1. 개요 최근국내외에서 E-card 발송을가장한스팸메일로인하여악성코드에감염되는피해가다수보고되었다. 악성코드는메일본문에악의적인 URL을삽입및클릭을유도하는방식으로스팸메일을발송한다. 사용자가스팸메일에포함되어있는악성URL을클릭할경우감염될수있으며, 감염후에는악성코드가감염PC내에저장되어있는메일주소들을추출하여해당주소로동일유형의스팸메일을발송하게된다. 또한, P2P를통한명령전달및추가악성코드다운로드등의악성행위가예상되므로사용자는 URL이포함되어있는스팸성메일수신시클릭하지않도록주의한다. 퀵타임, Winzip 사용자의경우, 해당제품을최신으로업데이트하도록하며, OS 및설치되어있는백신을최신으로업데이트하여감염을예방하도록한다. 2. 스팸메일을이용한전파기법 o 전파기법분석메일을통하여악성링크클릭을유도및취약점을악용하여사용자 PC를감염시킨다. - 스팸메일발송을통한악성웹사이트접속유도 - 웹브라우져및 Third-Party 어플리케이션취약점악용 스팸메일유형분석스팸메일은영문이며, 아래와같이 ecard 발송을가장하여, 악성 URL 에접속하도록유도한다. - 메일제목및내용유형 참고 : 메일제목및내용은다른유형으로계속적으로업데이트되는것으로확인됨 * 메일제목예 - Thank you ecard, - Animated card, - Greeting ecard, - Musical e-card - Movie-quality e-card, - Thank you postcard, - Funny postcard, - Birthday postcard - 제목없음등
* 메일내용예 Hi. Colleague has sent you a greeting ecard. See your card as often as you wish during the next 15 days. SEEING YOUR CARD If your email software creates links to Web pages, click on your card's direct www address below while you are connected to the Internet: http://88.8[ 생략 ]9.10/?55844a4912b62c4232c3a9ebeed43 (URL 주소는가변적이다 ) Or copy and paste it into your browser's "Location" box (where Internet addresses go). We hope you enjoy your awesome card. Wishing you the best, Webmaster, BlueMountain.Com Family member(jbilones@qu[ 생략 ]utual.com) has created Animated e-card for you at americ[ 생략 ]eetings.com. To see your custom Animated e-card, simply click on the following Internet address (if your mail program doesn't support this feature you will need to COPY and PASTE the address into your browser's address box): http://68.4[ 생략 ]165/?9dc7f80c760e2baa0067 (URL 주소는가변적이다 ) Send a FREE greeting card from americ[ 생략 ]etings.com whenever you want by visiting us at: http://america[ 생략 ]eetings.com/ This service is provided and hosted by ameri[ 생략 ]eetings.com. Good day. Your School friend has sent you Thank you card from netfu[ 생략 ]ds.com. Click on your card's direct www address below: http://68.5[ 생략 ]80.218/ (URL주소는가변적이다 ) Copyright (c) 1997-2007 netfuncards.com All Rights Reserved Oh baby, I love what you sent me. Here is some pics to say thanks. http://75.3[ 생략 ]44.127/ (URL주소는가변적이다 )
악용취약점분석사용자가악성 URL에접속할경우, 아래와같은화면이출력되는데, 화면내에는자바스크립트코드가삽입되어있다. 해당자바스크립트내에는취약점공격을위한핵심코드들이탐지를어렵게하기위하여암호화형태로삽입되어있다. < 인코딩된공격코드예 > 암호화된공격코드들은아래의루틴에의하여복호화된다. o 공격에악용되는취약점 - MS06-014: MS 데이터접근컴포넌트취약점 - MS06-057: MS 윈도우탐색기원격코드실행취약점 - 애플사퀵타임 7.1.3이하의버전에서 RTSP(Real Time Stream Protocol) URL처리취약점 - WinZip( 압축유틸리티 ) 10.0 이하의버전에서임의명령실행취약점
o 감염절차및증상메일내의악성 URL 링크를클릭할경우, 해당사이트로부터다수의공격코드가다운로드되며, 악성코드에감염되게된다. 감염시, 감염 PC내에저장되어있는메일주소들을대상으로악성스팸메일이발송된다. 1 사용자가수신된메일내의악성링크로접속시도 2 공격코드및악성파일이다운로드 3 사용자PC 감염발생 4 웜은 PC내에저장되어있는메일주소들을검색하여악성스팸메일발송 5 P2P 통신 절차별상세악성사이트에접속하면, 악성파일이설치된다. 최초로 sys[ 랜덤 ].exe 파일이생성되는데, 이파일은 2차악성파일인 ecard.exe 를추가설치한다. ecard.exe는자신의복제파일을 spooldr.exe 파일명으로윈도우폴더에생성하며, 악성스팸메일을발송하고, 타시스템과 P2P 통신을시도한다.
