본문 바로가기
MBR(Master Boot Record)감염으로 재생성되는 lpk.dll 악성코드 주의!! 요즘 MBR 자주 보네 ㅠ.ㅠ 분석도 어렵고~ 이번 포스팅도 기록용이니~ 그냥 가벼운 마음으로 고고싱!! 지난 주 지X파일 사이트가 변조되어 유포 된 악성파일 중 MBR을 감염시키고, 정상파일인 imm32.dll 을 변조시키는 것이 확인되었다. 정상파일 변조내용은 다음에 다시 쓰기로 하고, 이번 포스팅에서는 MBR을 감염시켜 악성파일(lpk.dll)이 재생성 되는걸 막아보자. 우선 최초 악성파일이 실행되면, 다음과 같이 파일과 레지스트리가 생성된다. - 파일 C:\Windows\System32\Disksystem.exe C:\Windows\System32\halc.dll C:\Windows\System32\drivers\FileEngine.sys C:\Windows\lpk.dll (악성파일 감염 후 재부.. 2011. 9. 18.
PacketStorm, "DLL Hijacking Exploit" 취약 프로그램 목록 이번 윈도우즈 Dll 하이잭킹 취약점에 노출 된 프로그램 목록들이다. 계속적으로 추가 될 예정 참고) Exploit Code를 보려면 "File Name"의 txt파일을 Shift를 누루고 클릭 Taget=_Blank 를 일일히 수정하기 어려워서 패스하였음 ㅋㅋ 출처 : http://packetstormsecurity.org /// File Name: wireshark-dllhijack.txt Description: Wireshark versions 1.2.10 and below DLL Hijacking Exploit that leverages airpcap.dll. Author: TheLeader MD5 Checksum: 58b63cafdc1ee57a10edd4a847ea7758 /// File Nam.. 2010. 8. 26.
[MS] DLL 하이재킹 취약점으로 인한 악성코드 감염 주의 □ 개요 o 일부 응용프로그램에서 로드하는 라이브러리 파일의 경로를 부적절하게 검증함으로 인해 원격코드실행 취약점이 발생 [1, 3, 4, 5, 10] o 공격자는 취약한 프로그램을 사용하는 파일을 USB 이동저장매체, 압축 해제된 파일, WebDav, 원격 네트워크 공유 등을 통해 열도록 유도하여, 동일한 경로의 악의적인 라이브러리 파일이 로드되어 실행되게 함으로써 악성코드를 유포할 수 있음 [1, 6, 7] o 취약점을 공격하는 개념증명코드가 공개되었고 다수의 응용프로그램이 취약할 것으로 추정[2, 5]되므로, 개발자의 취약점 점검 조치 및 사용자의 각별한 주의가 요구됨 □ 해당 시스템 o 영향 받는 소프트웨어 [1, 5] - 외부 라이브러리를 안전하지 않은 방식으로 로드하는 응용프로그램 ※ Load.. 2010. 8. 26.
[MS] 윈도우 서비스 격리 기능 우회 취약점 주의 □ 개요 o 특정 윈도우 서비스를 이용하여 서비스 격리 기능을 우회함으로써 권한상승이 발생하는 취약점 ※ 서비스 격리: 서비스를 필요한 권한에 따라 그룹화하여 다른 서비스 그룹에 속한 서비스에 접근하지 못하도록 하는 기능 o 공격자가 이 취약점을 악용하려면 로컬 컴퓨터에서 코드를 실행할 수 있어야 함 o 공격이 성공하면 공격자는 상승된 권한으로 프로그램 설치, 삭제, 계정 생성 등 영향받는 시스템에 대해 완전한 권한 획득 가능 □ 해당시스템 o 영향 받는 소프트웨어 - Windows XP SP3 - Windows XP Professional x64 Edition SP2 - Windows Server 2003 SP2 - Windows Server 2003 x64 Edition SP2 - Windows Se.. 2010. 8. 13.
[MS] 윈도우 디스플레이 드라이버 취약점 주의 □ 개요 o 마이크로소프트사(MS)는 윈도우 디스플레이 드라이버(Canonical Display Driver)의 원격코드실행 취약점[1,2]을 발표 o 현재까지 해당 취약점을 이용한 공격은 보고되지 않았으나 MS 윈도우의 국내 이용자 비율이 높음으로 이용자 주의 필요 □ 설명 o MS 윈도우의 Canonical Display Driver(cdd.dll) 원격코드실행 취약점 발표 - 윈도우의 메모리 랜덤화(memory randomization) 기술로 인해 원격코드실행 가능성은 낮으나 시스템이 정지하거나 재시작될 수 있음 - 윈도우 Aero 테마가 설정된 경우에만 본 취약점의 영향을 받음 - 현재 MS에서 지원하는 공식 보안 업데이트는 발표되지 않음 □ 영향을 받는 시스템 o Windows 7 for x6.. 2010. 5. 20.