'패치'에 해당되는 글 75건
- 마이크로소프트 2011년 9월 보안 패치 배포 (12) | 2011/09/14
- 마이크로소프트 2011년 8월 보안 패치 배포 (2) | 2011/08/10
- 보안 취약점을 이용한 악성코드 조치방법 (2) | 2011/07/15
- 마이크로소프트 2011년 7월 보안 패치 배포 (2) | 2011/07/13
- 2011년 상반기 10대 보안 위협 트렌드 (3) | 2011/07/12
- 취약한 한글 파일을 악용한 악성코드 유포 (2) | 2011/07/11
- ws2help.dll을 교체하는 온라인 게임 악성코드 분석 (11) | 2011/07/08
- 지속적인 어도비 CVE-2011-2110 취약점 악용 (1) | 2011/07/04
- CVE-2011-1255 취약점 악용 악성코드 유포 (2) | 2011/06/27
- 어도비 플래쉬 플레이어 CVE-2011-2110 취약점 분석 (3) | 2011/06/22
마이크로소프트 2011년 9월 보안 패치 배포 :: 2011/09/14 10:28
마이크로소프트(Microsoft)에서 2011년 8월 한달 동안 해당 업체에서 개발한 소프트웨어에서 발견된 보안 취약점들을 제거하기 위해 보안 패치를 2011년 9월 14일 배포하였다.
이번에 마이크로소프트에서 배포된 보안 패치들은 총 5건으로 다음과 같다.
Microsoft Security Bulletin MS11-070 - 중요
Microsoft Security Bulletin MS11-071 - 중요
Microsoft Security Bulletin MS11-072 - 중요
Microsoft Security Bulletin MS11-073 - 중요
다양한 악성코드들이 마이크로소프트의 윈도우 보안 취약점을 악용함으로 미리 보안 패치 설치를 통해 악성코드의 감염을 예방 하는 것이 좋다.
마이크로소프트의 보안 패치 설치는 인터넷 익스플로러(Internet Explorer) 사용자들의 경우 아래 웹 사이트를 통해 진행 할 수 있다.
Trackback Address :: http://blog.ahnlab.com/asec/trackback/591
-
Microsoft 보안업데이트(2011년09월14일)
[MS11-070] WINS에서 발생하는 취약점으로 인한 권한상승 문제 □ 영향 o 공격자가 영향 받는 시스템에 대해 권한상승 □ 설명 o 특수하게 조작된 WINS복제 패킷을 전송할 경우 권한이 상승될 수 있는
-
마이크로소프트(Microsoft) 2011년 9월 보안 업데이트
Tracked from 울지않는벌새 : Security, Movie & Society | 2011/09/14 15:02 | DEL마이크로소프트(Microsoft)사에서 매월 제공하는 2011년 9월 정기 보안 업데이트가 공개되었습니다. <Microsoft> 2011 년 9 월 Microsoft 보안 공지 요약 (2011.9.14) 이번 업데이트에서는 Microsoft Windows, Microsoft
-
defiance gold
Tracked from defiance gold | 2013/04/09 01:14 | DELI think this is among the most significant information for me. And i'm glad reading your article. But want to remark on some general things, The site style is perfect, the articles is really great : D. Good job, cheers
-
card recovery
Tracked from card recovery | 2013/05/10 01:52 | DELMicroSD card recovery Pro is file data recovery software designed to recover lost files including video, documents, pictures, audios, and videos from memory cards, CD-ROMs, and lost pictures from digital camera memory.
마이크로소프트 2011년 8월 보안 패치 배포 :: 2011/08/10 10:23
마이크로소프트(Microsoft)에서 2011년 7월 한달 동안 해당 업체에서 개발한 소프트웨어에서 발견된 보안 취약점들을 제거하기 위해 보안 패치를 2011년 8월 10일 배포하였다.
이번에 마이크로소프트에서 배포된 보안 패치들은 총 13건으로 다음과 같다.
Microsoft 보안 공지 MS11-057 - 긴급
Internet Explorer 누적 보안 업데이트 (2559049)
Microsoft 보안 공지 MS11-058 - 긴급
DNS 서버의 취약점으로 인한 원격 코드 실행 문제 (2562485)
Microsoft 보안 공지 MS11-059 - 중요
Data Access Components의 취약점으로 인한 원격 코드 실행 문제 (2560656)
Microsoft 보안 공지 MS11-060 - 중요
Microsoft Visio의 취약점으로 인한 원격 코드 실행 문제 (2560978)
Microsoft 보안 공지 MS11-061 - 중요
원격 데스크톱 웹 액세스의 취약점으로 인한 권한 상승 문제 (2546250)
Microsoft 보안 공지 MS11-062 - 중요
원격 액세스 서비스 NDISTAPI 드라이버의 취약점으로 인한 권한 상승 문제 (2566454)
Microsoft 보안 공지 MS11-063 - 중요
Windows CSRSS(Client/Server Runtime Subsystem)의 취약점으로 인한 권한 상승 문제 (2567680)
Microsoft 보안 공지 MS11-064 - 중요
TCP/IP 스택의 취약점으로 인한 서비스 거부 문제 (2563894)
Microsoft 보안 공지 MS11-065 - 중요
원격 데스크톱 프로토콜의 취약점으로 인한 서비스 거부 문제 (2570222)
Microsoft 보안 공지 MS11-066 - 중요
Microsoft 차트 컨트롤의 취약점으로 인한 정보 유출 문제 (2567943)
Microsoft 보안 공지 MS11-067 - 중요
Microsoft Report Viewer의 취약점으로 인한 정보 유출 문제 (2578230)
Microsoft 보안 공지 MS11-068 - 보통
Windows 커널의 취약점으로 인한 서비스 거부 문제 (2556532)
Microsoft 보안 공지 MS11-069 - 보통
.NET Framework의 취약점으로 인한 정보 유출 문제 (2567951)
다양한 악성코드들이 마이크로소프트의 윈도우 보안 취약점을 악용함으로 미리 보안 패치 설치를 통해 악성코드의 감염을 예방 하는 것이 좋다.
마이크로소프트의 보안 패치 설치는 인터넷 익스플로러(Internet Explorer) 사용자들의 경우 아래 웹 사이트를 통해 진행 할 수 있다.
