사우디아라비아 정유 업체를 공격한 Disttrack 악성코드 Posted By ASEC , 2012년 8월 20일 8월 17일 ASEC에서는 8월 15일 공개된 외국 언론 “Saudi Aramco says virus shuts down its computer network“을 통해 사우디 아라비아의 정유 업체인 Saudi Aramco에 특정 악성코드에 의한 피해가 발생하였다는 것을 확인 하였다. 추가적으로 ASEC에서 관련 보안 위협에 대한 정보들을 확인하는 과정에서 시만텍(Symantec)에서 “The Shamoon Attacks“로 명명한 보안 위협과 관련되었음을 파악하였다. Shamoon 보안 위협과 관련된 악성코드는 Disttrack로 명명되었으며, 크게 3가지 기능을 가진 악성코드들이 모듈 형태로 동작하도록 설계되어 있다. 드로퍼(Dropper) – 다른 기능들을 수행하는 악성코드들을 생성하는 메인 악성코드 와이퍼(Wiper) – 실질적인 MBR(Master Boot Record)를 파괴 기능을 수행하는 악성코드 리포터(Reporter) – 공격자에게 감염된 시스템의 현황을 보고 기능을 수행하는 악성코드 해당 Disttrack는 관리 목적의 공유 폴더인 ADMIN$, C$, D$와 E$ 를 통해 네트워크에 이웃한 시스템으로 자신의 복사본을 전송하여 생성하게 된다. 그리고 감염된 시스템에 존재하는 JPEG 파일을 임이의 데이터로 덮어씀으로 이미지 파일을 정상적으로 사용하지 못하게 한다….
Adobe Flash CVE-2012-0779 취약점 악용한 Targeted Attack Posted By ASEC , 2012년 5월 7일 한국 시각으로 5월 4일 저녁 Symantec에서는 블로그 “Targeted Attacks Using Confusion (CVE-2012-0779)“을 통해 Adobe Flash Player에 존재하는 CVE-2012-0779 취약점을 악용한 타겟 공격(Targeted Attack)이 발생하였음을 공개하였다. 이와 관련해 Adobe에서도 보안 권고문 “Security update available for Adobe Flash Player“을 통해 Flash Player에 CVE-2012-0779 취약점이 존재하며, 해당 취약점을 제거하기 위한 보안 패치를 공개하였다. 이 번에 공개된 해당 CVE-2012-0779 취약점은 Adobe Flash Player 11.2.202.233와 그 이전 버전이 모두 영향을 받는 것으로 밝히고 있다. Symantec에서는 이 번에 발생한 Targeted Attack은 전통적인 기법으로 이메일의 첨부 파일을 이용하여 진행 되었으며, 첨부 파일로는 취약한 Adobe Flash 파일을 호출할 수 있도록 되어 제작된 마이크로소프트 워드(Microsoft Word) 파일이 존재하였다. ASEC에서는 해당 워드 파일들을 확보하여, 아래 이미지와 같이 워드 파일 내부의 1Table에 취약한 Adobe Flash 파일인 SWF을 호출할 수 있도록 제작 되어 있는 것을 확인 하였다….
