C&C 동작의 악성코드 분석 보고서 

 

 

1. 개요

PC나 시스템을 자유자제로 조작하고 감시하는 것은 해킹의 궁극적인 목적이다. 만약 사용자가 자신이 해킹 공격을 당하고 있다는 사실을 인지하지 못한다면 공격의 기간도 길어질 것이고, 피해의 심각성은 커질것이다.


윈도우 필수 프로세스에 인젝션되어 동작하는 악성코드들은 겉으론 보이지 않기 때문에 일반사용자가 쉽게 찾아내기 힘들다또한 C&C 악성동작을 겸비하고 있는 악성코드에 감염된 PC라면 추후 공격에 사용될 가능성이 크다.


악성코드 Trojan.GenericKD.3003712 (factuur2390.exe) 를 분석하며 PC에서 동작하고 있을지 모르는 C&C 악성코드의 위험성에 대해 설명하고자 한다.




                                                  

2. 분석 정보

2-1. 파일 정보

구분

내용

파일명

factuur2390.exe

파일크기

369,664 Byte

진단명

Trojan-Spy/W32.ZBot.369664.AS

악성동작

C&C 동작 및 DDoS공격

네트워크

192.**.***.41

 


2-2. 유포 경로

factuur2390.exe 악성코드는 g****u**.co.kr/bbs/factuur2390.exe 주소를 통해 유포되고 있었다웹 페이지의 bbs 폴더는 일반적으로 자료를 보관하는데 이용되며특히 웹 페이지 제작 및 관리를 위한 CMS(Contents Management System)를 사용하여 만든 사이트에 기본적으로 사용되고 있다.


factuur2390.exe 악성코드의 경우 해당 악성코드의 변종이 다른 여러 웹 사이트에서 동시에 발견 되는 특징이 있었다.  변종 악성파일들은 Schadeformulier_A26000121747.doc.exe”, “JPEG - img545789-545798_schade_fotos_auto_januari_2016-jpeg.exe” 등의 이름으로 유포되고 있었으며 factuur2390.exe와 동일하게 동작 한다또한 유사한 악성파일들이 가짜 파일명과 아이콘으로 위장하여 사용자의 클릭을 유도한다.




[그림여러사이트에서 유포되고 있는 변종 악성코드

 



[그림다른 종류 파일의 아이콘과 확장자 명으로 위장한 악성코드




2-3. 실행 과정

악성파일은 실행 시 가장 먼저 사용자의 Outlook 메일정보를 백업한다백업 파일은 현재 Outlook과 연동 된 계정의 모든 메일 정보를 저장한다.

다음으로 악성코드는 exeplorer.exe 프로세스에 인젝션되어 원격지 악성서버 s****23****er.**/c_**4/file.php 와 통신한다이 후 C&C 명령에 따라 추가적인 악성동작이 가능하나현재 명령을 받아 동작하지는 않는다다만아직 원격지와의 연결이 가능하기 때문에 세심한 주의가 필요하다.



[그림] explorer.exe를 통해 악성 주소지와 통신 대기



 

3. 악성 동작

3-1. MS Outlook 메일 백업

사용자의 Outlook 계정을 백업하는 동작은 Outlook의 내보내기기능과 동일한 동작이며사용 중이던 메일 계정에 관련된 모든 정보가 백업 된다이후 악성동작에서 백업한 파일을 공격자에게 전송 할 것으로 의심되기 때문에 평소 Outlook 프로그램을 즐겨쓰는 사용자의 개인정보 유출이 우려된다.




[그림악성코드 실행 시 생성된 메일 백업 파일

 



[그림]백업 된 메일 조회.


 

3-2. 사용자 PC 정보 수집

악성코드는 감염 PC정보를 수집한다수집하는 정보에는 PC이름, CPU 종류프로세서 코어 수사용 중인 메모리 등의 상세한 정보를 조회한다해당 정보는 암호화 되어 전송 된다.



