본문 바로가기

Analysis

(37)
37. Eland's clop 얼마 전, 우리나라의 이랜드(E land) 그룹이 POS기 등 이랜드 그룹 매장 내에서 사용하는 여러 시스템에 대해 랜섬웨어에 감염되고 더불어 정보까지 탈취 당했다는 기사가 나왔었다. 실제로, 여러 보안 업체들에서 해당 상황에 대해 분석한 결과로는 랜섬웨어에 감염된 것이 맞으며 해당 랜섬웨어는 예전부터 TA505 라는 해킹그룹으로부터 만들어지고 운영된 Clop 랜섬웨어인 것으로 확인되었다. 현재, 탈취한 정보라면서 이랜드 그룹과 협상에 결렬될 때마다 협박의 용도로 카드 정보를 다크웹 상에 올리고있다. 하지만 이 정보가 진짜로 이랜드 그룹 POS기 등에서 탈취한 정보인지는 불분명해보인다. 사실 clop ransomware는 꽤 이전부터(작년) 등장해서 기업을 타겟팅 해서 유포되고는 했었다. 아래 글은 분석..
36. Threat graph(North Korea) 약 1년전부터 수집되는 정보들을 기반으로 threat graph를 계속 만들고 있다. 중간중간 시간날 때 덧붙이는 형식이어서 엄청난 정보를 포함하고 있지는 않지만 graph를 이어가다보니 중간중간 상관관계가 계속해서 보인다. 아래 그래프가 현재 그래프 상태이다. 최대한 발생했던 유사도에 따라서 그룹별로 묶어두었는데, 중간중간 보면 그룹간 유사한 파일 혹은 C2 서버가 존재하는걸 볼 수 있다. 처음 만들면서 생각한 것은 Lazarus 그룹에 대해 만들어보자 였는데.. 어쩌다보니 NK 쪽 모든 파일을 수집하고 연결하고 있다. 트리형으로 나타내면 아래 그림과 같다. 트리형은 너무 복잡해서.. 전체 트리에서 중간만 확대한 그림이다. 앞으로도 발견되거나 수집되는 NK 관련 정보가 있으면 계속해서 추가 할 예정이다..
35. Maze ransomware 최근 LG의 데이터를 훔쳤다고 핫(?)해진 Maze 랜섬웨어를 분석해보았다. 사실 랜섬웨어가 랜섬웨어이기 때문에.. 크게 다른 점은 없어보인다. OS Windows 7 Name Maze ransomware md5 4e2554b448424859b508433e6c4a043718343febc7894a849f446dd197b47d1e Maze 랜섬웨어 샘플에서는 특별한 패킹이나 프로텍터는 존재하지 않았다. 약간 특이한점은 실제로 사용하는 함수를 애초에 불러와놓은 상태로 가져다 쓰는 것이 아니라 아래 그림처럼 JMP 코드를 통해서 사용할 함수를 그때그때 변수를 통해 실행한다는 점이었다. 더해서, 사용할 함수와 같은 것들을 점프해서 쓰는 코드 또한 그냥 박혀있는게 아니라 프로그램 내 특정 디코딩 루틴을 통해서 디코..
34. makop ransomware 요즘에 makop라고 이름붙여진 랜섬웨어가 유포중이다. ASEC 팀의 관련 글을 보고 분석해봐야지 생각이 들어 분석해봤다. - ASEC 팀의 분석 글 https://asec.ahnlab.com/1314 [주의] 이력서로 위장한 makop 랜섬웨어 (04.13) ASEC 분석팀은 4월 13일 이력서로 위장해 유포 중인 makop랜섬웨어를 발견하였다. 이메일의 압축 첨부파일 형태로 유포되며, 내부에는 한글 문서(.hwp) 아이콘의 실행파일(exe)이 존재한다. 금일 확인된 유포 파일.. asec.ahnlab.com 일단 분석 대상은 위 글에 나온 이력서_항상무었을하던지~ 샘플로 정해 시작했다. 예전부터 악성코드에서 많이 보이듯, 정적 분석을 피하기 위한 목적으로 실제 사용하는 함수들을 미리 로드해둔채로 프로..