i) 스팸메일에포함된악성링크로접속시도할경우, 악성파일이다운로드되어 sys [ 랜덤 ].exe 형태로저장및실행됨. http://[ 악성사이트주소 ]\file.php 로부터파일을다운로드받아 sys[ 랜덤4문자 ].exe 파일명으로 "c:\" 폴더에저장한후실행 < 악성파일을다운로드및저장, 실행하기위한자바스크립트공격코드 > < 파일설치예 > ii) sys[ 랜덤 ].exe 파일은 fncarp.com 사이트로부터 ecard.exe 파일을다운로드하여바탕화면에저장및실행.. 다운로드경로 : "fncarp.com/ecard.exe" 사용자가직접 click" 링크를클릭하는경우는악성파일인 msdataaccess.exe 가다운로드됨. 해당파일은 ecard.exe와동일기능을수행함 iii) ecard.exe는자신의복제본을윈도우폴더에 spooldr.exe 파일명으로생성. 또한시스템폴더에 spooldr.sys 파일을생성하고바탕화면에 spooldr.ini 파일을생성
하며드라이버폴더의 tcpip.sys 파일을변조한다. o 감염후증상 - 감염PC에저장된파일로부터메일주소를추출하여대상주소로스팸메일을발송한다. 감염PC내에저장되어있는파일중메일주소추출을위하여아래의확장명파일을검색한다. 아래의문자열이포함되어있는주소로는메일을발송하지않는다.
- 실행에러창출력사용자 PC가감염되면아래와같은실행에러창이출력된다. - 방화벽우회아래스크립트를실행하여악성코드가방화벽을우회할수있도록등록한다 netsh firewall set allowedprogram c:\\windows\spooldr.exe enable - 보안프로그램등실행방해아래와같은프로그램의기능수행을방해한다.
- 타감염 PC와의 P2P 통신감염 PC는랜덤한포트를 Open하여, P2P프로토콜을통하여다른감염 PC들과통신한다. 공격자가 P2P를통하여명령을전달하여웜을업데이트하거나다른악성코드를추가로설치하는악성행위가예상된다. peer 정보는바탕화면에 spooldr.ini 파일내에저장됨. <spooldr.ini 파일내의저장데이터예 >
- 기타자기은폐기능이있으며, 다수의변종존재. 3. 예방방법 o 인터넷카드가수신되었다며확인을위하여특정사이트에접속이필요하다는유형의의심스러운스팸성메일을수신할경우, 관련링크를클릭하지않도록주의한다. o 윈도우OS에대한최신보안업데이트를실시하며, Winzip 및 Quicktime 어플리케이션사용자의경우해당제품에대해서도최신업데이트를실시한다. o 백신을최신으로업데이트및실시간감시기능을활성화한다. o DNS 관리자는 fncarp.com 사이트에대하여 lookback 설정을하므로써, DNS 사용자들이추가적으로감염되지않도록예방한다.