.NET Framework,
2546250,
2559049,
2560656,
2560978,
2562485,
2563894,
2566454,
2567680,
2567943,
2567951,
2570222,
2578230,
Access,
Components,
CSRSS,
Data,
DNS,
Internet,
Microsoft,
MS11-057,
MS11-058,
MS11-059,
MS11-060,
MS11-061,
MS11-062,
MS11-063,
MS11-064,
MS11-065,
MS11-066,
MS11-067,
MS11-068,
MS11-069,
NDISTAPI,
TCP/IP,
Visio,
Windows,
거부,
권한,
데스크톱,
드라이버,
마이크로소프트,
문제,
보안,
상승,
서버,
서비스,
소프트웨어,
스택,
실행,
액세스,
업데이트,
원격,
웹,
유출,
익스플로러,
인터넷,
정보,
차트,
취약점,
컨트롤,
코드,
패치,
프로토콜
Trackback Address :: http://blog.ahnlab.com/asec/trackback/582
-
Microsoft 보안업데이트(2011년08월10일)
[MS11-057] Internet Explorer 누적 보안 업데이트 □ 영향 o 공격자가 영향 받는 시스템에 대해 완전한 권한 획득 □ 설명 o 특수하게 조작된 웹페이지를 열람할 경우 원격코드가 실행될 수 있는 취약점
-
마이크로소프트(Microsoft) 2011년 8월 보안 업데이트
Tracked from 울지않는벌새 : Security, Movie & Society | 2011/08/10 18:33 | DEL마이크로소프트(Microsoft)사에서 매월 제공하는 2011년 8월 정기 보안 업데이트가 공개되었습니다. <Microsoft> 2011년 8월 Microsoft 보안 공지 요약 이번 업데이트에서는 Microsoft Windows, Office, Internet Explor
-
appliance repair chicago references
Tracked from appliance repair chicago references | 2013/04/27 13:02 | DELASEC Threat Research -
-
best appliance repair tampa arround
Tracked from best appliance repair tampa arround | 2013/05/03 19:22 | DELASEC Threat Research -
-
marketing mix
Tracked from marketing mix | 2013/05/09 02:47 | DELASEC Threat Research -
보안 취약점을 이용한 악성코드 조치방법 :: 2011/07/15 09:53
/ASEC
안철수연구소입니다.
최근OS와 애플리케이션 취약점을 이용한 악성코드가 유행하고 있습니다.
특히 치료 후에도 다양한 변종에 의해 지속적으로 재감염되는 사례가 증가하고 있습니다.
이 악성코드에 감염되면 게임 계정 탈취 및 개인정보 유출 등의 피해를 입을 수 있습니다.
악성코드로부터의 피해를 예방하기 위해서는OS 및 애플리케이션의 보안 패치를 최신 상태로 유지해야 합니다. 또한 V3 제품의 실시간 감시 및 ASD(AhnLab Smart Defense) 기능을반드시 켜서 사용하시기를 권장합니다.
<주요 OS 및 애플리케이션 보안 패치 업데이트 안내>
* Adobe Flash Player 업데이트 : http://www.adobe.com/go/getflash
* Microsoft : http://update.microsoft.com (Windows정품인증 필요)
* Adobe Reader : http://www.adobe.com/go/getreader/
V3 Lite 및V3 365 클리닉 사용자 조치 안내
- 위의OS 및 애플리케이션 보안 패치 업데이트
- V3 제품군 최신 업데이트 후 수동 검사
- V3 제품군[환경설정]-[고급설정]-[Smart Defense사용하기] 옵션 선택
이미 악성코드에 감염이 되었거나, V3제품군이 정상적으로 실행되지 않는 사용자분들은 아래의 전용백신을 통해 검사하기를 권장합니다.
PC에서 작업 중인 프로그램 창을 모두 닫은 후 아래의 가이드에 따라 진행하시면 됩니다.
[전용백신 치료방법]
1) [V3 GameHackKill]다운로드 합니다.
2) 저장된 파일을 실행하여 [검사] > [전체 치료]합니다.
3) 컴퓨터 재부팅 후 V3가 실행되는지 확인합니다.
4) V3실행하여 [PC검사]-[정밀검사]를 진행하여 하드디스크 전체를 검사합니다.
Trackback Address :: http://blog.ahnlab.com/asec/trackback/570
-
tory burch outlets
Tracked from tory burch outlets | 2013/05/11 12:45 | DELASEC Threat Research -
마이크로소프트 2011년 7월 보안 패치 배포 :: 2011/07/13 09:39
마이크로소프트(Microsoft)에서 2011년 6월 한달 동안 해당 업체에서 개발한 소프트웨어에서 발견된 보안 취약점들을 제거하기 위해 보안 패치를 2011년 7월 13일 배포하였다.
이번에 마이크로소프트에서 배포된 보안 패치들은 총 4건으로 다음과 같다.
Microsoft 보안 공지 MS11-053 - 긴급
Microsoft 보안 공지 MS11-054 - 중요
Microsoft 보안 공지 MS11-055 - 중요
Microsoft 보안 공지 MS11-056 - 중요
다양한 악성코드들이 마이크로소프트의 윈도우 보안 취약점을 악용함으로 미리 보안 패치 설치를 통해 악성코드의 감염을 예방 하는 것이 좋다.
마이크로소프트의 보안 패치 설치는 인터넷 익스플로러(Internet Explorer) 사용자들의 경우 아래 웹 사이트를 통해 진행 할 수 있다.
Trackback Address :: http://blog.ahnlab.com/asec/trackback/568
-
마이크로소프트(Microsoft) 2011년 7월 보안 업데이트
Tracked from 울지않는벌새 : Security, Movie & Society | 2011/07/13 16:58 | DEL마이크로소프트(Microsoft)사에서 매월 제공하는 2011년 7월 정기 보안 업데이트가 공개되었습니다. <Microsoft> 2011년 7월 Microsoft 보안 공지 요약 이번 업데이트에서는 Microsoft Windows와 Office 제품군에?
-
Microsoft 보안업데이트(2011년07월13일)
[MS11-053] 블루투스 스텍에서 발생하는 취약점으로 인한 원격코드 실행 문제 □ 영향 o 공격자가 영향 받는 시스템에 대해 완전한 권한 획득 □ 설명 o 특수하게 조작된 블루투스 패킷을 전송할 ?
2011년 상반기 10대 보안 위협 트렌드 :: 2011/07/12 14:20
- 기업 대상 악의적 해킹, 온라인 뱅킹 직접 겨냥..대담한 범죄화 추세
- 모바일 악성코드 급증, 맥 OS 악성코드 본격화
- SNS 및 검색 엔진 이용한 지능적 유포 급증
글로벌 종합보안 기업인 안철수연구소[대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’]는 12일 ‘2011년 상반기 10대 보안 위협 트렌드’를 발표했다. 이에 따르면 올해 상반기 주요 이슈는 ▶기업 대상 악의적 해킹 시도 증가 ▶더욱 대담해진 온라인 뱅킹 해킹 ▶모바일 악성코드 기승 ▶SNS로 유포되는 악성코드 급증 ▶진짜 백신으로 위장한 가짜 백신 등장 ▶윈도우 시스템 파일을 패치하는 악성코드 증가 ▶악성코드 첨부 메일 증가 ▶웹 애플리케이션 취약점 악용한 악성코드 증가 ▶맥 OS 겨냥한 악성코드 본격화 ▶온라인 게임 해킹 툴 기법 지능화 등이다.
[1] 기업 대상 악의적 해킹 시도 증가
올해 상반기에는 기업 대상 해킹 시도가 증가했다. 글로벌 에너지 업체의 기밀 정보를 탈취하려는 나이트드래곤[Night Dragon] 위협, EMC/RSA에서 발생한 OTP[One Time Password] 관련 기밀 탈취 위협, 해킹 그룹 룰즈섹[LulzSec]이 소니[Sony]의 고객 정보를 대량 유출한 사고가 대표적이다. 국내에서도 대형 금융기관 대상의 악의적 해킹이 밝혀졌다. 이러한 해킹 시도는 그 피해의 여파가 과거에 비해 더 크며, 금전 탈취는 물론 자신들의 주장을 관철하려는 핵티비즘[Hacktivism] 성격으로까지 다양해지고 있는 것이 특징이다.
