웹하드를 통해 유포 중인 njRAT Posted By Sanseo , 2022년 3월 1일 웹하드는 국내 사용자를 대상으로 하는 공격자들이 사용하는 대표적인 악성코드 유포 플랫폼이다. ASEC 분석팀에서는 웹하드를 통해 유포되는 악성코드들을 모니터링하고 있으며 과거 다수의 블로그를 통해 정보를 공유한 바 있다. 최근에는 UdpRat이나 GoLang으로 개발된 DDoS IRC Bot 등 다양한 형태가 사용되고 있지만, 과거에는 아래와 같이 njRAT이 다수의 공격에서 사용되어 왔다. ASEC 분석팀에서는 최근 웹하드를 통해 유포 중인 njRAT 악성코드를 확인하여 블로그에서 소개하려고 한다. 특정 웹하드에서 다음과 같이 성인 게임을 위장한 악성코드가 업로드되었다. 사용자는 위의 성인 게임을 다운로드 받고 압축 파일 “Goblin walker.zip”의 압축을…
웹하드를 통해 유포 중인 DDoS IRC Bot 악성코드 (GoLang) Posted By Sanseo , 2022년 1월 17일 ASEC 분석팀에서는 국내 수집되고 있는 악성코드들의 유포지를 모니터링하던 중 Go 언어로 개발된 DDoS IRC 봇 악성코드들이 성인 게임을 위장하여 웹하드를 통해 설치되고 있는 사실을 확인하였다. 웹하드는 국내 환경에서 악성코드 유포에 활용되는 대표적인 플랫폼으로써 과거 njRAT이나 UDP Rat을 유포한 사례가 있다. 최근 확인되고 있는 유포 사례는 기본적으로 위에서 다룬 사례와 유사하며 동일한 공격자가 아직까지 악성코드를 유포하고 있는 것으로 보인다. 성인 게임을 위장하여 악성코드를 유포하는 점 외에도 다운로더 악성코드를 거쳐 DDoS 악성코드를 설치하는 점 그리고 UDP Rat 악성코드가 사용되었다는 점이 그것이다. 차이점이라고…
웹하드를 통해 유포 중인 악성코드 (10/8일자) Posted By ASEC , 2021년 10월 8일 ASEC 분석팀에서는 국내 악성코드들의 유포지를 모니터링하고 있으며, 최근에는 UDP Rat 악성코드와 이를 유포하는데 사용되는 웹하드 게시글을 소개한 바 있다. 공격자로 추정되는 업로더는 아래의 블로그가 공개된 이후에도 또 다른 웹하드를 이용해 유사한 악성코드들을 성인 게임으로 위장하여 유포하고 있으며 현재도 다운로드가 가능한 상황이다. – 웹하드를 통해 유포 중인 UDP Rat 악성코드 위의 게시글을 보면 zip 압축 파일을 이용한 이전 블로그 사례와 달리 egg 압축 파일을 업로드한 것으로 보이지만 실제 압축 파일은 zip 파일 포맷이다. 그리고 게시글의 아래를 보면 압축을 풀고 Game.exe를 실행시키라는…
웹하드를 통해 유포 중인 UDP Rat 악성코드 Posted By ASEC , 2021년 10월 1일 ASEC 분석팀에서는 국내 수집되고 있는 악성코드들의 유포지를 모니터링하던 중 UDP Rat 악성코드가 성인 게임을 위장하여 웹하드를 통해 유포되고 있는 사실을 확인하였다. 웹하드와 토렌트는 국내 환경에서 악성코드 유포에 주로 사용되는 대표적인 플랫폼이다. 일반적으로 공격자들은 njRAT이나 UDP Rat 같이 쉽게 구할 수 있는 악성코드들을 사용하며, 게임과 같은 정상 프로그램이나 성인물을 위장하여 악성코드들을 유포한다. 이러한 사례들은 이미 아래의 ASEC 블로그와 같이 다수 소개된 바 있다. – 웹하드와 토렌트를 통해 유포 중인 njRAT– 국내 유명 웹하드를 통해 유포되는 njRAT 악성코드– 파일 공유 사이트(성인물) 통해…
Tsunami 변종 악성코드 분석 – AK-47 Posted By ASEC , 2020년 10월 15일 Tsunami는 Kaiten이라고도 불리는 DDoS 봇이며, Mirai 및 Gafgyt와 함께 꾸준히 유포되고 있는 악성코드들 중 하나이다. 모두 DDoS 봇이라는 공통점이 있지만, Tsunami는 다른 것들과 달리 IRC를 이용해 공격자와 통신하는 형태의 IRC 봇이라는 점이 특징이다. 초기 Kaiten의 소스 코드가 공개된 후로 기존의 소스 코드에 다양한 기능을 더한 여러 악성코드가 만들어졌으며, 그 소스 코드들 또한 공개됨에 따라 현재까지 다수의 Tsunami 변종 악성코드들이 확인되고 있다. 여기에서 다루는 악성코드는 제작자가 AK-47이라는 시그니처를 C&C 서버와의 통신에 사용함에 따라 간단하게 AK-47이라고 언급하도록 한다. 최근 유포되고 있는 다른…
