‘3.20 APT공격’ 관련 고객정보보호 후속조치 Posted By ASEC , 2013년 3월 26일 – 1차 : 25일 APT 트레이스 스캔 – 2차 : 주중 MBR 프로텍터 제공 – 3.20 APT 공격 노출 여부 및 잔여 흔적 추적하는 ‘APT 트레이스 스캔’ 고객사 제공 – 비상대응체제 유지 및 고객 피해 최소화 노력 지속 글로벌 보안 기업 안랩(대표 김홍선, http://www.ahnlab.com)은 오늘, 지난 3월 20일 14시경 발생한 특정 방송사/금융사 대상 APT 공격에 대한 ‘고객정보보호 후속조치’를 발표했다. 이는 안랩이 공격발생 당일인 3월 20일 17시 49분에 긴급 V3 엔진 업데이트 및 18시 40분에 전용백신을 배포한 데 이은 후속조치이다. 안랩이 발표한 고객정보보호 후속조치는 △3.20 APT 공격 노출 여부 및 잔여 흔적을 추적하는 ‘APT 트레이스 스캔(APT Trace Scan)’ 제공 △만약에 있을지 모르는 변종에 대비해PC부팅영역인 ‘MBR(마스터부트레코드)’ 보호를 위한 ‘MBR 프로텍터(MBR Protector)’ 제공 등이다. 안랩은 우선 25일부터 ‘APT 트레이스 스캔(APT Trace Scan)’을 고객사에 개별적으로 제공했다. APT 트레이스 스캔은 자신의 PC가 이번 ‘3.20 APT 공격’에 노출됐는지 여부와 공격 흔적을 확인하는 프로그램이다. 이는 안랩 고객사 중, 장애증상을 겪지 않았거나 공격 당일 엔진 업데이트 및 전용백신을 실행했어도 이번…
주요 방송사 및 은행 전산망 장애 유발 악성코드 분석 Posted By ASEC , 2013년 3월 21일 3월 20일 14시경 주요 방송사 및 은행 전산망 장애가 발생하는 사고가 한국에서 발생하였으며, ASEC에서는 악성코드 감염 후 디스크 손상으로 부팅 불가로 인해 장애가 발생한 것으로 확인하였다. 현재 해당 악성코드는 운영체제에 따라 디스크를 손상시키는 기능이 포함되어 있으며, 상세한 디스크 손상 내용은 아래 분석 정보에 기술하였다. 해당 악성코드는 V3 엔진(엔진버전: 2013.03.20.06 이상)으로 업데이트 할 경우 검사 및 치료가 가능하며, 3월 20일 오후 6시경부터 제공 중인 전용백신으로도 검사 및 치료 할 수 있다. [UPDATE – 2013/03/25] 현재까지 ASEC에서 분석한 이번 주요 방송사 및 은행 전산망 장애를 유발한 악성코드는 다음 이미지와 같이 A 케이스와 B 케이스로 나누어서 발생하였다. 우선 위 이미지 좌측 편의 A 케이스에 사용되었던 파일들에 대한 세부 분석 내용은 다음과 같다. 우선 드로퍼인 File A는 %Temp% 폴더에 다음 파일들을 생성하게 된다. 1) File B : MBR 파괴 기능…
국내 PC 사용자를 대상으로 유포된 아두스카 부트킷 Posted By ASEC , 2012년 10월 22일 현재까지 PC의 MBR(Master Boot Record)를 변조하여 악의적인 기능을 수행하는 부트킷(Bootkit)은 러시아와 루마니아를 포함한 동유럽 지역에서 제작되어 유포 되는 사례가 다수를 차지하고 있다. 이러한 부트킷에 대해 ASEC에서는 관련 분석 정보들을 블로그들을 통해 공유한 바가 있다. 2011년 10월 – MBR을 변조하는 Halcbot 부트킷 상세 분석 10월 12일 국내 PC 사용자를 대상으로 유포된 부트킷 기능이 포함된 온라인 게임 관련 개인 정보를 탈취하는 악성코드가 발견되었다. 