정짱의 작은 도서관

[Malware analysis] WastedLocker 랜섬웨어 참조> https://www.zdnet.com/article/garmin-services-and-production-go-down-after-ransomware-attack/> https://usf.app.box.com/s/z4fljmzgc2291ivv2u9prw3sh0apch17> https://asec.ahnlab.com/11 참조 블로그 뉴스를 살펴보면 웨어러블 제조업체인 가민(Gamin)은 랜섬웨어로 인하여 여러 서비스를 중단한 상태라는 것을 확인할 수 있다.WastedLocker라고 불리는 랜섬웨어로 추정이 되고 있는 상태라고 한다. 변형된 랜섬웨어 일수도 있지만 WastedLocker_IOC에 있는 하나를 분석할 것 이다. (그..

[Malware analysis] 매크로를 이용한 워드 파일 Emotet Malware 참조 - 5개월만에 돌아온 Emotet 악성코드!! 국내 유포 중> https://asec.ahnlab.com/1358 참조 블로그를 보게되면 5개월만에 돌아온 Emotet 악성코드가 유포중이라는 것을 확인할 수 있다.과거 작성글 https://jeongzzang.com/97 에서 Emotet 악성코드를 분석해보았는데 과거 Emotet은 '--xxxxxxxx' 인자를 통해 악성행위 부분을 분석 가능했던 경험이 있다. 하지만 현재 유포되는 Emotet은 인자 값 없이 실행 가능하다고 알려져있다.유포되는 여러 유형이 있는데 본 블로그에는 .doc 문서 형태를 분석했다. (그림 1)을 살펴보면 해당 파일을 볼 수 있으며 콘..

[Malware analysis] '결백' 영화 파일로 위장한 백도어 악성코드 참조> https://jeongzzang.com/141> https://asec.ahnlab.com/1351> https://www.hauri.co.kr/security/issue_view.html?intSeq=405&page=1> https://www.virustotal.com/gui/file/88bd2a65da1bea7e7815fb9cab600c87e69b0bd8f3770b68a3b74b51a2d9eb2b/detection 영화 '결백'으로 위장한 백도어형 악성코드(Innocence Bot) 토렌트를 통해 유포되는 것을 확인할 수 있다. 위 참조 블로그를 통해 분석을 하였다.아이비코리아 토렌트큐큐에서 영화 검색시 해당 파일..

[Reversing] Python Reverse a String 참조> http://spellbackwards.com/> https://www.educative.io/edpresso/how-do-you-reverse-a-string-in-python 분석을 하다 보면 보기 어렵게 된 문자열을 확인할 수 있다.문자열을 Reverse 하는 Python Code 이다.매번 찾기 귀찮아서 정리해둔다.>>> with open('rawdata', 'r') as read_file, open('reverse', 'w') as write_file:>>> read_file = read_file.read()>>> stringlength=len(read_file)>>> slicedstring=read_file[stringle..

[Malware analysis] Black Ball SMBGhost 취약점 공격 참조> https://s.tencent.com/research/report/1008.html> https://gist.github.com/vortexau/13de5b6f9e46cf419f1540753c573206 이터널블루(Eternal Blue) 취약점 발생으로 큰 이슈였던 SMBGhost라고 불리는 CVE-2020-0796와 관련된 공격이다.아는 선에서 이야기하자면 이런 시나리오다.. 취약한 대상을 찾아 SMBv3 활성화 확인 후 CVE-2020-0796 취약점을 이용하여 중요 정보를 탈취하는 정도로 알고 있으며 해당 취약점에 대해서는 상세정보는 구글링을 권한다..Eternal Blue 취약점 악용(MS17-010) $..

[Malware analysis] MBRLocker 악성코드를 생성하는 Dropper 참조> https://securitynews.sonicwall.com/xmlpost/coronavirus-trojan-overwriting-the-mbr/> https://www.boannews.com/media/view.asp?idx=87385&kind=14 본글은 코로나 이슈를 이용하여 악성행위를 하는 악성코드로 4월초 해당 파일에 대해 확인해 본적이 있다.분석 내용을 블로그에 남기기 위하여 새로 분석해본다.(그림 1)을 살펴보면 해당 파일에 대해 확인할 수 있다.(그림 1) (그림 2)를 살펴보면 RCData(리소스스크립트) 부분에 스크립트를 확인할 수 있다. (그림 2) COVID-19.exe 실행시 (그림 3)..

[Reversing] Python zlib unpacking 참조> https://stackabuse.com/python-zlib-library-tutorial/> https://docs.python.org/3/library/zlib.html Python zlib는 참조 링크를 통하여 알 수 있다.HwpScan2 도구는 한글(HWP) 문서 파일의 취약점 및 파일 구조에 대해 분석 정보를 확인할 수 있다.하지만 해당 도구는 주기적으로 재설치가 필요하며 가끔 오류가 발생하는 거 같다.해당 도구의 하나의 기능인 zlib decompress 관련해서 Python을 이용하여 제작하였다.>>> import zlib>>> obj1 = open('[.eps_file]', 'rb').read()>>> obj2 = zli..

[Malware analysis] 북한의 회색지대 전략과 대응방안.hwp 참조 - '북한의 회색지대 전략과 대응방안' 한글문서(HWP) 유포 중 > https://asec.ahnlab.com/1347 본 블로그에서 ESP 관련 내용을 확인할 수 있다. KINU 전문가 자문 요청사항(한미동맹과 한중관계).hwp(그림 1)을 보게되면 샘플 파일을 확보한 것을 확인할 수 있다.(그림 1) (그림 2)을 보게되면 본문 내용과 함께 해당 파일의 정보를 확인할 수 있으며, 2019년 작성 되어 2020년 6월 23일에 수정된 정보와 작성자는 Venus.H로 확인할 수 있다. (그림 2) 한글 파일 구조 확인 시 BinData는 PNG, OLE, EPS로 구성되어 있으며 EPS 코드 용량이 한글 문서 용량의 절반을 ..