개요
  • 트랜드마이크로, 권환 및 데이터 탈취, 모바일 랜섬웨어 등의 기능을 수행할 수 있는 안드로이드 악성코드(GhostCtrl) 발견
     

  

주요내용

 

  • GhostCtrl 악성코드는 유명 앱(whatsapp, Pokemon GO 등)을 가장하여 악성 APK 설치를 유도하며, 사용자가 설치를 취소해도 계속해서 팝업창 생성
  1. 설치 후 아이콘을 삭제하며, com.android.engine 이라는 명칭으로 백그라운드에서 실행 및 C&C 서버와 암호화 통신
  • GhostCtrl 악성코드는 관리자 권한 탈취, 모바일 랜섬웨어 기능, 난독화를 통한 악성 루틴 은닉 기능 등 세 가지 변종이 존재
  1. 그 외에 블루투스 연결 제어, 지정한 전화번호의 문자 메시지 탈취, 암호 삭제 및 재설정, 카메라/비디오 녹화 후 C&C 서버로 전송 등 다양한 기능 수행 가능

<그림1. 모바일 랜섬웨어와 유사한 기능을 수행하는 코드>
모바일 랜섬웨어와 유사한 기능을 수행하는 코드

 

시사점

 

  1. 모바일 OS 최신 업데이트 및 중요 데이터의 주기적인 백업 필요
  • 앱 다운로드 시 요구 권한을 확인하여야 하며, 리뷰를 참조한 후 설치하는 것을 권장
     


[출처]
1. TrendMICRO,, “Android Backdoor GhostCtrl can Silently Record Your Audio, Video, and More”, 2017.7.17.
2. BLEEPINGCOMPUTER “GhostCtrl Is an Android RAT That Also Doubles as Ransomware”, 2017.7.17.



작성 : 침해대응단 탐지1팀


--------------------------------------------------


출처 : 보호나라 http://boho.or.kr


 

 

최근 미국 연방수사국(FBI)에서는 DNS 설정을 변경하는 DNS 체인저 악성코드에 감염된 PC가 접속하던 DNS 서버 대신, 한시적으로 운영해 왔던 Clean DNS 서버의 운영을 2012년 7월 9일부로 중단하기로 하였습니다. 따라서 DNS 체인저 악성코드에 감염된 PC는 2012년 7월 9일 이후 인터넷 접속 장애가 발생할 수 있습니다. 국내 인터넷 이용자는 해당 악성코드에 감염되어 DNS 설정이 변경되었는지 확인이 필요합니다.

 

<확인방법>

  • DNS 체인저 악성코드 감염여부 확인 하기 : http://www.dns-ok.us
    사이트 접속시 초록색으로 보일 시 안전, 빨간색이면 해당 악성코드에 감염 되었으므로 아래 조치절차(전용백신 치료 및 DNS설정 정상화) 실시
    확인방법

<조치방법>

  1. KISA DNS체인저 악성코드 맞춤형 전용백신 다운로드 및 실행

    전용백신 다운로드 제공 페이지
    ※ 백신으로 악성코드를 치료 후, DNS 설정이 정상화되지 않으므로 아래 DNS설정 정상화 조치 필요함


  2. DNS 설정 정상화

    위 확인방법을 통해 사이트 접속시, 빨간색으로 표시된 이용자에 한해 설정을 변경하시기 바랍니다.
  • 윈도우7
    윈도우 시작 버튼 -> 제어판 -> 네트워크 및 인터넷 -> 네트워크 및 공유센터 -> 어댑터 설정 변경 -> 로컬 영역 연결 더블클릭 -> 속성 클릭 -> Internet Protocol Version 4 (TCP/IPv4) 클릭 후 속성 -> DNS 주소 변경(자동으로 받기 또는 기존에 사용 중인 IP로 변경)
    ※ 일반적으로 가정용 인터넷 회선을 사용하시면, 자동으로 받기로 설정하시면 됩니다.
    ※ 이용자 중 수동으로 DNS주소를 설정하고자 하는 분은, 현재 가입중인 인터넷 회선 업체에서 제공하는 기본/보조 DNS 주소로 변경바랍니다. (아래 표 참고)

  • 윈도우XP
    윈도우 시작 버튼 -> 설정 -> 제어판 -> 네트워크 연결 -> 로컬 영역 연결 더블 클릭 -> 속성 -> 인터넷 프로토콜(TCP/IP) 클릭 후 속성 -> DNS 주소 변경(자동으로 받기 또는 기존에 사용 중인 IP로 변경)
    ※ 일반적으로 가정용 인터넷 회선을 사용하시면, 자동으로 받기로 설정하시면 됩니다.
    ※ 이용자 중 수동으로 DNS주소를 설정하고자 하는 분은, 현재 가입중인 인터넷 회선 업체에서 제공하는 기본/보조 DNS 주소로 변경바랍니다. (아래 표 참고)

