정짱의 작은 도서관

[Malware analysis] 탈북민 인터뷰 내용으로 위장한 APT 공격 참조 - 김수키(Kimsuky) APT 그룹, 과거 라자루스(Lazarus) doc 공격 방식 활용 > https://blog.alyac.co.kr/3052?category=957259 (그림 1) VBA 매크로를 이용한 악성 MS 워드 문서파일이다.(그림 1) 악성 워드 문서가 실행되면 (그림 2)와 같이 나오면 VBA 내부에 포함되는 악성 매크로를 사용하게 유도하는 콘텐츠 사용 보안 경고를 확인할 수 있다. (그림 2) VBA 매크로 확인 시 Project 암호가 걸려있는 걸 확인할 수 있다. DPB > DPx 변경하는 방법도 있다고 하지만 잘안되서 기존 방법을 사용했다.(그림 3) vbaProject.bin 확인을 통해 여..

[Malware analysis] 스팸 캠페인에서 새로운 Avaddon Ransomware 참조 > https://www.pcrisk.com/removal-guides/18039-avaddon-ransomware 일반적으로 스팸 캠페인을 악의적인 첨부 파일이나 악의적 인 파일을 다운로드하도록 설계된 웹 사이트 링크가 포함 된 메일을 통해 Avaddon 랜섬웨어 관련 .js 파일을 첨부해 배포하고 있다.첨부파일 확인 시 "IMG141146.jpg.js" JPG 사진으로 가장한 .js 파일을 확인할 수 있다.(그림 1) 해당 파일 실행시 UAC 알림 메시지를 확인할 수 있다. (그림 2) .js 파일 실행시 PowerShell을 통한 sava.exe 라는 파일을 다운로드 하는 것을 확인할 수 있으며, %te..

[Malware analysis] KINU 전문가 자문 요청사항(한미동맹과 한중관계).hwp(CVE-2017-8291) 참조 - [보고서] 한글 파일에 숨어든 '고스트' > https://asec.ahnlab.com/1239 - EPS 파일을 이용한 악성 한글 HWP 문서> 링크 취약점 발생 원인CVE-2017-8291 취약점은 고스트스크립트 인터프리터가 .eqproc 함수에서 매개변수 타입 유효성을 검증하지 않아 피연산자 스택의 메모리 변조를 허용해 발생한다. 즉, 포스트스크립트를 이용하여 스택을 변조하여 공격 코드를 실행할 수 있다. 취약점은 gsdll32.dll에서 발생한다고 한다. CVE-2017-8291Cve-2017-8291 취약점은 그래픽 파일을 제공하기 위해 만들어진 EPS 파일을 이용한 ..

[Malware analysis] 이메일 본문에 단축 URL(URL Shortening) 또는 하이퍼 링크 통한 피싱 메일 웹사이트를 사칭하여 메일 본문에 하이퍼링크를 통해 피싱 사이트로 접속을 유도한다.해당 링크로 피싱 사이트 접속 시 (그림 1)와 같이 로그인 페이지가 나오게 된다.계정정보는 미리 입력되어 있으며 패스워드를 입력하도록 유도하는 걸 확인 할 수 있다.패스워드 입력 후 국내 정상 사이트로 리다이렉트가 되어 정상적인 접근으로 착각할 수 있다.(그림 1) 패스워드 입력 시 POST 메소드를 통하여 C&C 주소로 전송되는 걸 확인 할 수 있다. 이메일 페이지를 사칭한 피싱사이트를 통해 사용자 계정 정보 탈취를 확인 할 수 있다.(그림 2)네이버 로그인 페이지를 사칭한 피싱사이트를 통해 사용자 ..

[Malware analysis] 이력서 사칭 악성코드 분석 참조 - [주의] 이력서와 공정거래위원회를 사칭한 악성코드 유포 > https://asec.ahnlab.com/1316?category=342979 이력서(지원서) 사칭 악성코드5월 20일 첨부파일 형태로 탐지되었다. .zip 파일 내부에 이력서를 확인 할 수 있다. 압축해제 후 (그림 1)와 같이 이력서 사칭 악성코드를 확인 할 수 있다. (그림 1) 지원서 사칭 악성코드 [NW통신을 통한 .dll 파일 다운로드]네트워크 통신으로 해당 도메인으로부터 dll 파일 다운로드 하는 것을 확인 할 수 있다.- hxxp://barddistocor.com/freeb13.dll- hxxp://barddistocor.com/mozglue.dll- hxxp:..

[Reversing] ZwQuerySystemInformation(), ZwDuplicateObject(), ZwQueryObject() 분석 중 해당 API에 대해 정리가 필요해 작성한다.NtQuerySystemInformation() API을 보게되면 첫번째 멤버는 System_Information_class로 인자값에 대한 시스템 정보를 보여준다. (그림 1)의 해당 API의 스택에 쌓인 인자를 보게되면 “10”을 가지고 있으며, SystemHandleInformation로 시스템 핸들의 정보를 원하는 것을 확인 할 수 있다. [https://www.geoffchappell.com/studies/windows/km/ntoskrnl/api/ex/sysinfo/query.htm]이후 진행 시 ZwDup..

[Reversing] ROP(Return Oriented Programming)참고> https://github.com/BreakingMalwareResearch/atom-bombing Atombombing 기법을 보다가 정리가 필요하여 일부 정리를 한다. (이해가 되지 않아 잠시 멈춤..)ROP는 Retrun Oriented Programming의 약자로 데이터 실행 방지(Data Execution Prevention, DEP)을 우회하기 위하여 이용된다. 또한, 취약한 프로그램 내부에 있는 기계어 코드들의 섹션(Gadget)을 이용하여 버퍼오버플로우 공격시 특정 명령을 실행시키는 방법이기도하다.ROP의 방법에 대해서는 1.Virtual Protect() 2.할당 등 여러가지 방법이 있으며 해당 POC..

[Reversing] 메모리 생성 방식에 따라 버퍼 기본값 변화 참조> https://www.codeguru.com/cpp/w-p/win32/tutorials/article.php/c9535/Inside-CRT-Debug-Heap-Management.htm CVE-2017-8291 취약점에서의 Postscript aload 연산자를 살펴보던 중 0x020EADBA or 0x0DF0ADBA 같은 값이 있어 찾아본다.메모리 생성 방식에 따라 버퍼의 기본 값이 정해진다.HeapAlloc() 호출 후 메모리를 보면 아래와 같다.ex) 주소 HeapAlloc () 이후 00320FD8 09 00 09 01 00320FDC E8 07 18 00 00320FE0 0D F0 AD BA 00320FE4 0D F0 AD ..