NOTICE
[hwp] 비트코인을 겨냥한 한글 취약점 파일 분석_두 번째
“[hwp] 비트코인을 겨냥한 한글 취약점 파일 분석_두 번째” 시간입니다. 이번에는 취약점이 어디서 어떻게 발생하는지 살펴보겠습니다. 앞서 “[hwp] 비트코인을 겨냥한 한글 취약점 파일 분석_첫 번째” 시간에 취약점 코드는 gswin32c.exe의 gsdll32.dll 모듈을 오동작하게 만든다고 했던 것을 기억하실 겁니다. [그림 01] 취약점 발생 모듈 gswin32c.exe는 Ghostscript Interpreter Application입니다. GhostScript나 PostScript 코드를 읽어서 운영체제가 알아들을 수 있게 해석 및 전달해주는 프로세스라고 생각하시면 됩니다. 그리고 gsdll32.dll은 gswin32c.exe의 조수로써 스크립트 코드를 읽고 실행시키는데 핵심 역할을 합니다..
[hwp] 비트코인을 겨냥한 한글 취약점 파일 분석_첫 번째
최근 비트코인과 관련해서 취약점을 이용한 악성 한글 문서 파일이 다수 발견되고 있습니다. 저도 어떤 파일인지 궁금해서 지난 주말에 분석을 해봤습니다. 그 내용을 정리해서 올려볼까 합니다. “[hwp] 비트코인을 겨냥한 한글 취약점 파일 분석_첫 번째” 입니다. 분석에 사용한 샘플에 대한 정보는 malwares.com에서도 확인하실 수 있습니다.- PostScript를 이용한 한글 악성코드: http://story.malwares.com/108 한글 파일을 분석하기 위해서는 간략하게나마 HWP 파일 Format을 알아야 하기에 언급하고 넘어가겠습니다. 먼저 Object가 무엇인지 알아야 합니다. Object는 쉽게 얘기해서 하나의 데이터 집합체입니다. 우리가 문서를 작성하다가 사진을 넣고 싶으면 사진 파일..
[2017.07.03] LuminosityLink RAT 정보
올해 들어 LuminosityLink 악성코드가 다수 확인되고 있습니다. LuminosityLink는 시스템 관리 유틸리티로 분류되지만 RAT 악성코드와 동일한 기능을 가지고 있습니다. 그렇기 때문에 악의적으로 사용할 경우 매우 치명적입니다. 또한 40 달러의 비용만 지출하면 누구든 자유롭게 사용할 수 있습니다.LuminosityLink 공식 페이지: https://luminosity.link/ Luminosity RAT 악성코드가 실행되었을 때, 생성되는 메시지 박스입니다. Install 버튼을 누를 경우 악성코드에 감염 됩니다. 나도 모르는 사이에 다음과 같은 메시지 박스가 떴다면 Don't Install 버튼을 누르고 백신 검사를 진행하시기 바랍니다. 다음은 LuminosityLink RAT 관련 ..
[개념이해] Fileless 악성코드
1. 기본적인 이해 운영체제에서 특정 행위를 발생시키기 위해서는 코드와 데이터가 필요합니다.코드 → 특정 행위를 일으키는 주체데이터 → 코드가 실행될 때 필요한 부가적인 정보 코드와 데이터를 묶어서 큰 의미의 데이터 봤을 때, 운영체제에서 데이터는 두가지 형태로 존재할 수 있습니다.하드 디스크에 파일 상태로 존재 or 메모리에 상주 하드 디스크는 데이터 보관소입니다. 다양한 데이터가 파일이라는 이름의 통 안에 담겨 하드디스크에 보관되어 있습니다. 메모리는 데이터가 활동할 수 있는 놀이터입니다. 파일 상태의 데이터가 메모리에 올라가면 운영체제에서 특정 행위가 발생합니다. 일반적으로 파일(프로그램)을 실행할 때, 해당 파일을 더블 클릭하죠? 더블 클릭으로 인해 파일 데이터가 메모리로 올라가고 메모리에 올라간..
[2017.06.12] Satan 랜섬웨어 정보_ver 17.06.12
1. 소 개 최근 Wannacry, Erebus 등 랜섬웨어 관련 사고가 빈번히 발생하는 가운데 서비스형 랜섬웨어(Ransomware of a Service)로 알려진 Satan 랜섬웨어의 한국어 버전이 확인되었습니다. 서비스형 랜섬웨어란 랜섬웨어를 판매, 관리, 배포해주는 서비스입니다. Black Market을 통해 계정을 등록하면 직접 랜섬웨어를 제작하지 않더라도 고유한 버전을 얻을 수 있습니다.Satan 랜섬웨어 관련 기사: http://www.ajunews.com/view/20170124231523538 2. Satan 랜섬웨어 정보 Satan 랜섬웨어는 정상 explorer.exe에 악의적인 코드를 삽입합니다. 그 결과 악성 explorer.exe는 감염 PC의 데이터를 암호화합니다. 암호화 파..