    구 분 기본 DNS 주소 보조 DNS 주소 문의 연락처
    KT olleh(구 QOOK) 168.126.63.1 168.126.63.2 ☎ 100
    SK 브로드밴드 210.220.163.82 219.250.36.130 ☎ 106
    LG U+(구 XPEED 파워콤) 164.124.101.2 203.248.252.2 ☎ 1644-7000
    구글 Public DNS 8.8.8.8 8.8.4.4 -

출처 : KISA 보호나라 (http://www.boho.or.kr/kor/notice/noticeView.jsp?p_bulletin_writing_sequence=960)

 

□ 개요

   o Internet Explorer mshtml.dll 라이브러리가 재귀적으로 CSS @import 규칙을 포함하는 웹 페이지를 처리하는 과정에서 원격코드실행 취약점이 발생 [1, 3, 4, 6]

   o 공격자는 웹 페이지 은닉, 스팸 메일, 메신저의 링크 등을 통해 특수하게 조작된 콘텐트로 구성된 악의적인 웹 사이트에 방문하도록 사용자를 유도하여 악성코드를 유포 가능

   o 해당 취약점의 개념증명코드[2, 7]가 공개되었으므로 인터넷 사용자의 주의가 요구됨

 

□ 해당 시스템

   o 영향 받는 소프트웨어 [1]

     - Internet Explorer 6

     - Internet Explorer 7

     - Internet Explorer 8

       모든 운영체제의 모든 Internet Explorer 버전이 취약할 것으로 추정

          (DEP ASLR 우회 가능[6])

 

□ 임시 권고 사항

   o 현재 해당 취약점에 대한 보안업데이트는 발표되지 않았음

   o KrCERT/CC MS 보안업데이트 사이트[5]를 주기적으로 확인하여 해당 취약점에 대한 보안업데이트 발표 시 신속히 최신 업데이트를 적용하거나 자동업데이트를 설정

     자동업데이트 설정 방법: 시작제어판보안센터자동업데이트자동(권장) 선택

   o 취약점에 의한 피해를 줄이기 위하여 사용자는 다음과 같은 사항을 준수해야함

     - 파일공유 기능 등을 사용하지 않으면 비활성화하고 개인방화벽을 반드시 사용

     - 사용하고 있는 백신프로그램의 최신 업데이트를 유지하고, 실시간 감시기능을 활성화

     - 신뢰되지 않는 웹 사이트의 방문 자제

     - 출처가 불분명한 이메일의 링크 클릭하거나 첨부파일 열어보기 자제

 

□ 용어 정리

   o CSS (Cascading Style Sheet) : 웹페이지에 포함된 여백이나 글자의 크기 및 색깔 등의 각종 스타일을 기술하는 언어

   o @import : 외부 CSS 파일을 참조하는 URL을 지정하는 규칙

   o mshtml.dll : Internet Explorer의 핵심 모듈로서 HTML, CSS 등을 처리함

   o DEP (Data Execution Prevention, 데이터 실행 방지) : 프로그램의 비실행영역 메모리에서 코드가 실행되지 않도록 함으로써 악성코드 및 다른 보안 위험으로부터 손상되지 않게 해주는 보안 기능

   o ASLR (Address Space Layout Randomization) : 주소 공간 레이아웃을 불규칙하게 배치하는 보안 기능

 

□ 기타 문의사항

   o 보안업데이트는 언제 발표되나요?

     - 해당 보안업데이트의 발표 일정은 미정이나, 발표 시 KrCERT/CC 홈페이지를 통해 신속히 공지할 예정입니다.

   o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

 

[참고사이트]

[1] http://www.vupen.com/english/advisories/2010/3156

[2] http://www.exploit-db.com/exploits/15746/

[3] http://www.breakingpointsystems.com/community/blog/ie-vulnerability/

[4] http://www.wooyun.org/bugs/wooyun-2010-0885

[5] http://update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko

[6] http://www.offensive-security.com/offsec/internet-explorer-css-0day-on-windows-7/

[7] http://www.metasploit.com/modules/exploit/windows/browser/ms11_xxx_ie_css_import

----------------------------------------------------------------------------------------------------------

출처 : 보호나라  2010-12-22  (http://www.boho.or.kr/dataroom/data_05_dtl.jsp?u_id=118&page=0&TempNum=124&page_id=6)

확인방법이라고 보는거 까지도 없을 정도로 단순한 원리...

단순이 공격시 사용된(보유한) 아이피와 조회한 사용자의 아이피가 같은지만 비교 해주는군요~

그래도 확인할수만 있다면~

보호나라 - http://www.boho.or.kr/pccheck/pcch_03.jsp?page_id=3

악성봇 으로 의심 되는 pc 인경우 adsl 환경으로 아이피가 유동적인 경우는 100% 확신 할수 없다네요

그도 그럴것이 처음에 얘기 했던거처럼 단순히 아이핀만 비교하는 과정이니~~

그래도 악성봇 대상 pc라면 ~ 되도록 가급적~ 포맷 -_-;;; (스스로 잡을 실력이 되신다면 처리하시구~)

되도록 포맷하시는게 좋겠네요 ㅋ

+ Recent posts

티스토리 툴바