본문 바로가기
Lnk 취약점을 이용하는 Sality 감염 악성코드 분석 어제 포스팅 하였던 V.WOM.Sality.3.Gen과 관련이 있는지에 대해서는 아직까지 밝혀지지 않았지만, 아무래도 연관성이 있어 보인다. 조금 급조한 분석이지만, 차후 까먹을까봐 ㅠ_ㅠ 기록용으로 남겨둔당~~ - 드롭퍼 분석 1. 네트워크 공유폴더 접근 WnetOpenEnumA, WNetEnumResourceA API를 사용하여 네트워크 폴더에 접근한다. DWORD WNetOpenEnum( __in DWORD dwScope, __in DWORD dwType, __in DWORD dwUsage, __in LPNETRESOURCE lpNetResource, __out LPHANDLE lphEnum ); DWORD WNetEnumResource( __in HANDLE hEnum, __inout LPDWOR.. 2010. 7. 30.
Worm.Sality.3 감염코드가 포함 된 오토런 악성파일 주의!! 현재 많이 확인 되고 있는 내용 중 하나이다. Autorun.inf 를 이용하여 이동식디스크 전파가 가능하며, 감염 바이러스 Sality.3을 감염시키는 아주 못 된 녀석이다 ㅡㅡ;; 실행파일이 시작 되면 스레드(thread)를 생성하여 모든 프로세스에 주입시킨 후, C루트에 파일을 지속적으로 감시 및 생성한다. (스레드의 정적분석은 차후에 시간이 되면~ 하도록함 ㅎㅎ 요즘 너무 바쁨 ㅠ.ㅠ) 이 악성파일은 2가지의 특징을 가지고 있다. 1. 생성 되는 파일(exe, pif 확장자를 이용)이 모두 100KB(103,140 바이트)로 생성되는 특징이 있다. 2. PE파일 속 특이한 스트링을 담고있다.(Hello world! Caption) - 오토런도 안티바이러스의 탐지를 피하기 위해 가비지코드가 조금씩 .. 2010. 7. 28.
알약(ALYac), 미투데이 SNS를 이용한 악성코드 유포 주의 안녕하세요? 이스트소프트 보안대응팀입니다. 윈도우 업데이트 파일로 위장한 악성 DLL 파일이 미투데이(me2day)를 이용해 추가 악성코드를 다운로드하고 있으며, 새로운 좀비 PC들을 양산해내고 있어 사용자들의 주의가 필요합니다. 현재 윈도우 업데이트 파일로 위장한 악성 DLL 파일이 국내에서 서비스되어 있는 미투데이와 해외의 트위터(Twitter)를 통해 추가 악성코드를 다운로드 받게 하고 있으며, 이들 파일들이 좀비 PC를 양산하는 역할을 수행하고 있습니다. 소셜 네트워킹 서비스(SNS)를 통한 악성코드 유포는 주로 해외의 트위터(Twitter)나 페이스북(Facebook) 등을 중심으로 이루어졌으나 국내 사용자가 대다수를 차지하는 미투데이를 통해 악성코드를 유포한 사례로는 이번이 처음입니다. 특히 .. 2010. 7. 22.
변조 된 imm32.dll파일에 추가된 "rs64 New Section" 2009년 11월 부터 발견되어 현재까지도 꾸준히 업데이트하는 악성코드가 있다. 바로 imm32.dll 이다. imm32.dll은 기본적인 Windows에 들어가 있는 정상파일로써, 요즘 악성코드에 의해 변조되어 악의적인 행위로 사용되고 있다. 4A489C2C47F64541005EDB79149B3495,110080(XP SP2) - 5.1.2600.2180 7DC8A392C09DDF8C8FB1AA007D19D98B,110080(XP SP3) - 5.1.2600.5512 - 현재까지 변종으로 나온 Section Table(ss32, s32, sy32, rs64 발견 된 순서이다.) 변조 된 imm32.dll은 Loader의 역활을 하며, Load 시키는 악성코드는 다음과 같다. C:\WINDOWS\syst.. 2010. 7. 19.