[2] 더욱 대담해진 온라인 뱅킹 해킹
온라인 뱅킹 중에 전송되는 금융 정보를 탈취하는 악성코드는 올해도 지속적으로 국내외에서 발견되고 있다. 국내에서는 온라인 뱅킹을 지원하는 국내 대부분의 은행 사이트를 대상으로 한 악성코드 뱅커[Banker]가 발견됐으며, 해외에서는 2010년에 심각한 금융 보안 사고를 유발한 악성코드 제우스[Zeus]의 변형을 제작할 수 있는 소스코드가 유출되기도 했다. 온라인 게임 아이템을 탈취한 후 이를 현금화하던 방식이 아닌, 단계를 거치지 않고 한 번에 금전을 탈취하는 대담한 범죄가 본격화한 것이다. 사용자는 더욱 세밀한 보안 설정과 관리를 해야 한다. 온라인 뱅킹 암호를 주기적으로 변경하고 공인인증서 관리에도 특별한 주의를 기울여야 한다.
[3] 모바일 악성코드 기승
올해 상반기 안드로이드[Android]용 악성코드가 크게 증가했다. 사용자 모르게 루트[Root] 권한을 획득하는 루팅[Rooting]을 수행하는 Zft, 사용자의 통화 목록과 문자 내역 그리고 웹사이트 방문 기록 등을 탈취하는 키드로거[KidLogger], 안드로이드 스마트폰을 원격에서 제어할 수 있는 드로이드쿵후[DroidKungFu]가 대표적이다. 이 밖에 탈옥[JailBreak]된 아이폰과 아이패드에 설치되어 키보드 입력값을 가로채는 상용 키로거[Keylogger]도 발견됐다. 모바일 악성코드는 감염 기법과 동작 방식이 점차 PC용 악성코드와 유사해져 향후 더 심각한 보안 위협이 될 것으로 예측된다.
[4] SNS로 유포되는 악성코드 급증
올해부터 본격적으로 SNS[소셜 네트워크 서비스]가 악성코드 유포 경로로 악용되기 시작했다. 많은 사람의 주목을 끌어야 하는 만큼 당연히 사회적 이슈를 이용한 사회공학기법[Social Engineering]이 사용됐다. 일본 대지진 관련 기사나, 빈 라덴 사망 관련 동영상으로 위장한 가짜 백신들이 유포됐다. SNS는 그 특성상 사회공학기법을 악용한 악성코드와 피싱[Phishing] 등에 쉽게 노출된다. 그러므로 SNS로 전달되는 이슈가 보안 위협일 수도 있다는 보안 인식이 필요하다.
[5] 진짜 백신으로 위장한 가짜 백신 등장
가짜 백신이 이제는 버젓이 진짜 백신으로 위장하는 사례까지 등장했다. 해외 백신인 AVG, 비트디펜더[BitDefender]와 동일한 UI[사용자 인터페이스]와 아이콘을 그대로 도용한 가짜 백신이 발견됐다. 이는 사용자로 하여금 허위 진단 결과를 신뢰하게 하여 금전 획득의 가능성을 높이려는 의도이다. 또한 더 많은 PC를 감염시키기 위해 유포 방식도 지능화했다. 검색 엔진에서 검색한 이미지 파일을 클릭하면 가짜 백신 유포 웹사이트로 연결되게 한 것이다. 이는 일종의 ‘블랙햇 검색엔진최적화’[BlackHat Search Engine Optimization] 기법인데, 검색 결과를 조작해 가짜 백신 유포 사이트로 연결하는 종전 방식에서 변형된 형태이다.
[6] 윈도우 시스템 파일을 패치하는 악성코드 증가
2011년 상반기에 유포된 악성코드 중 윈도우 운영체제에 존재하는 정상 시스템 파일을 악의적 목적으로 패치[Patch]하거나 변경하는 악성코드가 급증했다. 윈도우 시스템 파일[imm32.dll, ksuser.dll, midimap.dll, comres.dll 등]을 패치하여 다른 악성코드를 감염시키거나 특정 온라인 게임의 사용자 정보를 탈취하는 악성코드가 다수 발견됐다. 일부 악성코드는 윈도우 시스템 파일뿐 아니라 백신이 사용하는 파일을 삭제 또는 변조하거나 윈도우 서비스를 강제 종료하는 등 보안 제품의 작동을 방해하기도 한다. 이런 유형은 악성코드를 삭제할 경우 시스템 자체를 손상시키므로, 백신의 진단/치료를 어렵게 하려는 목적으로 제작되었다고 볼 수 있다.
[7] 악성코드 첨부 메일 증가
악성코드를 첨부한 메일의 유포가 올해 2분기를 기점으로 다시 증가했다. 페이스북에서 발송하는 메일로 위장한 사례, UPS나 페덱스[FedEx]와 같은 택배 운송 업체의 메일로 위장한 사례가 대표적이다. 인터넷 쇼핑몰 주문 확인, 신용카드 한도 초과 안내 메일로 위장한 사례도 발견됐다. 이런 악성코드 대부분이 해외에서 제작된 가짜 백신을 설치하려는 목적으로 유포됐으며, 사용자가 많은 온라인 서비스로 위장한 점이 특징이다.
[8] 웹 애플리케이션 취약점 악용한 악성코드 증가
올해 상반기 악성코드에 악용된 취약점 대부분이 웹 애플리케이션과 관련되어 있다. 이로 인해 단기간에 많은 PC가 악성코드에 감염됐다. 특히 2분기에는 보안 패치가 제공되기 전에 발견된 제로 데이[Zero Day] 취약점 모두가 어도비 플래쉬 플레이어에서 발견됐다. 취약점을 악용하는 악성코드는 주로 온라인 게임 사용자의 정보를 탈취하거나 윈도우 시스템 파일을 패치한다. 그러므로 MS뿐 아니라 어도비가 제공하는 보안 패치도 빠짐없이 설치해야 악성코드 감염을 예방할 수 있다.
[9] 맥 OS 겨냥한 악성코드 본격화
현재 대부분의 악성코드는 윈도우 운영체제에 감염된다. 그러나 아이폰과 아이패드 사용자가 늘어남에 따라 맥[Mac]용 악성코드도 동반해서 증가하는 추세이다. 맥 OS에 가짜 백신을 설치하는 맥디펜더[MacDefender] 종류가 대표적이다. 이 악성코드들은 트위터로 유포됐으며, 시스템 전체를 검사하는 것처럼 위장하고 허위 감염 결과를 보여준다. 사용자는 애플사가 제공하는 보안 패치를 설치하고 악성코드 감염을 주의할 필요가 있다.
