| |
o 해킹에 의해 변조된 웹페이지를 방문시 http://hangamegogo.17mo.net으로부터 악성코드를 다운로드
o 다운로드 되는 악성코드는 MS취약점을 이용하여 백도어 및 계정유출 프로그램을 자동설치하고 실행함
o 감염에 이용되는 파일에 대한 정보는 다음과 같음
|
악성코드 종류 |
주요 특징 |
|
HangHack Troijan |
o 감염되면 syshlp.dll 파일이 생성되고, iexplore.exe에 인젝션되어
실행
o 온라인게임 계정 및 패스워드를 유출 (smtp.tom.com:25 연결 후 메일전송)
|
|
GrayBird.bk Backdoor |
o 리버스커넥션하는 백도어 프로그램
o 감염되면 svchost.exe와 램덤한파일명.dat(ex. yiykbs.dat) 두개의 파일이 생성되고, 랜덤한파일명.dat는 다른 프로세스에 인젝션되어 실행됨
o vip.huigezi.com(61.152.93.13)로부터 특정파일 다운로드하고, 222.181.170.35:21 또는 222.181.169.159:21로 리버스커넥션 요청함
o 은폐형으로 동작하여 프로세스 목록이나 파일보기에서 확인 불가능 (c:\windows\dhcp 폴더 내에 백도어 파일이 존재하지만, 보이지는 않음)
o GrayBird Client를 이용하여 시스템 정보 및 파일유출 가능함 |
|
phel.q Exploit |
o MS04-013, MS05-001 취약점을 이용하는 Exploit 코드
o Psyme Trojan Downloader 파일을 다운로드 후 실행시킴 |
|
phel.c Exploit |
o MS05-001 취약점 Exploit 코드
o HangHack Troijan 파일 다운로드 후 자동설치 |
|
Psyme Trojan Downloader |
o MS05-001 취약점 Exploit 코드
o GrayBird.bk Backdoor를 시스템에 자동설치하기 위한 도움말 파일 |
* 변조된 웹페이지를 방문하여 악성코드가 삽입된 페이지를 열람하여도, 최신보안패치(MS04-013, MS05-001)가 된 경우에는 감염되지 않음. 일부 백신에서는 악성코드가 삽입된 페이지 (HTML 파일) 자체도 탐지하므로, 변조된 웹페이지를 방문시에 바이러스탐지 알람이 나타나기도 하지만 실제로 감염되는 것은 아님.
즉, 감염확인은 HangHack Trojan의 경우 c:\windows\system32\syshlp.dll파일, GrayBird.bk의 경우는 c:\windows\dhcp 폴더가 존재여부로 판단 |
댓글 6개
도움이 되었으면 해서 올려봅니다....