정짱의 작은 도서관

[Malware analysis] 암호 걸린 첨부 파일을 이용한 Emotet 참조> https://jeongzzang.com/162> https://www.virustotal.com/gui/file/c6837f0ac871c07b7e1330f74ba054bffcf4b9d45e482669cfa35f7447229353/detection> https://www.virustotal.com/gui/file/57f5134f5273a79ff5d44d820975ee70ddedf209d190f5d210e5efde5fca06a8/detection 10월 20일에 작성한 암호가 걸린 첨부 파일 내 이모텟이 유포되는 것을 확인할 수 있었다.오늘도 성격이 같은 유형의 악성코드를 간략히 정리한다. 아래 그림을 보게 되면 .zip ..

[Malware analysis] 암호 걸린 첨부 파일 내 워드문서를 통한 인포스틸러(Emotet) 악성코드 참조- 암호 걸린 첨부 파일로 유포 중인 Emotet 악성코드> https://asec.ahnlab.com/1395> https://jeongzzang.com/150> https://jeongzzang.com/148> https://jeongzzang.com/97 과거와 동일한 형태로 MS 워드 문서의 매크로를 통하여 인포스틸러인 이모텟이 유포되는 것을 확인할 수 있었다. 위 워드 파일의 매크로 부분을 살펴보면 아래와 같이 짜여진 것을 확인할 수 있는데 이후 확인할 것이다. 다음으론 워드 문서를 이용할 땐 매크로 활성화를 위하여 콘텐츠 사용 탭이 보여지는 것을 확인할 수 있다.즉 매크로 [콘텐츠 ..

[Malware analysis] 5개월만에 돌아온 Emotet Malware 참조 - 매크로를 이용한 워드 파일 Emotet Malware> https://jeongzzang.com/148- 과거 Emotet Malware 분석> https://jeongzzang.com/97 뉴스 내용과 같이 과거 Emotet 악성코드와 최근 유포되는 Emotet 악성코드와 인자 값이 필요하지 않는지 확인 차 분석을 진행하였다.(그림 1)와 같이 5개월만에 돌아온 유포중인 Emotet 샘플 파일 확보 후 분석을 진행하였다. (그림 1) 구조 확인 시 (그림 2)와 같은 문자열을 확인할 수 있다.(그림 2) (그림 3)와 같은 방식을 이용하여 dll을 로딩하는 것을 확인할 수 있다. (그림 3) (그림 4)를 보게되면 ..

[Malware analysis] 매크로를 이용한 워드 파일 Emotet Malware 참조 - 5개월만에 돌아온 Emotet 악성코드!! 국내 유포 중> https://asec.ahnlab.com/1358 참조 블로그를 보게되면 5개월만에 돌아온 Emotet 악성코드가 유포중이라는 것을 확인할 수 있다.과거 작성글 https://jeongzzang.com/97 에서 Emotet 악성코드를 분석해보았는데 과거 Emotet은 '--xxxxxxxx' 인자를 통해 악성행위 부분을 분석 가능했던 경험이 있다. 하지만 현재 유포되는 Emotet은 인자 값 없이 실행 가능하다고 알려져있다.유포되는 여러 유형이 있는데 본 블로그에는 .doc 문서 형태를 분석했다. (그림 1)을 살펴보면 해당 파일을 볼 수 있으며 콘..

[Malware analysis] Emotet Malware - 샘플 파일 다운로드> 파일첨부 악성코드 정보 Emotet 악성코드는 2014년 금융 데이터를 훔치는 트로이 목마로 처음 발견되었다. 시간이 지남에 따라 사용자 PC를 감염시키고, C&C 통신을 통해서 악성 행위를 시도한다. Emotet 악성코드는 주소 스팸메일을 통해 유포되며, 공격자는 메일 내용으로 청구서와 같이 사용자가 관심을 가질만한 소재를 사용한다. 이와 함께 위장된 워드 파일을 첨부하거나, 청구서를 다운로드 할 수 있는 URL를 포함하여 사용자의 다음 행동을 유도한다. 파일명 Emotet.exe(payload) 파일크기 468.1 KB MD5 1ABEEC317E6C10B9201EE1C713069715 SHA-256 8976948f9..