[10] 온라인 게임 해킹 툴 기법 지능화
비정상적인 방법으로 메모리, 게임 파일, 서버 등에 접근하여 데이터 등을 변조함으로써 게임 플레이를 불공정하게 이끄는 온라인 게임 해킹 툴은 보안 솔루션을 회피하기 위해 새로운 방식이 많이 적용되는 추세이다. 메모리 조작은 코드 조작에서 데이터 메모리 조작으로, 오토플레이는 키보드/마우스 관련 함수를 이용하는 방식에서 게임의 특정 기능을 수행하는 함수를 직접 호출해 오토플레이를 구현하는 방식으로 변화했다. 한편, 온라인 게임 해킹 툴은 작년 상반기에 1068개가 발견된 데 비해 올해 상반기에는 총 4050개로 약 300% 늘어났다. 해킹 유형 별로는 메모리 조작이 2575개로 비중이 가장 높고 오토플레이는 1274개로 집계됐다.
안철수연구소 시큐리티대응센터 이호웅 센터장은 "악성코드나 해킹이 점차 심각한 범죄로 확대되는 추세이다. SNS, 검색, 온라인 뱅킹, 온라인 게임 등 편리한 인터넷 환경 어디든 보안 위협이 지뢰처럼 묻혀 있다. 따라서 자신의 정보와 재산을 스스로 지킨다는 보안 의식이 중요하다. 또한 기업은 CEO가 앞장서 신뢰할 수 있는 비즈니스 환경을 만드는 것이 필수이다.”라고 강조했다.
0-day,
Android,
AVG,
Banker,
BitDefender,
Blackhat,
comres.dll,
DroidKungFu,
EMC/RSA,
Engine,
Fedex,
Hacktivism,
jailbreak,
KidLogger,
ksuser.dll,
LulzSec,
Mac,
MacDefender,
midimap.dll,
Night Dragon,
Optimization,
OTP,
PATCH,
Search,
SNS,
Social Engineering,
Sony,
UPS,
Zero-Day,
Zeus,
Zft,
검색,
게임,
금융,
기관,
기밀,
기업,
김홍선,
나이트드래곤,
네트워크,
대지진,
대형,
데이터,
드로이드쿵후,
루트,
룰즈섹,
맥OS,
맥디펜더,
메모리,
메일,
모바일,
백신,
뱅커,
뱅킹,
범죄,
범죄화,
보안,
비트디펜더,
빈라덴,
사용자,
사회공학기법,
상반기,
서버,
서비스,
소니,
소셜,
소스코드,
솔루션,
쇼핑몰,
시슽메,
시큐리티대응센터,
신용카드,
아이패드,
아이폰,
악성코드,
안드로이드,
안랩,
안철수,
애플리케이션,
어도비,
엔진,
연구소,
오토플레이,
온라인,
웹,
위협,
윈도우,
일본,
정보,
제로데이,
제우스,
취약점,
키드로거,
키로거,
키보드,
탈옥,
탈취,
툴,
트렌드,
트위터,
파일,
패치,
페덱스,
플래쉬,
플레이,
플레이어,
피싱,
해킹,
핵티비즘
Trackback Address :: http://blog.ahnlab.com/asec/trackback/567
-
Instant Payday Loans
Tracked from Instant Payday Loans | 2013/05/10 16:35 | DELASEC Threat Research -
취약한 한글 파일을 악용한 악성코드 유포 :: 2011/07/11 16:59
몇 년전부터 악성코드 제작자들은 악의적인 목적으로 제작하는 악성코드들을 효과적으로 감염시키기 위해 전자 문서 파일들에 존재하는 알려지거나 또는 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점들을 악용하기 시작하였다.
악용되는 전자 문서들 중 어도비 아크로뱃 리더(Adobe Acrobat Reader)에 사용하는 PDF 파일이나 마이크로소프트 오피스 워드(Microsoft Office Word)와 같은 전자 문서 파일들이 존재하는 취약점들이 주된 대상이 되었다.
이러한 사례들 중 가장 최근에 알려진 2011년 4월 CVE-2011-0611 취약점을 악용한 PDF 파일 유포와 2011년 7월 MS10-087 취약점을 악용한 워드 파일 유포가 있다.
이와 같이 전자 문서 파일의 취약점을 악용한 악성코드 유포는 고도의 사회 공학 기법(Social Engineering)과 결합하여 APT(Advanced Persistent Threat) 형태의 보안 위협을 만들어 낼 수도 있다.
이와 같이 심각한 위협에 악용되는 전자 문서 취약점을 악용한 악성코드 유포는 국내에서 제작된 한글 프로그램도 그 예외가 아님으로 많은 주의가 필요하다.
최근에는 국내에서 제작된 한글 프로그램에 존재하는 취약점을 악용한 악성코드가 발견되어 보안 패치의 중요성이 다시 강조된다.
이 번에 발견된 한글 프로그램의 취약점을 악용한 악성코드는 한글 프로그램에서 사용하는 HwpApp.dll 모듈에서 존재하는 취약한 memcpy() API를 이용하여 임의의 코드를 실행 시킬 수 있는 코드 실행 취약점이다.
해당 취약점을 악용한 취약한 한글 파일(HWP)을 실행하게 되면, 아래 이미지와 같이 Svchost.exe 파일을 생성하게 된다.
그리고 생성된 svchost.exe 파일은 다시 시스템 폴더(C:\Windows\system32)에 ieprotect.dll 파일명의 악성코드를 생성 한다. 이와 함께 2.hwp이라는 정상 HWP 파일을 생성시켜 감염된 시스템의 사용자로 하여금 정상적으로 한글 파일이 열린 것으로 오인하도록 동작한다.
취약한 한글 파일은 파일 내부에 아래 이미지와 같은 쉘코드(Shellcode) 및 악성코드를 가지고 있어 실행과 동시에 생성하도록 되어 있다.
현재 한글 프로그램에서 발견된 취약점에 대해 한글과 컴퓨터에서는 "[공지] 한컴오피스, 전체 사용자용 보안 업데이트 배포" 공지를 통해 이미 보안 패치를 배포 중에 있다.
그리고 한글 프로그램 사용자는 한글과 컴퓨터 웹 사이트를 통해 보안 패치를 업데이트 할 수 있으며, 아래 이미지와 같이 [한컴 자동 업데이트]를 실행해서도 보안 패치 설치가 가능하다.
[한컴 자동 업데이트]가 실행되면 아래 이미지와 같이 현재 설치되어 있는 한글 프로그램에 맞는 보안 패치를 자동으로 설치할 수 있다.
그리고 위 이미지의 [환경 설정]을 클릭하여 [업데이트 방법]과 [자동 업데이트 설정]이 가능함으로 최신 보안 패치가 배포될 경우에 자동 업데이트가 진행 된다.
이 번에 발견된 취약한 한글 파일은 V3 제품군에서 다음과 같이 진단한다. 그러나 해당 악성코드 감염을 근본적으로 막기 위해서는 사용하는 한글 프로그램의 보안 패치 설치가 중요하다.