Stuxnet 변형으로 알려진 Duqu 악성코드의 다른 변형 발견 Posted By ASEC , 2012년 4월 4일 현지 시각으로 3월 20일 Symantec에서 해당 기업의 블로그 “New Duqu Sample Found in the Wild“를 통해 Stuxnet의 변형으로 알려진 Duqu 악성코드의 또 다른 변형이 발견되었음을 공유 하였다. Duqu는 기존에 알려진 Stuxnet이 SCADA(Supervisory Control And Data Acquisition) 감염으로 원자력 발전소 운영을 방해하기 위한 목적과 달리 감염 된 시스템과 네트워크에서 정보들을 수집하기 위한 목적으로 제작되었다. 이 번에 발견된 Duqu의 또 다른 변형은 아래 Symantec에서 공개한 이미지와 같이, 붉은 색 박스로 표기된 드라이버(.sys) 파일로 밝히고 있다. ASEC에서는 이 번에 새롭게 알려진 Duqu 악성코드의 또 다른 변형을 확보하여 확인하는 과정에서 아래 이미지와 동일하게 파일의 Time Date Stamp를 통해 2012년 2월 23일 해당 파일이 생성된 것을 확인하였다. 이러한 사항으로 미루어 Duqu 제작자 또는 제작 그룹은 지속적으로 Duqu 악성코드의 다른 변형들을 제작하여 유포하고 있는 것으로 볼 수…
MS11-073 워드 취약점을 악용한 타겟 공격 발생 Posted By ASEC , 2012년 2월 10일 2012년 2월 10일 미국 보안 업체인 시만텍(Symantec)에서는 블로그 “New Targeted Attack Using Office Exploit Found In The Wild“을 통해 마이크로소프트(Microsoft)에서 2011년 9월 공개한 보안 패치 “Microsoft Security Bulletin MS11-073 Microsoft Office의 취약점으로 인한 원격 코드 실행 문제점 (2587634)” 취약점을 악용한 타겟 공격(Targeted Attack)을 발견되었음 공개하였다. 해당 MS11-073 취약점을 악용한 타겟 공격은 이메일을 통해 진행되었으며 ZIP으로 압축된 첨부 파일에는 아래 이미지와 같이 취약한 워드(Word) 파일과 fputlsat.dll(126,976 바이트)이 포함되어 있었다. 취약한 워드 파일을 fputlsat.dll(126,976 바이트)와 동일한 폴더에서 열게 되면 아래 이미지와 같은 워드 파일이 실행된다. 해당 취약한 파일이 실행되면 아래 이미지와 동일하게 fputlsat.dll(126,976 바이트)은 삭제되고 정상 Thumbs.db 파일이 생성된다. 그러나 실제로는 해당 취약한 워드 파일에 의해 윈도우 임시 폴더(Temp)에 ~MS2A.tmp(76,800 바이트)이 생성된다. 생성된 ~MS2A.tmp(76,800 바이트) 파일은 다시 윈도우 폴더(C:WINDOWS)와 윈도우 시스템 폴더(C:WINDOWSsystem32)에 iede32.ocx(13,824 바이트)을 생성하게 된다. 그리고 윈도우…
윈도우 커널 제로 데이 취약점을 악용한 Duqu 악성코드 Posted By ASEC , 2011년 11월 4일 현지 시각 2011년 10월 18일 미국 보안 업체인 시만텍(Symantec)에서는 이란 원자력 발전소를 공격 대상으로한 스턱스넷(Stuxnet)의 변형인 Duqu 악성코드가 발견되었음 블로그 “W32.Duqu: The Precursor to the Next Stuxnet“를 통해 공개하였다. 그리고 Duqu에 대해 약 46 페이지의 분석 보고서 “W32.Duqu The precursor to the next Stuxnet” 를 공개하였다. 현재 해당 보고서는 현지 시각 2011년 11월 1일부로 1.3 버전으로 업데이트 되었다. 시만텍에서는 Duqu 악성코드를 분석하는 과정에서 2009년 발견되었던 스턱스넷 악성코드와 유사한 형태를 가지고 있으며, 동일 인물 또는 제작 그룹에 제작된 것으로 추정되고 있음을 밝히고 있다. 이번에 발견된 Duqu는 스턱스넷과 같이 산업 제어 시스템과 관련된 코드와 자체 전파 기능은 존재하지 않았다. 그러나 C&C(Command and Controal) 서버를 통해 원격 제어가 가능하며, 키로깅(Keylogging)을 통해 정보를 수집할 수 있는 기능이 존재한다. 그리고 시스템에 감염된지 36일이 지나면 자동 삭제하는…