[그림감염된 PC의 정보를 조회하는 코드

 

 

3-3. 자가복제 및 시작프로그램 등록

factuur2390.exe 는 Application Data 폴더 하위의 임의의 이름을 가진 폴더를 생성하고임의의 파일명으로 자신을 복제한다또한복제한 파일을 자동 실행 되도록 등록한다이때파일의 끝에 약 300바이트 정도가 다르게 생성된다.

다음으로 시작프로그램 폴더 안에 system.pif 로 자기자신을 복제한다. pif 파일은 Program Information File의 약자로써 도스용 프로그램의 실행에 필요한 정보를 기록한 파일이지만윈도우 환경에서도 실행이 가능한 파일이다.

 

 

3-4. C&C 동작

C&C 동작에는 일반적인 C&C방식의 악성코드와 마찬가지로 많은 기능들이 있다추가적인 악성파일을 다운로드 하는 것은 물론이고 클립보드의 내용을 수집하거나 명령을 받아 다양한 DDoS 공격도 가능하다현재는 특별한 명령을 받아 악성동작을 하고 있지는 않지만 감염된 PC라면 언제든지 C&C 동작이 수행 될 수 있다.

 



[
그림메모장에 적힌 내용을 복사했을 때클립보드의 내용을 읽는 부분

 



[
그림] DDoS 공격에 사용되는 각종 문자열




 

4. 결론

분석한 악성코드는 주요 프로세스에 인젝션되어 동작하기 때문에 일반 사용자가 감염사실을 쉽게 인지할 수가 없다또한실행중인 악성코드는 현재 대기 상태에 있지만 나중에라도 공격자의 명령을 받아 C&C 동작을 수행 할 수 있는 위험이 있다.

해당 악성코드는 발견될 당시 PDF 파일이나 그림 파일 등의 아이콘으로 위장하고 파일명도 그럴듯하게 속이고 있다따라서 인터넷 상에서 검증되지 않은 파일을 받을 때는 한번 더 주의하는 습관을 가지고 윈도우의 기본 옵션인 알려진 파일 형식의 파일 확장명 숨기기” 를 해제하여 다른 파일로 위장한 .exe파일을 실행하지 않도록 해야 한다.


마지막으로 최근에 의심스러운 파일을 받아 열어보았거나 실행시켰다면백신 프로그램을 사용하여 악성파일 검사를 수행 해보는 것이 안전하다.



[
그림윈도우 기본 옵션인 알려진 파일 형식의 파일 확장명 숨기기” 해제

 

해당 악성코드는 잉카인터넷 안티 바이러스 제품 nProtect Anti-Virus Spyware V3.0 nProtect Anti-Virus/Spyware V4.0에서 진단 및 치료가 가능하다.



[그림] nProtect Anti-Virus/Spyware V4.0 진단 및 치료 화면





[그림] nProtect Anti-Virus/Spyware V3.0 진단 및 치료 화면



저작자 표시 비영리 변경 금지
신고
Posted by nProtect
1. 일회용 비밀번호(One Time Password:OTP) 이벤트로 위장

잉카인터넷 대응팀은 국내 인터넷 뱅킹 서비스 이용자들을 겨냥한 악성파일(KRBanker) 변종이 새로운 형태로 활동하기 시작한 정황을 포착하였다. 이번에 발견된 수법은 악성파일(KRBanker)이 특정 웹 사이트에 접속하여 최신 금융 피싱사이트 정보를 가진 호스트파일(hosts)에 접근하고, 실시간으로 피싱 IP주소를 동적으로 연결하는 형태이다. 명령을 주고 받는 C&C(Command and Control) 서버를 집중 모니터링한 결과 시간차에 따라 공격자의 명령이 가변적으로 수행되며, 피싱 IP 주소가 변화되는 것을 직접 확인한 상태이다. 