HWP/Exploit
Dropper/Dllbot.17920
Win-Trojan/Dllbot.9728
0-day,
Acrobat,
Adobe,
Advanced,
APT,
Cve-2011-0611,
Dllbot,
Dropper,
Engineering,
exploit,
HWP,
ieprotect.dll,
memcpy,
Microsoft,
Office,
PDF,
Persistent,
shellcode,
Social,
svchost.exe,
threat,
Trojan,
word,
Zero-Day,
리더,
마이크로소프트,
보안,
사용자,
사회공학기법,
쉘코드,
아크로뱃,
악성코드,
어도비,
업데이트,
오피스,
워드,
위협,
제로데이,
제작자,
취약점,
패치,
한글,
한컴오피스
Trackback Address :: http://blog.ahnlab.com/asec/trackback/566
-
diablo 3 gold
Tracked from diablo 3 gold | 2013/05/09 11:44 | DELASEC Threat Research -
-
coach outlet
Tracked from coach outlet | 2013/05/09 11:44 | DELASEC Threat Research -
-
nike lebron 10
Tracked from nike lebron 10 | 2013/05/09 11:44 | DELASEC Threat Research -
-
celine bags
Tracked from celine bags | 2013/05/09 14:36 | DELASEC Threat Research -
-
seo software
Tracked from seo software | 2013/05/09 17:13 | DELASEC Threat Research -
-
prada bags
Tracked from prada bags | 2013/05/10 18:50 | DELASEC Threat Research -
-
jeremy scott adidas
Tracked from jeremy scott adidas | 2013/05/11 04:22 | DELASEC Threat Research -
-
lacoste outlet
Tracked from lacoste outlet | 2013/05/11 04:22 | DELASEC Threat Research -
-
michael kors bags
Tracked from michael kors bags | 2013/05/11 04:22 | DELASEC Threat Research -
-
hermes bags
Tracked from hermes bags | 2013/05/11 04:22 | DELASEC Threat Research -
-
mulberry bags
Tracked from mulberry bags | 2013/05/11 04:22 | DELASEC Threat Research -
-
chanel handbags
Tracked from chanel handbags | 2013/05/11 04:22 | DELASEC Threat Research -
-
burberry bags
Tracked from burberry bags | 2013/05/11 04:22 | DELASEC Threat Research -
-
coach bags
Tracked from coach bags | 2013/05/11 09:36 | DELASEC Threat Research -
-
cheap soccer cleats
Tracked from cheap soccer cleats | 2013/05/11 09:36 | DELASEC Threat Research -
-
mulberry bags
Tracked from mulberry bags | 2013/05/11 09:36 | DELASEC Threat Research -
-
nike france
Tracked from nike france | 2013/05/11 13:28 | DELASEC Threat Research -
-
cheap oakley sunglasses
Tracked from cheap oakley sunglasses | 2013/05/11 13:28 | DELASEC Threat Research -
-
louis vuitton bags
Tracked from louis vuitton bags | 2013/05/11 13:28 | DELASEC Threat Research -
-
michael kors outlet
Tracked from michael kors outlet | 2013/05/11 13:28 | DELASEC Threat Research -
-
louis vuitton bags
Tracked from louis vuitton bags | 2013/05/11 13:28 | DELASEC Threat Research -
-
cheap prom dresses
Tracked from cheap prom dresses | 2013/05/11 17:25 | DELASEC Threat Research -
-
cheap louis vuitton bags
Tracked from cheap louis vuitton bags | 2013/05/11 17:25 | DELASEC Threat Research -
-
cheap jordans
Tracked from cheap jordans | 2013/05/11 22:34 | DELASEC Threat Research -
-
mulberry sale
Tracked from mulberry sale | 2013/05/12 03:13 | DELASEC Threat Research -
-
longchamp bags
Tracked from longchamp bags | 2013/05/12 12:43 | DELASEC Threat Research -
-
cheap ray ban sunglasses
Tracked from cheap ray ban sunglasses | 2013/05/12 12:43 | DELASEC Threat Research -
-
speed up my pc
Tracked from speed up my pc | 2013/05/12 14:06 | DELspeed up my pc 2013 serial
-
mulberry outlet
Tracked from mulberry outlet | 2013/05/12 16:37 | DELASEC Threat Research -
-
louis vuitton replica
Tracked from louis vuitton replica | 2013/05/12 16:37 | DELASEC Threat Research -
-
Chaussures Christian Louboutin
Tracked from Chaussures Christian Louboutin | 2013/05/14 10:48 | DELASEC Threat Research -
ws2help.dll을 교체하는 온라인 게임 악성코드 분석 :: 2011/07/08 19:23
2011년 들어 윈도우(Windows) 시스템에 존재하는 정상 시스템 파일을 패치(Patch)하거나 변경하는 악성코드들이 지속적으로 증가하고 있으며, 최근에는 윈도우 시스템에 존재하는 정상 파일들 중 하나인 ws2help.dll 파일을 악성코드로 변경시키는 악성코드도 발견되었다.특히 해당 악성코드는 제작 과정에서의 오류로 인해 감염된 시스템에서 블루스크린(BlueScreen, BSOD)을 발생시키는 치명적인 문제점도 발견되었다.ASEC에서는 이번에 발견된 ws2help.dll 파일을 변경시키는 악성코드에 대한 상세한 분석을 진행하였고, 분석 과정에서 해당 악성코드의 어떠한 부분으로 인해 블루스크린이 발생하는지도 파악하였다.해당 악성코드는 윈도우 시스템에 존재하는 ws2help.dll 파일을 악성코드에 생성된 ws3help.dll 파일로 교체한 후 ws2help.dll 파일을 호출하는 모든 프로세스에 인젝션되어 동작하도록 되어 있다. 그리고 시스템에 설치되어 있는 V3를 직접적으로 공격하는 기능과 함께 다양한 온라인 게임들의 사용자 정보를 탈취하는 기능을 수행하게 된다.
이와 함께 해당 악성코드는 30MB가 넘는 파일 크기를 가지고 있으나 코드의 대부분이 0x00로 사용되지 않는 코드들로 채워져 있어, 이는 보안 제품에 의한 탐지를 회피하기 위한 목적인 것으로 추정된다.
악성코드에 의해 변경되는 ws2help.dll 파일은 Windows Socket 2.0 Helper DLL로서 아래 이미지와 같은 네트워크 사용자 모드에서 ws2_32.dll 파일을 보조해 주며, 레지스트리 설정을 통해 사용을 하지 않을 수도 있다.
해당 악성코드는 드로퍼(Dropper) 형태이며 파일 자체는 Null Soft Install 프로그램으로 압축되어 있으며, 아래 이미지와 같이 해당 드로퍼에 의해 두 번재 드로퍼를 설치하게 된다.
먼저 Null Soft Install 툴로 압축된 드로퍼에 의해 생성된 두 번째 드로퍼를 살펴보게 되면, 아래 이미지와 같이 리소스(Resource)에 GAME이라는 영역에 존재하는 데이터가 ws2help.dll 파일과 변경하게 될 다른 악성코드이다.
아래 이미지와 같이 이러한 리소스 영역의 데이터를 읽어 들어 파일로 생성하는 기법은 일반적인 드로퍼 형태의 악성코드에서 많이 사용하는 기법 중 하나이다.
