파일명 내부 chm 파일명 코인분실자료.zip lost.chm 자료.zip 기본.chm 급여명세서.rar salary.chm 표1. 확인된 파일명 코인분실자료.zip 파일에는 다음과 같이 추가 압축 파일과 워드 문서가 포함되어 있다. 워드 문서의 경우 악성 기능이 없는 정상 파일로…

문서 편집 및 메신저 프로그램으로 위장한 백도어 (*.chm)

ASEC 분석팀은 악성 CHM 파일을 통해 국내 다수 사용자가 이용 중인 문서 편집 및 메신저 프로그램으로 위장한 백도어가 국내 유포 중인 것을 확인하였다. 최근 다양한 형태로 유포 중인 악성 CHM 파일은 지난 3월에도 ASEC 블로그를 통해 두 차례 소개해왔다. 이번에 소개할 악성 CHM 파일은 이전과 다른 과정을 거쳐 추가 악성 파일들을 실행한다. 현재 유포 중인 CHM 파일명 중 일부는 아래와 같으며, 국가 기관 관리자 및 대학 교수 등을 대상으로 유포되는 것으로 보인다. 유포 파일명국가융합망 예버서버 점검.chm***** 전자출결-웹페이지 교수자-메뉴얼 Ver1.0.chm붙임1. 전임교원…