기존에도 국내 웹 사이트를 불법 해킹해서 C&C 서버와의 통신을 이용한 호스트파일의 자체 업데이트 기법이 보고된 바 있었지만, 이번 악성파일은 기존과 다른 변종으로 분류된 상태이다. 더불어 웹 사이트에 등록된 스크립트 파일을 이용해서 감염된 사용자에게 일회용 비밀번호(OTP) 이용과 전자금융사기 예방서비스 안내 문구처럼 조작된 메시지를 보여주고 있으며, 접속시간에 따라 악성 스크립트를 추가하는 경우도 확인된 상태이다. 



이처럼 국내 인터넷 뱅킹 이용자를 노린 보안위협이 갈수록 심각해지고 있으므로, 조작된 피싱 사이트에 소중한 금융정보를 입력하여 예기치 못한 피해를 입지 않도록 각별한 주의가 요망된다.




2. KRBanker 악성파일 정보

지금까지 보고되는 국내 전자금융사기용 악성파일(KRBanker)들은 대부분 해킹된 웹 사이트에 보안이 취약한 상태로 접근하는 것만으로 감염된다. 따라서 이용자는 자신이 언제 어디서 악성파일에 노출되었는지도 인지하기 어려운 상태이다. 또한, 정상적인 응용프로그램을 변조하거나 일종의 파일공유 서비스인 웹하드, 토렌트 등의 P2P 등을 통해서도 다수 유포된 이력이 있다. 가장 많이 남용되는 취약점으로 마이크로 소프트사의 윈도우 운영체제(OS) 및 응용프로그램(Internet Explorer/Office) Adobe Systems사의 응용프로그램(PDF Reader/Flash Player) Oracle사의 Java 취약점 등이 빈번히 악용되고 있다. 따라서 이용자들은 윈도우 운영체제와 더불어 각종 응용프로그램을 항시 최신 버전으로 업데이트하여 사용하는 보안습관을 가지는 것이 중요하다.

이번에 발견된 악성파일에 감염되면, 변종에 따라 윈도우 폴더에 "swsls.exe" 또는 "svwsls.exe" 등으로 생성되어 작동되며, "HotzT.ini" 파일도 함께 생성된다.


악성파일이 실행되면, 해외의 특정 도메인으로 연결을 시도하며, 해당 사이트에 등록되어 있는 "hosts.txt" 파일 값을 가져온다.

피싱 사이트는 공격자의 제어명령에 따라서 가변적으로 작동하며, 실제 해당 C&C 서버를 모니터링한 결과 시점에 따라 IP 주소가 추가되는 현상이 목격된 상태이다.

더불어 악성파일(KRBanker)은 "8.html" 주소로 접속하여 다음과 같은 가짜 메시지를 출력하여 사용자로 하여금 확인 즉시 인터넷 뱅킹 사이트에 접속하도록 유도하는 수법을 이용하고 있다. 또한, 아이프레임 코드를 이용해서 악의적인 스크립트가 실행되도록 만들기도 한다.


"8.html" 스크립트 코드에 의해서 악성파일은 다음과 같은 메시지를 사용자 컴퓨터 화면에 랜덤하게 보여주게 된다. 일부 띄어쓰기 등이 잘못된 것을 볼 수 있다.

피싱및 해킹(전화금융사기)인한 금융사기가 지속적으로 발생하고 있습니다. 12월17일부터 모든 은행권에서 전자금융사기 예방서비스를 시행하고있습니다.좀더 안전한 이용을 위해 고정된 보안카드보다는 매 32초마다 새로운 난수를 자동 생성하는 일회용비밀번호생성기(OTP) 이용해 주시기바랍니다.


상기와 같은 팝업 메시지를 컴퓨터 작업 중 발생시켜, 사용자로 하여금 피싱 사이트가 차단되기 이전에 즉시 인터넷 뱅킹에 접속하도록 유혹하는 것이며, 이를 통해서 금융 피싱 사이트로 연결시켜 사용자의 중요 금융정보를 신속하게 탈취하기 위한 목적으로 가짜 메시지 창을 보여주는 것이다.