그리고 아래 이미지와 같이 윈도우 시스템의 특정 레지스트리(Registry)에 TabProcGrowth 키를 생성한다.
이와 함께 윈도우 시스템에 의해 보호되는 ws2help.dll 파일을 악성코드와 변경하게 위해 WFP(Windows File Protection)을 무력화 시키게 된다. WFP의 무력화를 위해 아래 이미지와 같이 Sfc_os.dll 파일을 로드 후 Function #5를 호출하여 1분간 WFP를 무력화 시키게 된다.
WFP가 무력화가 되면 이후 두 번째 드로퍼에 의해 생성된 악성코드를 ws2help.dll 파일명으로 Dllcache와 SYSTEM32 디렉토리로 복사하게 된다.
두 번째 드로퍼에 의해 생성되어 정상 ws2help.dll 파일과 변경되는 악성코드는 엔트리 포인트(Entry Point)로 진입하게 되면 아래 이미지와 같이 인터럽터 3(Int 3) 안티 디버깅(Anti-Debugging)이 존재 한다.
해당 안티 디버깅 코드 이후 언패킹 루틴(Unpacking Routine)을 통과 하게 되면 아래 이미지와 같은 OEP가 나타나게 된다.
그리고 해당 악성코드는 감염된 시스템에서 실행 중인 프로세스 목록을 얻어 온 후 tskill.exe을 이용하여 V3와 관련된 프로세스 및 온라인 게임 관련 프로세스를 강제 종료하는 기능을 수행한다.
악성코드에 의해 강제 종료 되는 프로세스들은 다음과 같다.
Dnf.exe, MapleStory.exe, FF2Client.exe, lin.bin, lineage.exe, V3LSvc.exe, X2.exe, heroes.exe, Dragona.exe,
IEXPLORE.exe, PMCliente.exe, DnF.exe
그리고 악성코드에 의해 변경된 ws2help.dll 파일은 V3 관련 다음 프로세스 2개를 강제 종료하게 된다.
V3LSve.exe, V3Light.exe
악성코드에 의해 변경된 ws2help.dll 파일이 인젝션(Injection)되어 있는 프로세스가 위에서 언급된 두 개의 V3 관련 프로세스일 경우에는 강제 종료를 시도하게 된다.
위 이미지에서와 같이 GetModuleHandle() API를 이용하여 V3 관련 프로세스들의 이미지 베이스(Image Base) 주소를 얻어 올 수 있게 된다면, 해당 프로세스를 강제 종료하게 된다.
이와 함께 실행 중인 프로세스들을 확인하여 온라인 게임 관련 프로세스들일 경우에는용자의 계정과 암호 탈취 기능을 수행하는 스레드(Thread)를 생성하게 된다.
이 번에 발견된 해당 악성코드는 기존의 다른 온라인 게임의 사용자 정보를 탈취하는 악성코드와 다르게 내부적인 오류로 인해 블루 스크린을 유발하게 된다.
시스템 재부팅 시에 악성코드로 변경된 ws2help.dll 파일은 시스템 프로세스들에 인젝션하게 된다. 이때 안티 디버깅으로 익셉션(Exception)을 유발 시키게 되는데, 익셉션처리 과정에서 EIP 레지스터가 1 바이트씩밀려서 전혀 다른 명령를 수행하게 됨으로 메모리 참조 과정에서 블루 스크린이 발생하게 된다.
최근 들어 지속적으로 증가하고 있는 윈도우 시스템 파일들을 변경하는 악성코드들 대부분이 인터넷 익스플로러(Internet Explorer)나 어도비 플래쉬 플레이어(Adobe Flash Player)에 존재하는 취약점들로 인해 감염된다.
그러므로 해당 소프트웨어에 존재하는 보안 패치들을 설치하여야만이 악성코드 감염을 원천적으로 예방 할 수 있다.
Adobe,
Anti-Debugging,
ASEC,
BlueScreen,
BSOD,
Dllcache,
Dropper,
EIP,
Entry Point,
Flash Player,
Function,
game,
GetModuleHandle,
Image Base,
Injection,
Int 3,
Internet Explorer,
OEP,
PATCH,
Resource,
Sfc_os.dll,
TabProcGrowth,
Thread,
tskill.exe,
Unpacking,
V3,
WFP,
Windows,
ws2help.dll,
ws2_32.dll,
ws3help.dll,
XOR,
게임,
드로퍼,
레지스터,
레지스트리,
리소스,
무력화,
변경,
분석,
블루스크린,
사용자,
스레드,
시스템,
악성코드,
안티디버깅,
어도비,
언패킹,
엔트리포인트,
오류,
온라인,
윈도우,
이미지베이스,
익스플로러,
인젝션,
인터넷,
인터럽트,
정보,
정상,
탈취,
파일,
패치,
프로세스,
플래쉬,
플레이어
Trackback Address :: http://blog.ahnlab.com/asec/trackback/565
-
best laptops on the market uk
Tracked from best laptops on the market uk | 2013/05/02 13:48 | DELASEC Threat Research -
-
mulberry bags
Tracked from mulberry bags | 2013/05/09 11:41 | DELASEC Threat Research -
-
hermes bags
Tracked from hermes bags | 2013/05/09 11:42 | DELASEC Threat Research -
-
cheap jordans
Tracked from cheap jordans | 2013/05/09 11:42 | DELASEC Threat Research -
-
celine bags
Tracked from celine bags | 2013/05/09 19:49 | DELASEC Threat Research -
-
mulberry outlet
Tracked from mulberry outlet | 2013/05/11 09:30 | DELASEC Threat Research -
-
mulberry sale
Tracked from mulberry sale | 2013/05/11 13:23 | DELASEC Threat Research -
-
cheap ray ban sunglasses
Tracked from cheap ray ban sunglasses | 2013/05/11 13:23 | DELASEC Threat Research -
-
celine bags
Tracked from celine bags | 2013/05/11 17:20 | DELASEC Threat Research -
-
prada handbags
Tracked from prada handbags | 2013/05/12 03:07 | DELASEC Threat Research -
-
longchamp bags
Tracked from longchamp bags | 2013/05/12 03:07 | DELASEC Threat Research -
-
louis vuitton bags
Tracked from louis vuitton bags | 2013/05/12 03:07 | DELASEC Threat Research -
지속적인 어도비 CVE-2011-2110 취약점 악용 :: 2011/07/04 17:32
ASEC에서는 6월 15일 어도비(Adobe)에서 플래쉬 플레이어(Flash Player)에 존재하는 취약점에 대한 보안 패치를 배포하였다는 것을 전하바가 있다.
그리고 해당 어도비 플래쉬 플레이어 CVE-2011-2110 취약점을 악용하여 악성코드를 유포를 시도한 사례에 대한 분석 정보도 6월 22일 전한 바가 있었다.
어도비 플래쉬 플레이어에 존재하는 CVE-2011-2110 취약점을 악용하는 취약한 플래쉬 파일을 V3 제품군에서 SWF/Cve-2011-2110으로 진단하고 있으며, 6월 16일부터 7월 3일까지 해당 악성코드에 의한 피해 수치는 아래 이미지와 같다.
