아두스카 부트킷(Aduska Bootkit), MBR 변조로 인한 온라인 게임 개인정보 유출 주의!!

2011년 10월경 국내 사용자를 대상으로 아두스카 부트킷(Aduska Bootkit)이 유포 된 적이 있었는데, 그 때 이후 처음보는듯 하다.

관련 링크는 아래와 같다.

• Ahnlab, 국내 PC 사용자를 대상으로 유포된 아두스카 부트킷(2012-10-22)

• 울지않는벌새, Aduska Bootkit을 이용한 온라인 게임 정보 수집 악성코드 유포 주의 (2013-9-10)

아두스카 부트킷(Aduska Bootkit)은 MBR(Master Boot Record)을 변조하여 악의적인 행위를 하는 부트킷으로써 동유럽 지역에
유포가 다수 되었으나, 국내에는 많이 보이지는 않는 악성코드이다. 

최초 유포지는 확인 할 수 없었지만, 지인을 통해 아래의 서버에서 다운로드 된 파일이 이번 아두스카 부트킷의 메인 드롭퍼임을
확인 할 수 있었다. 

hxxp://korea******.com/bbs/icon/win7.exe (메인 드롭퍼)

ㄴhxxp://korea******.com/bbs/icon/taba.exe (아두스카 부트킷 생성 파일)

 

이번에 발견 된 아두스카 부트킷이 포함 된 악성코드의 주요 악성행위로는 아래와 같다.

- 마스터 부트 레코드(MBR) 변조
 

- 사용자 정보 외부 유출
 

- 보안 프로그램 종료
 

- 추가 악성파일 다운로드
 

- 온라인게임 정보 외부유출
  (dnf.exe, MapleStory.exe, lin.bin, ff2client.exe, Game.exe, heroes.exe, ExLauncher.exe, TERA.exe, PCOTP.exe,    
   AION.bin)

아두스카 부트킷(Aduska Bootkit)으로 감염 된 MBR(Master Boot Record)은 아래의 전용백신에서 치료가 가능하다.

- Aduska Bootkit 전용백신(Ahnlab)

http://www.ahnlab.com/kr/site/download/vacc/vaccView.do?seq=108

알약에서는 해당 파일을 Trojan.Rookit.Aduska, Trojan.Downloader.MBR.2560 으로 탐지한다.