33. Remcos 최근 Remcos 악성코드가 활발히 유포중인 것으로 보인다. 본 글에서는 Remcos 악성코드를 분석해본다. 기본적으로 Remcos 악성코드는 Stealer 형 악성코드이다. 분석 OS는 Windows 7 64 bit 였으며 분석 도구로는 IDA와 OllyDBG를 사용했으나.. 거의 OllyDBG로 진행했다. 악성코드 특성상 메모리로 직접 로드해서 사용하는 악성행위가 많았기 때문이다. Remcos 악성코드는 가장먼저 자신이 사용할 DLL을 모두 불러온다. 미리 DLL을 내장한채로 실행되지 않는다. 이후 실행되고 있는 컴퓨터의 CP, Code Page 정보를 가져온다. sfxcmd, sfxpar, sfxname 등의 이름으로 환경변수를 등록하기도 한다. 이후에는 현재 실행중인 컴퓨터의 LocalTime 정..
32. Lazarus Graph 이번 글에서는 이전부터 연결해왔던 북한 해킹그룹인 라자루스 그룹의 연관관계 그래프를 업로딩하고자 한다. 일단 전체 그래프는 위와 같다.(많은 샘플에 대한 그래프는 아니다.) 각 구역을 상하좌우로 4등분해서 한 구역당 하나의 공격 혹은 비슷한 샘플들의 위치이다. 언뜻 보기에도 다른 유형의 공격, 다른 유형의 샘플임에도 불구하고 C2 서버와 같은 것들이 서로 연관돼 있는 것을 볼 수 있다. 물론 여기서의 C2 서버는 VPN 등을 이용해 다른 나라로 거쳐간 C2 들이겠지만.. 각 구역을 상세히 살펴보면 먼저, 홉라이트 악성코드들과 작년 말쯤 유포되었던 한글 악성코드에 연관관계가 있는 것을 볼 수 있다. 둘의 공격은 엄연히 다른 샘플과 공격 유형이지만, 각각이 비슷한 샘플에서 겹치는 샘플이 나타나는 것을 볼 수..
31. Lazarus's Ratankba 3일전, 바이러스 토탈 Lazarus 야라 룰에 새로운 악성코드가 잡혔다. 악성코드는 2017년도 활발히 유포되었던 Ratankba 라는 악성코드이다. 대부분 POS(Point Of Sale System)에서 금전 탈취나 피해자 PC에서 암호화폐 채굴과 정보 탈취를 목적으로 유포되었던 것으로 보인다. 기본적인 악성코드 정보는 아래와 같다. 악성코드 명 Ratankba 수행 행위 암호화폐 채굴, 정보 탈취 악성코드의 메인 함수에는 총 3개의 악성행위 수행 함수들이 존재한다. 각각의 함수들이 수행하는 대략적인 행위는 아래와 같다. Copy_Winslui_sub_405560 본 파일을 %APPDATA%\Microsoft\Windows\시작 메뉴\프로그램\시작프로그램\Winslui.exe 로 복사 혹은 %USE..
30. Lazarus's Dtrack 라자루스 그룹은 Dtrack이라는 악성코드로 컴퓨터 내 정보 탈취를 목적으로 악성 행위를 수행한 적이 있다. 해당 악성코드는 ATM 등에서도 활발히 사용되어 카드 정보 등을 탈취하려는 시도도 존재했었다. 본 글에서는 해당 Dtrack 악성코드를 분석한다. 먼저 분석한 악성코드의 정보는 아래와 같다. 비주얼C/C++을 이용해 컴파일 되어있다. 악성코드는 크게 세가지 행위를 수행한다. 악성코드 내에서 행위를 수행할 때 사용할 함수를 불러오는 것을 첫번째로 수행한다. 이후로 악성코드가 실행된 피해자 PC 내의 정보들을 탈취하고 최종적으로 공격자의 C2(Command and Control) 서버에 연결해 탈취한 정보들을 전송하는 형식이다. 제일 먼저 악성행위에서 사용할 함수들을 불러오는 함수에는 아래와 같은 코..