Downloader

나 몰래 악성코드가 설치된다고?! BeamWinHTTP 악성코드!

ASEC 분석팀에서 매주 게시하고 있는 주간 악성코드 통계에서도 확인되듯, 최근들어 다운로더형 악성코드인 BeamWinHTTP가 몇 주 사이에 눈에 띄게 많이 발생하고 있다. 지난 ASEC 주간 악성코드 통계에 따르면 BeamWinHTTP 악성코드는 Top 3으로 분류될 정도로 많은 유포가 이루어지고 있으며, 실행할 때마다 각기 다른 악성코드를 다운로드하고 있기 때문에 각별한 주의가 필요하다. BeamWinHTTP 악성코드는 PUP 설치 프로그램에 의해 실행되어지는데, 사용자들은 웹 상에서 자신이 원하는 프로그램을 설치하려다 아래와 같은 PUP 설치 프로그램을 다운로드 받고 실행하게 된다.※ PUP 프로그램 : Potentially Unwanted Program의 약자로 사용자의 동의를…

대만 기상청을 대상으로한 타겟 공격 발견

어도비 리더(Adobe Reader)와 마이크로소프트 오피스(Microsoft Office)와 같은 전자 문서에 존재하는 취약점을 악용하여 악성코드 감염을 시도하는 사례들은 지속적으로 발견되고 있다. 10월 17일 ASEC에서는 대만의 기상청 내부 직원을 대상으로한 타겟 공격(Targeted Attack)이 발생하였음을 발견하였다. 이번 대만 기상청의 내부직원을 대상으로한 타겟 공격은 아래 이미지와 동일한 이메일을 통해 진행되었다.  해당 이메일들에는 첨부된 전자 문서는 “個人資料同意申請書.doc (247,200 바이트)”,  “中央氣象局颱風資料庫研究用帳號申請表.doc (248,224 바이트)” 그리고 “國立中央大學大氣科學系通訊錄.xls (146,432 바이트)” 파일이 첨부되어 있었다. 첨부된 전자 문서 파일들은 개인정보 동의 신청서와 기상 관련 자료들 인것으로 위장하여 이메일의 수신인이 문서를 열어보기 쉬운 파일명을 사용하고 있다. 그리고 워드 문서의 경우에는 CVE-2012-0158 취약점을 악용하며 보안 권고문 “Microsoft Security Bulletin MS12-027 – 긴급 Windows 공용 컨트롤의 취약점으로 인한 원격 코드 실행 문제점 (2664258)” 을 통해 이미 보안 패치가 배포 중인 알려진 취약점이다. 그리고 취약한 전자 문서 파일들은 공통적으로 원격 제어가 가능한 백도어 형태의…

오라클 자바 JRE 7 제로 데이 취약점 악용 악성코드 유포

미국 현지 시각으로 8월 26일 보안 업체 FireEye에서 블로그 “ZERO-DAY SEASON IS NOT OVER YET“를 통해 오라클(Orcle) 자바 JRE(Java Runtime Environment) 7에서 임의의 코드를 실행 할 수 있는 코드 실행 취약점(CVE-2012-4681)을 발견하였음을 공개하였다. 현재 해당 자바 JRE 취약점은 개발 업체인 오라클에서 해당 보안 취약점을 제거할 수 있는 보안 패치를 제공하지 않고 있는 제로 데이(Zero-Day, 0-Day) 취약점으로 각별한 주의가 필요하다. 이 번에 발견된 자바 JRE 관련 제로 데이 취약점은 다음 버전의 소프트웨어에서 악용이 가능하다. Oracle Java 7 (1.7, 1.7.0) Java Platform Standard Edition 7 (Java SE 7) Java SE Development Kit (JDK 7) Java SE Runtime Environment (JRE 7) 해당 자바 JRE 관련 취약점은 최초 아래 이미지와 같이 중국에서 제작된 공다 팩(GongDa Pack)이라 불리는 웹 익스플로잇 툴킷(Web Exploit Toolkit)에서 사용되는 스크립트 악성코드를 통해 유포되었으며,…

YSZZ 스크립트 악성코드의 지속 발견

ASEC에서는 중국에서 제작되는 것으로 추정되는 GongDa Pack으로 명명된 스크립트 형태의 악성코드가 지속적으로 발견되고 있다는 것을 공개한 바가 있다. 7월 30일 – GongDa Pack의 스크립트 악성코드 증가 최근들어 GongDa Pack으로 명명된 스크립트 악성코드 이외에 YSZZ로 명명된 스크립트 악성코드가 버전을 계속 변경하면서 유포되고 있는 것이 발견되었다. 7월 3일 발견된 스크립트 악성코드의 경우는 아래 이미지처럼 상반기부터 발견되기 시작한 다른 YSZZ 스크립트 악성코드 변형들과 동일하게  0.3 버전의 스크립트 였다.  그러나 8월 3일 발견된  YSZZ 스크립트 악성코드는 아래 이미지와 같이 0.8 VIP 버전으로 업데이트된 버전의 스크립트 였다. 8월 11일 주말에 발견된 YSZZ 스크립트 악성코드는 아래 이미지와 같이 0.9 VIP 버전으로 다시 업데이트된 버전의 스크립트 였다. 해당 업데이트 된 버전의  YSZZ 스크립트 악성코드들은 V3 제품군에서 다음과 같이 진단한다. 하지만 다수의 변형들이 지속적으로 발견되고 있음으로 주의가 필요하다. HTML/Downloader JS/Downloader  JS/Agent  그리고 네트워크…

GongDa Pack의 스크립트 악성코드 증가

ASEC에서는 2012년 5월 월간 “안”을 통해 공다 팩(GongDa Pack)으로 명명된 중국에서 제작된 웹 익스플로잇 툴 킷(Web Exploit Toolkit)에 대한 상세한 분석 정보에 대해 공개한 사례가 있다.  2012-05-08 'GongDa'의 무차별 웹 공격이 시작됐다 공다 팩이라는 해당 웹 익스플로잇 툴킷의 스크립트 악성코드는 다양한 일반 어플리케이션들의 취약점을 악용하여 온라인 게임 관련 개인 정보들을 탈취하는 악성코드 유포를 목적으로 하고 있었다. 이러한 공다 팩에서 사용되는 스크립트 악성코드가 최근 몇 주 사이 지속적으로 발견되고 있으며, 업데이트 된 공다 팩 변형에 의해 유포되는 것으로 확인되었다. 최초 2012년 5월에 발견된 공다 팩에서 사용되는 스크립트 악성코드는 버전이 “JSXX 0.41″로 표기되어 있으나, 최근에 다시 발견되고 있는 스크립트 악성코드들의 경우 아래 이미지와 동일하게 “JSXX 0.44“로 표기 되어 있다. 해당 업데이트 된 버전의 공다 팩을 이용해 유포되는 스크립트 악성코드들은 V3 제품군에서 다음과 같이 진단한다. 하지만…