사용자 ID/패스워드를 일본으로 유출시키는 악성코드 변종 발생(2010-07-16) 다음 커뮤티케이션을 가장한 키로거 파일이 새로 발견되었다. 이번엔 아예 Daum이란 파일명을 사용하지는 않았으며, 디지털서명쪽에만 사용하였다. 아무래도 제작자가 눈치를 깐듯 ㅡ.ㅡ;; ps. 드롭퍼로 추정되는 파일은 따로 추적중이다. 이 파일의 특이점은 설치 시 atl100.dll 파일이 따로 필요하다는것이다. atl100.dll(ATL Module for Windows) 파일은 Microsoft Visual Studio 2010의 재배포 파일 중에 하나이다. 제작자가 Visual Studio 2010에서 제작을 한것으로 판단되며, 드롭퍼는 atl100.dll 파일을 자체적으로 가지고 있던가 또는 notice.dll 드롭시 atl100.dll도 함께 드롭시킬 가능성이 매우 높다. PC에 C:\WINDOW.. 2010. 7. 16.
네이트온 악성코드 "V3 Lite" 제품파일명을 가장하여 배포 네이트온 쪽지 및 대화창으로 전파 되고 있는 파일 중 국내 보안회사인 안철수연구소 "V3 Lite"의 파일명으로 가장 한 악성파일이 현재 전파되고 있다. 다행히 탐지 중이라서 피해는 미약할 듯 하나, 앞으로도 국내 보안 제품의 이름과 비슷한 파일명들이 많이 나올 듯 하다. 제일 기분 나뿐건.....!! 사진이 없다 ㅡ.ㅡ;; 그냥 드롭퍼인 exe 파일일뿐!! - 참조 사이트 http://virusfree.tistory.com/41 - 유포 URL www.sto***e.com/oeg****i/ckdg****2e.exe 으로 7월 12일 발견되었으며 현재도 다운로드가 가능하다. 기존에도 네이트온 전파 악성코드는 Themida Packing을 사용하였지만, 요즘 들어 이넘들이 너무 자주 쓴다 ㅡ.ㅡ;; 누굴 .. 2010. 7. 13.
알약(ALYac), 윈도우2000, XP 서비스팩 2 기술지원 종료에 따른 업그레이드 준비 안내 이제 정말 빠이빠이네요...Win XP SP2 !! 잘가~ 그동안 수고했당!! 안녕하세요? 이스트소프트 보안대응팀입니다. 마이크로소프트 사의 윈도우 2000과 윈도우XP 서비스팩2 제품의 연장 기술지원(Extended Support Phase)이 2010년 7월 13일에 모두 종료되게 됩니다. 앞으로 연장 기술지원이 종료되면 윈도우 보안 패치 또한 제공되지 않으므로 최신 윈도우로의 업그레이드 준비를 계획해야 합니다. 현재 윈도우 XP 서비스팩 2를 사용하고 있는 PC 사용자께서는 무료로 제공되는 Windows XP 서비스 팩3를 다운로드 받아 설치하시면 2014년까지 MS의 지속적인 기술지원을 받으실 수 있습니다. 윈도우XP 서비스팩3 다운로드 홈페이지(한글) : http://www.microsoft.c.. 2010. 7. 13.
[77DDoS]2010년 7월 7일 현재 DDoS 보안업체 대응 상황 결국 우려했던 일이 벌어지고야 말았다. 내가 봤을때에는 전용백신까지는 필요없을것으로 보여지는데, 아무래도.......쫌 글타 ㅋㅋ 머 이 뜻은 아는사람들만 알듯;; 본론으로 들어가, 금일 6시 주요 기관들이 경미한 DDoS 공격을 받았다. - 관련 기사들 2010/07/07 - [보안관련소식] - 청와대 및 주요 5기관 DDoS 공격 발생!! 큰 피해는 아니였으며, 여기저기서 작년 DDoS의 잔해물로 파악되고 있기도 하고, 전초전이라 판단하는 경우도 보이고 있다. 아직까지 어떠한 상황도 섣불리 판단해선 안될 듯 하며, 좀 더 시간을 보고 모니터링을 해야 할 듯 하다. 만약 작년 DDoS의 잔해물이라면 내년, 내후년 ㅡ.ㅡ;; 이거머 끊나지 않는 공격인가 ㅋㅋ - 보안업체 대응상황 1. 알약 : http:.. 2010. 7. 8.

티스토리툴바