위 이미지의 그래프를 보면 6월 15일 보안 패치가 배포된 직 후 6월 18일 토요일까지 피해가 급격하게 증가하다 19일을 기해 급격하게 감소하였다. 그리고 다시 7월 2일 토요일을 기해 서서히 증가하고 있는 추세로 해당 취약점을 악용한 악성코드 유포가 다시 증가하고 있음으로 주의가 필요하다.
그러므로 어도비에서 제공하는 보안 패치를 설치하여 플래쉬 플레이어에 존재하는 취약점과 함께 아크로뱃 리더(Acrobat Reader)에 존재하는 취약점을 악용한 악성코드 감염을 원천적으로 예방하는 것이 중요하다.
어도비 리더와 아크로뱃 보안 패치의 설치는 아래 이미지에서와 같이 사용하는 어도비 리더 또는 아크로뱃을 실행 한 후 [도움말] -> [업데이트 확인]을 클릭하여 진행 가능하다.
어도비 리더와 아크로뱃 보안 패치를 자동으로 설치하기 위해서는 사용하는 어도비 리더 또는 아크로뱃을 실행 한 후 [편집] -> [기본 설정] -> [업데이터]를 클릭한다.
그리고 아래 이미지와 같이 [업데이트 자동 설치]로 클릭을 한 후 [확인]을 클릭하게 되면 이 후 배포되는 보안 패치들에 대해서는 자동적으로 설치가 가능하다.
어도비 플래쉬 플레이어를 위한 보안 패치를 설치하기 위해서는 아래 어도비 웹 사이트를 통해 업데이트 가능하다.
Trackback Address :: http://blog.ahnlab.com/asec/trackback/560
CVE-2011-1255 취약점 악용 악성코드 유포 :: 2011/06/27 16:28
마이크로소프트(Microsoft)에서는 매월 두째 주 화요일 해당 업체에서 개발한 소프트웨어에서 발견된 보안 취약점을 제거하기 위한 보안 패치를 배포하고 있다. 이번 6월에도 역시 총 16개의 보안 패치를 배포하였다.
이번 마이크로소프트에서 배포한 보안 패치 중 "MS11-050 Internet Explorer 누적 보안 업데이트(2530548)"에 포함되어 있는 CVE-2011-1255 취약점을 악용하는 악성코드가 발견되었다.
이 번에 발견된 해당 취약점을 악용하는 악성코드는 아래 이미지와 같은 스크립트(Script) 악성코드 형태이며 최종적으로는 특정 시스템에 존재하는 다른 악성코드를 다운로드 및 실행 하도록 되어 있다.
해당 스크립트 악성코드는 아래 이미지와 같은 쉘코드(Shellcode)를 메모리(Memory)에서 동작하도록 하였으며 미국에 위치한 특정 시스템에서 인코딩(Encoding) 되어 있는 파일을 다운로드 하도록 되어 있다.
아래 이미지와 같이 다운로드 된 인코딩 된 파일이 정상적으로 디코딩(Decoding)되면, 윈도우(Windows) 시스템에서 정상적으로 실행 가능한 PE 파일 형태로 변환된다.
디코딩 된 해당 파일은 WinExec 명령을 통해 임시(Temp) 폴더에 svchost.exe 파일명으로 변경하여 복사 한 후 실행 하도록 되어 있다.
그리고 svchost.exe(44,544 바이트)이 정상적으로 실행이 되면 프로그램 폴더(C:\Program Files\Common Files) 아래에 자신의 복사본을 다시 msdtc.exe(44,544 바이트)로 생성하게 된다.
생성된 msdtc.exe(44,544 바이트)가 실행이 되면 다음의 악의적인 기능들을 수행하게 된다.
시스템 하드웨어 정보 수집
키보드 입력 정보 가로채기
파일 업로드 및 다운로드
커맨드(Command) 명령 실행
폴더 및 파일 이름 확인
파일 삭제 및 파일명 변경
최근 어도비 플래쉬 플레이어(Adobe Flash Player) 취약점을 악용하여 온라인 게임의 사용자 정보를 탈취하거나 윈도우 시스템 관련 파일들을 패치(Patch)하는 악성코드들이 지속적으로 발견 중에 있다.
이러한 악성코드들은 윈도우 시스템에 존재하는 취약점 또는 일반적으로 많이 사용하는 어플리케이션(Applications)들에 존재하는 보안 취약점들을 악용하여 악성코드를 유포하고자 하는 공통점이 존재한다.
그러므로 이러한 악성코드들의 감염을 예방하기 위해서는 마이크로소프트에서 배포하는 보안 패치와 함께 자주 사용하는 어플리케이션들의 보안 패치들까지 반듯이 설치하여야만 악성코드 감염에 대한 근본적인 대응이 가능하다.
이 번에 발견된 CVE-2011-1255 취약점 악용해 유포되었던 악성코드들은 V3에서 다음과 같이 진단 가능하다.
HTML/Cve-2011-1255
Exploit/Cve-2011-1255
Win-Trojan/Misdat.44544
2530548,
Adobe,
Applications,
Command,
CVE-2011-1255,
Decoding,
HTML,
Internet,
Memory,
Microsoft,
Misdat,
MS11-050,
msdtc.exe,
Player,
Script,
svchost.exe,
Trojan,
Windows,
WinExec,
가로채기,
누적,
다운로드,
디코딩,
마이크로소프트,
메모리,
명령,
미국,
변경,
보안,
삭제,
소프트웨어,
수집,
쉘코드,
스크립트,
시스템,
악성코드,
악용,
어도비,
어플리케이션,
업데이트,
윈도우,
유포,
이름,
인코딩,
입력,
정보,
취약점,
커맨드,
키보드,
파일,
파일명,
패치,
폴더,
플래쉬,
플레이어,
하드웨어
Trackback Address :: http://blog.ahnlab.com/asec/trackback/557
-
mulberry bags
Tracked from mulberry bags | 2013/05/06 00:09 | DELASEC Threat Research -
-
hermes bags
Tracked from hermes bags | 2013/05/06 03:37 | DELASEC Threat Research -
-
seo software
Tracked from seo software | 2013/05/06 07:25 | DELASEC Threat Research -
-
diablo 3 gold
Tracked from diablo 3 gold | 2013/05/06 17:23 | DELASEC Threat Research -
-
nike lebron 10
Tracked from nike lebron 10 | 2013/05/07 00:24 | DELASEC Threat Research -
-
chanel bags
Tracked from chanel bags | 2013/05/07 08:38 | DELASEC Threat Research -
-
prada bags
Tracked from prada bags | 2013/05/07 21:08 | DELASEC Threat Research -
-
mulberry bags
Tracked from mulberry bags | 2013/05/08 00:56 | DELASEC Threat Research -
-
louis vuitton bags
Tracked from louis vuitton bags | 2013/05/08 00:56 | DELASEC Threat Research -
-
celine bags
Tracked from celine bags | 2013/05/08 10:32 | DELASEC Threat Research -
-
burberry bags
Tracked from burberry bags | 2013/05/08 13:19 | DELASEC Threat Research -
-
miu miu bags
Tracked from miu miu bags | 2013/05/09 06:41 | DELASEC Threat Research -
-
cheap jordans
Tracked from cheap jordans | 2013/05/09 10:48 | DELASEC Threat Research -
-
coach outlet
Tracked from coach outlet | 2013/05/09 13:47 | DELASEC Threat Research -
-