만약 사용자가 정상적인 인터넷 뱅킹 웹 사이트에 접속을 시도하면, 다음과 같이 피싱 사이트로 접속이 이뤄지게 되며, 마치 실제 서비스 중인 전자금융사기 예방서비스(OTP) 무료 가입 이벤트 화면을 보여주고, 사용자의 금융정보 입력을 유도하게 된다.



각 금융 피싱 사이트의 팝업 메시지 부분을 클릭하게 되면 본격적으로 개인 금융정보 입력을 요구하는 화면을 보여주게 된다. 대표로 국민은행을 모방한 피싱사이트 화면은 다음과 같은 과정을 거치게 된다.


이름과 주민번호를 입력하게 되면, 사이버 범죄자들에게 해당 정보가 유출되고, 일회용 비밀번호 생성기 발급신청 내용처럼 조작된 화면을 보여주면서 추가적인 금융정보 입력을 유도하게 된다. 보안카드의 모든 비밀번호까지 입력이 완료되면 금융 보안 프로그램 설치가 필요하다는 메시지 등을 보여주면서 정상적인 금융 사이트로 바꿔주어 사용자로 하여금 피싱 사이트에 정보를 입력했다는 사실을 눈치채지 못하도록 조작한다.





3. 피싱 사이트 진위여부 판단 노하우


내가 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세이다. 여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다는 것이다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있게 된다.


2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것으로 보인다.

해당 악성 파일은 대부분의 국내 금융권 사이트를 피싱 대상으로 삼고 있으며, 감염 후 인터넷 뱅킹 사이트에 접속 시 대부분의 은행 사이트와 매우 유사하게 제작된 사이트를 사용자들에게 보여주기 때문에 일반 사용자들의 경우 감염 여부를 육안상으로 손쉽게 식별해 내기는 어려울 수 있다. 때문에 이러한 악성 파일로 부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.


 


저작자 표시
신고
Posted by nProtect
1. 개 요


잉카인터넷 대응팀은 도움말 파일(HLP)의 취약점을 이용하여 악성파일이 해외에서 전파 중인 것을 발견하였다. 보통 이메일을 통한 전파에 자주 사용되는 실행파일(EXE, SCR)이나 문서파일(HWP, DOC, PPT, XLS, PDF)의 취약점이 아닌 도움말 파일(HLP)의 취약점을 이용하는 보기 드문 형태이다. 특정한 표적 공격이나 지능적이고 고도화된 위협에 빈번히 이용되는 악성파일 전파수법이 바로 이메일 첨부파일을 통한 악성파일 유포라는 점을 잊어서는 안된다. 특히,  지능적 공격자들은 알려져 있지 않은 취약점(Zero-Day Exploit) 등을 이용하거나 심리적으로 무심코 열어보기 쉽도록 구성한 이메일을 발송한다는 점에서 이메일 첨부파일을 열어볼 때는 항상 의심하고 예의주시할 필요가 있다.
  

유명 웹 사이트를 불법적으로 침입하여 대표적으로 Microsoft OS/Application, Flash Player, JAVA 취약점 등을 이용하여 불특정 다수를 감염 대상으로 삼는 전방위 유포 방식과 더불어 특정 인물만을 타깃 목표로 한 후 은닉화하고 지능화시킨 악성파일 감염 유도기법의 추세가 "공격자와 감염대상자 간에 1:1 방식의 고도화된 심리전 양상을 띄고 있다"는 점을 명심해야 한다.

새해 연하장 내용으로 유혹하는 악성파일 유의
http://erteam.nprotect.com/232

김정일 여동생 김경희 사진으로 가장한 악성파일 발견
http://erteam.nprotect.com/230

한글(HWP) 취약점을 이용한 악성파일 지속 등장
http://erteam.nprotect.com/216


2. 도움말 파일(HLP) 취약점 악용 사례


해당 이메일은 2011년 12월 29일에 해외의 특정 사용자에게 이메일로 발송된 것으로 발견되었으며, 수신자로 하여금 첨부파일을 열어보도록 유도시키고 있다.


