연봉 계약서로 위장한 취약한 한글 파일 발견 Posted By ASEC , 2012년 10월 26일 ASEC에서는 지속적으로 국내 관공서 등에서 많이 사용되는 한글 소프트웨어의 취약점을 악용하여 악성코드 감염을 시도하는 공격에 대해 알린 바가 있다. 이러한 한글 소프트웨어의 취약점을 악용하는 공격 형태는 10월 24일 대통령 선거 공약 관련 내용으로도 유포 된 바가 있다. 10월 25일에는 일반 기업들의 연봉 계약서 내용으로 위장하여 유포된 취약한 한글 파일이 발견되었다. 이 번에 발견된 취약한 한글 파일은 “연봉계약서.hwp (1,015,812 바이트)” 라는 파일명을 가지고 있으며, 이를 열게 되면 아래 이미지와 같은 내용을 가지고 있다. 해당 취약한 한글 파일은 HwpApp.dll에 존재하는 문단 정보를 파싱하는 과정에서 발생하는 버퍼 오버플 로우로 인한 코드 실행 취약점이다. 해당 취약점은 2012년 6월에 발견되었으며, 당시 제로 데이(Zero-Day,0-Day) 취약점으로 발견되었다. 해당 취약한 한글 파일이 열리게 되면, 사용자 모르게 백그라운드로 “system32.dll (81,920 바이트)”를 다음 경로에 생성하게 된다. C:Documents and SettingsTesterLocal SettingsTempsystem32.dll 그리고 생성한 system32.dll 는…
대통령 선거 관련 내용을 담은 취약한 한글 파일 발견 Posted By ASEC , 2012년 10월 25일 ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 소프트웨어 존재하는 취약점들을 악용하여 악성코드 감염을 시도한 공격 사례들에 대해 여러 차례 공유 한 바가 있다. 특히 최근 1달 사이만을 살펴보더라도 아래와 같이 다수의 공격 사례들이 있어, 외부에서 유입되는 이메일에 첨부된 한글 파일을 열게 될 경우에는 각별한 주의가 필요하다. 2012년 10월 19일 – 국방 관련 내용을 담은 취약한 한글 파일 발견 2012년 10월 10일 – 한글 소프트웨어의 제로 데이 취약점 악용 악성코드 2012년 10월 09일 – 전자 문서들의 취약점을 악용하는 악성코드들 다수 발견 2012년 09월 21일 – 다양한 전자 문서들의 취약점을 악용한 악성코드 2012년 10월 24일, 다시 한글 소프트웨어에 존재하는 알려진 취약점을 악용하는 취약한 한글 파일 2건이 발견되었다. 이 번에 발견된 취약한 한글 파일 2건은 국내 유명 포털 웹 사이트에서 제공하는 메일 서비스의 이메일 주소 이용하고…
usp10.DLL 파일을 이용한 온라인 게임 악성코드 Posted By ASEC , 2012년 10월 22일 온라인 게임에서 사용되는 개인 정보들을 탈취하기 위한 악성코드는 몇 년에 걸쳐서 한국에서 꾸준히 발견되고 있으며, 이제는 매주 주말마다 새로운 변형들을 다양한 웹 어플리케이션 취약점들과 연동하여 유포하고 있다. 이러한 온라인 게임 관련 악성코드에 대해서 ASEC에서는 그 변형들이 악용하는 유포 기법들을 지속적으로 공유하고 잇다. 2011년 10월 – ws2help.dll을 교체하는 온라인 게임 악성코드 분석 2012년 3월 – CVE-2012-0754 취약점을 이용해 전파되는 온라인 게임핵 악성코드 2012년 7월 – XML 코어 서비스 취약점 악용으로 온라인 게임 악성코드 유포 2012년 7월 – GongDa Pack의 스크립트 악성코드 증가 2012년 8월 – YSZZ 스크립트 악성코드의 지속 발견 2012년 10월 – 패치드(Patched) 형태의 악성코드 변천사 이러한 온라인 게임의 사용자 개인 정보 탈취를 목적으로하는 악성코드가 최근에서는 usp10.DLL 파일을 악용하여 보안 소프트웨어를 무력화 기능까지 포함된 악성코드가 발견되었다. 이 번에 발견된 온라인 게임 관련 악성코드는 크게 3가지 부분으로…
국방 관련 내용을 담은 취약한 한글 파일 발견 Posted By ASEC , 2012년 10월 19일 2012년 하반기로 접어들면서 국내 관공서에서 사용 빈도가 높은 한글 소프트웨어의 취약점을 악용하여 악성코드 감염을 시도하는 사레가 지속적으로 발견되고 있다. 특히 2012년 6월과 10월에는 한글 소프트웨어에 존재하는 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점을 악용하는 사례들도 발견되었다. 10월 15일과 16일 다시 국내에서 국방 관련 내용을 가지고 있는 취약한 한글 파일들이 발견되었으며, 이 번에 발견된 취약한 한글 파일은 총 2개로 “군환경교육계획(2012).hwp (1,044,996 바이트)”와 “우리도 항공모함을 갖자.hwp (240,285 바이트)”의 파일명으로 유포되었다. 취약한 한글 소프트웨어를 사용하는 시스템에서 해당 취약한 한글 파일들을 열게 될 경우에는, 아래 이미지와 같이 국방 관련 내용이 나타나게 된다. 해당 취약한 한글 파일들은 기존에 이미 알려진 HncTextArt_hplg 또는 HncApp.dll 관련 버퍼 오버플로우(Buffer Overflow)로 인한 코드 실행 취약점들을 악용하고 있다. 첫 번째 취약한 한글 파일인 군환경교육계획(2012).hwp 을 열게 되면, 백그라운드로 “system32.dll (65,536 바이트)” 가 다음 경로에 생성 된다. C:Documents and Settings[사용자 계정명]Local…
윈도우 도움말 파일을 이용한 악성코드 유포 Posted By ASEC , 2012년 10월 18일 10월 17일 ASEC에서는 윈도우 도움말(HLP) 파일을 이용해 내부 정보들을 탈취하기 위한 목적으로 제작된 악성코드가 국내에 유포 된 것을 발견하였다. 이번에 윈도우 도움말 파일을 이용하여 유포된 악성코드는 아래 이미지와 동일하게 이메일의 첨부 파일 형태로 유포되었다. 유포된 이메일은 “쟁점 Q&A 통일외교“와 “전략보고서“라는 제목을 가지고 있는 2가지 형태이며 공통적으로 메일 본문에는 아무런 내용이 존재하지 않는다. 그리고 메일을 보낸 송신인은 국내 유명 포털 웹 사이트에서 제공하는 메일 서비스를 이용해 동일한 메일 주소를 사용하고 있다. 유포된 이메일에는 총 2가지 형태의 “쟁점Q&A 통일외교.zip (62,247 바이트)”와 “전략보고서.zip (61,742 바이트)” 의 첨부 파일이 존재하며, 압축 파일의 압축을 풀게 되면 “쟁점Q&A 통일외교.hlp (129,883 바이트)”와 “전략보고서.hlp (129,375 바이트)” 이 생성된다. 생성된 해당 HLP 파일들을 실행하게 되면 아래 이미지와 동일한 내용이 보여지게 된다. 그리고 해당 HLP 파일들에 의해 백그라운드로 아래의 경로에 동일한 “winnetsvr.exe (114,688 바이트)” 파일을 생성하고 실행하게 된다. C:WINDOWSTempwinnetsvr.exe 생성된 winnetsvr.exe 파일은 다음의…