michael kors bags
Tracked from michael kors bags | 2013/05/11 02:53 | DELASEC Threat Research -
-
mulberry sale
Tracked from mulberry sale | 2013/05/11 02:53 | DELASEC Threat Research -
-
cheap soccer cleats
Tracked from cheap soccer cleats | 2013/05/11 02:54 | DELASEC Threat Research -
-
mulberry outlet
Tracked from mulberry outlet | 2013/05/11 08:14 | DELASEC Threat Research -
-
cheap oakley sunglasses
Tracked from cheap oakley sunglasses | 2013/05/11 12:21 | DELASEC Threat Research -
-
mulberry bags
Tracked from mulberry bags | 2013/05/11 12:21 | DELASEC Threat Research -
-
lacoste outlet
Tracked from lacoste outlet | 2013/05/11 20:53 | DELASEC Threat Research -
-
jeremy scott adidas
Tracked from jeremy scott adidas | 2013/05/11 20:53 | DELASEC Threat Research -
-
longchamp bags
Tracked from longchamp bags | 2013/05/11 20:53 | DELASEC Threat Research -
-
nike france
Tracked from nike france | 2013/05/11 20:53 | DELASEC Threat Research -
-
louis vuitton bags
Tracked from louis vuitton bags | 2013/05/12 01:42 | DELASEC Threat Research -
-
celine bags
Tracked from celine bags | 2013/05/12 07:02 | DELASEC Threat Research -
-
michael kors outlet
Tracked from michael kors outlet | 2013/05/12 07:02 | DELASEC Threat Research -
-
speedupmypc
Tracked from speedupmypc | 2013/05/12 08:03 | DELuniblue speedupmypc 2013 license key working new
-
cheap louis vuitton bags
Tracked from cheap louis vuitton bags | 2013/05/12 11:34 | DELASEC Threat Research -
-
cheap ray ban sunglasses
Tracked from cheap ray ban sunglasses | 2013/05/12 11:34 | DELASEC Threat Research -
-
coach bags
Tracked from coach bags | 2013/05/12 19:32 | DELASEC Threat Research -
-
cheap prom dresses
Tracked from cheap prom dresses | 2013/05/12 19:32 | DELASEC Threat Research -
-
louis vuitton replica
Tracked from louis vuitton replica | 2013/05/12 19:32 | DELASEC Threat Research -
어도비 플래쉬 플레이어 CVE-2011-2110 취약점 분석 :: 2011/06/22 17:30
ASEC에서는 6월 15일 어도비 플래쉬 플레이어(Adobe Flash Player)에서 보안 패치 배포 소식을 전한 바가 있다. 해당 보안 패치에는 제로 데이(Zero Day, 0-Day) 취약점이었던 CVE-2011-2110 취약점을 제거 할 수 있는 보안 패치가 같이 포함이 되어 있으며, 현재에도 해당 취약점을 악용한 플래쉬 파일(SWF) 변형들이 유포 중에 있다.
ASEC에서는 해당 어도비 플래쉬 플레이어 취약점을 악용한 악성코드 유포에 대해 상세한 분석을 진행하였으며, 해당 취약점의 전체적인 악용 구조는 다음 이미지와 같은 형태로 진행 되었다.
위 이미지와 같은 구조로 취약한 플래쉬 파일을 유포하여 최종적으로 온라인 게임의 사용자 정보를 탈취하는 악성코드의 감염을 시도하였다.
먼저 취약한 웹 사이트에 아래 이미지와 같은 스크립트 파일을 삽입하였으며, 해당 스크립트 파일에는"main.swf?info="를 통해 취약한 플래쉬 파일을 호출하도록 설정되어 있다.
호출된 플래쉬 파일을 통해 Zlib 압축을 해제한 후 XOR 디코딩을 수행하여 특정 웹 사이트에서 파일을 다운로드 하도록 설정되어 있다.
다운로드 된 파일을 아래 이미지와 같이 XOR 디코딩을 수행한 후 Zlib 압축을 해제하게 될 경우 일반적으로 윈도우(Windows) 운영체제에서 실행 가능한 PE 파일이 생성된다.
최종적으로 메모리상에서는 아래 이미지와 같은 쉘코드(Shellcode)와 함께 다운로드된 PE이 같이 동작하도록 구성되어 있다.
메모리 상에서 쉘코드와 함께 동작하게 되면 윈도우 임시 폴더(Temp)에 scvhost.exe 파일을 생성하게 되며 생성한 파일을 cmd.exe 명령을 이용하여 실행하게 된다.
생성된 해당 파일이 실행되면 온라인 게임의 사용자 정보를 탈취하는 악성코드와 함께 외부에서 윈도우 시스템 관련 파일들인 imm32.dll와 win32.dll을 악성코드로 변경하는 기능 등을 수행하게 된다.
최근 어도비 플래쉬 플레이어에 존재하는 취약점을 악용하여 악성코드를 유포하는 사례가 지속적으로 발생하고 있음으로 어도비사의 보안 권고에 따라 어도비 아크로뱃 리더(Adobe Acrobat Reader)와 플래쉬 플레이어를 해당 취약점이 제거된 최신 버전으로 업데이트 하는 것이 중요하다.
이 번 어도비 플래쉬 플레이어에 존재하는 취약점을 악용하여 유포를 시도한 악성코드들은 V3 제품군에서 다음과 같이 진단한다.
SWF/Exploit
JS/Swflash
SWF/Cve-2011-2110
Win-Trojan/Onlinegamehack.36352.CN
Win-Trojan/Patched.DE
Win-Trojan/Onlinegamehack.102400.DM
Acrobat,
Adobe,
ASEC,
cmd.exe,
CVE-2011-2110,
Day,
exploit,
flash,
Imm32.dll,
OnlineGameHack,
Patched,
PE,
Player,
reader,
scvhost.exe,
SWF,
Swflash,
Temp,
Trojan,
win32.dll,
Windows,
XOR,
Zero,
Zlib,
게임,
다운로드,
디코딩,
리더,
메모리,
보안,
분석,
사용자,
쉘코드,
스크립트,
아크로뱃,
악성코드,
악용,
압축,
어도비,
온라인,
운영체제,
웹사이트,
윈도우,
유포,
임시,
정보,
제로데이,
취약점,
파일,
패치,
폴더,
플래쉬,
플레이어,
해제
Trackback Address :: http://blog.ahnlab.com/asec/trackback/554
-
Adobe Reader,Acrobat,Adobe Flash Player 10.3.181.26 업데이트
인터넷을 하다 보면 만나는 PDF 그리고 Adobe Flash Player, Adobe AIR 제품이 보안업데이트가 이루어지고 있습니다. 일단 Adobe Reader&Acrobat 경우 해당 Authplay.dll구성 요소 취약점과 관련된 보안 갱신이므?