이 번에 발견된 부트킷 기능의 악성코드는 “해피투게더.exe (230,349,368 바이트)”라는 파일명을 가지고 있으며 200 MB가 넘는 큰 크기를 가지고 있다. 해당 악성코드가 동작하는 전체적인 구조를 정리하면 아래 이미지와 동일하다. 유포된 해피투게더.exe 는 실제로는 인스톨 기능을 가진 인스톨러(Installer) 파일로서 해당 악성코드에 감염이 되면 crvsv.exe 가 실행이 되며, 실제 해당 crvsv.exe가 MBR 감염과 함께 온라인 게임 관련 악성코드를 감염시키는 드로퍼(Dropper) 이다. 해당 crvsv.exe 악성코드느 다음의 악의적인 기능을 수행하게 된다. …
사우디아라비아 정유 업체를 공격한 Disttrack 악성코드 Posted By ASEC , 2012년 8월 20일 8월 17일 ASEC에서는 8월 15일 공개된 외국 언론 “Saudi Aramco says virus shuts down its computer network“을 통해 사우디 아라비아의 정유 업체인 Saudi Aramco에 특정 악성코드에 의한 피해가 발생하였다는 것을 확인 하였다. 추가적으로 ASEC에서 관련 보안 위협에 대한 정보들을 확인하는 과정에서 시만텍(Symantec)에서 “The Shamoon Attacks“로 명명한 보안 위협과 관련되었음을 파악하였다. Shamoon 보안 위협과 관련된 악성코드는 Disttrack로 명명되었으며, 크게 3가지 기능을 가진 악성코드들이 모듈 형태로 동작하도록 설계되어 있다. 드로퍼(Dropper) – 다른 기능들을 수행하는 악성코드들을 생성하는 메인 악성코드 와이퍼(Wiper) – 실질적인 MBR(Master Boot Record)를 파괴 기능을 수행하는 악성코드 리포터(Reporter) – 공격자에게 감염된 시스템의 현황을 보고 기능을 수행하는 악성코드 해당 Disttrack는 관리 목적의 공유 폴더인 ADMIN$, C$, D$와 E$ 를 통해 네트워크에 이웃한 시스템으로 자신의 복사본을 전송하여 생성하게 된다. 그리고 감염된 시스템에 존재하는 JPEG 파일을 임이의 데이터로 덮어씀으로 이미지 파일을 정상적으로 사용하지 못하게 한다….
MBR (Master Boot Record) 을 감염시키는 온라인 게임핵 악성코드 발견 Posted By ASEC , 2011년 9월 16일 1. 서론 최근 국내에 MBR (Master Boot Record) 을 감염시키는 악성코드가 발견되어 해당 글을 작성합니다.2. 악성코드 분석 해당 악성코드에 감염되게 되면 아래와 같이 MBR (Master Boot Record) 이 변조되게 됩니다. 이로 인해 변조된 MBR 복구해주지 않으면 시스템이 재부팅 될때마다 악성코드가 계속해서 재감염 됩니다. [그림 1] 변경되기 전 MBR (Master Boot Record) [그림 2] 변경 된 후 MBR (Master Boot Record) 추가로 악성코드가 MBR을 변조할 때 원본을 다른 섹터 영역에 암호화 하여 백업을 해둡니다. 따라서 수동으로 복원할 경우 암호화 된 백업본을 복호화 하여 복원을 하면 되나 이는 일반 사용자가 하기에는 무리가 있습니다. 3. 감염 시 나타나는 증상 해당 악성코드는 온라인 게임계정을 탈취하는 악성코드로 감염 시 아래와 같은 증상이 발생하게 됩니다.1) AV 실행 불가 및 실행 시 엑세스 거부 메시지가 발생주로 V3 제품 및 기타…