이메일에 첨부되어 있는 "Call for Application at fundation.rar" 압축파일을 다운로드하여, 압축을 해제하면 "Call for Applications at fundation.hlp" 라는 도움말 파일이 포함되어 있다.


첨부파일을 실행하면 Windows 도움말 화면이 보여지면서 알 수 없는 문자열과 중국의 재스민 혁명과 관련된 도메인(http://www.molihua.org) 등이 포함되어 있는 문구들이 보여진다.


도움말 파일의 코드에는 WScript.Shell 명령수행을 통하여 내부에 7번행 부터 포함되어 있는 Visual Basic Script 코드의 함수를 별도의 파일(A.VBS)로 생성시키고, 실행하도록 만들어져 있다. 따라서 위의 도움말 화면이 보여지는 순간 사용자 몰래 컴퓨터에는 악성 스크립트 코드가 감염된다.

생성된 A.VBS 악성파일이 실행되면 C:\ 경로에 실제 숙주 악성파일 역할을 수행하는 setup.exe 파일이 생성되고 실행되며, 다시 Application Data 폴더에 360 이라는 새로운 폴더를 생성한 후 "Live360.exe" 파일명의 최종 악성파일을 설치하는 동작을 진행하며, A.VBS 나 setup.exe 파일은 감염 흔적 및 추적 등을 방해하기 위해서 삭제 처리한다.

Live360.exe 파일은 Microsoft 사의 Word 문서파일처럼 아이콘을 위장하고 있으며, 실행되면 winlogon.exe 파일을 통해서 중국 상하이의 특정 호스트로 접속을 하고 Command and Control(C&C) 명령을 수행한다.

잉카인터넷 대응팀에서 분석하는 시점에 악성파일은 호스트에서 공격자의 특정 명령을 받아 PASS.exe 파일을 추가로 감염시켜 사용자의 컴퓨터에 캐쉬형태로 저장되어 있는 이메일 계정 등을 유출 시도하는 것을 목격하였다.

저장되는 암호는 C:\Windows\System 폴더에 xhyj.htm 파일에 기록되며, Resource, Type, Account, Password 등을 수집하여 외부로 유출을 시도하며, 공격자의 C&C 명령 수행에 따라서 다양한 악성파일에 노출될 위험이 있다.

3. 예방 조치 방법

위와 같은 악성파일로 부터 안전한 PC 사용을 위해서는 도움말 파일(HLP)이 첨부된 이메일을 수신할 경우 무심코 실행하지 않도록 하며, 그외 다양한 보안 취약점을 통해서 유사 악성파일을 전파시킬 수 있으므로 최신 보안 패치를 설치하는 것도 중요하다. 별도로 아래와 같은 기본적인 보안관리 수칙을 준수하여 이와 같은 악성파일 감염으로 부터 사전에 예방할 수 있도록 하자.

[보안 관리 수칙]

1. 윈도우 운영체제 및 응용 프로그램에 대한 최신 보안 패치를 적용하도록 한다.

2. 출처가 불분명한
이메일의 첨부파일이나, 특정 웹사이트 등에 업로드 되어진 파일에 대한 다운로드 및 열람은 자제하도록 한다.

3. 신뢰할 수 있는 보안 업체에서 제공하는
백신을 최신 엔진 및 패턴버전으로 업데이트 하며, 실시간 감시 기능을 항상 "ON" 상태로 유지하도록 한다.

4.
인스턴스 메신저 또는 SNS 등을 통해 접근이 가능한 링크 접속시 주의 하도록 한다.


※ 잉카인터넷(시큐리티 대응센터/대응팀) 에서는 위와 같은 악성파일에 대해 아래의 그림과 같은 진단/치료 기능을 모두 제공하고 있으며, 각종 보안 위협으로 부터 대비하기 위하여 상시 대응체계를 유지하고 있다.

저작자 표시
신고
Posted by nProtect