0xMH

저번 블로그에서 Darkside를 되게 재밌게 분석을 해서 이번에도 다른 랜섬웨어를 분석하고 싶었는데 많은 악성코드들 중에 어느 랜섬웨어가 가장 좋고 그나마 접하기가 쉬울지 고민하며 찾아보다가 Babuk이라는 샘플을 찾게 되었습니다. Babuk의 encryption routine 빼고 남은 기능들은 다크사이드보다 분석하기가 훨씬 쉽고 다크사이드와 달리 Babuk는 dynamic IAT를 만들지 않고 중요한 string들도 전혀 암호화되어 있지 않고 plaintext입니다. 랜섬웨어에 대해서 궁금해하시는 분들은 아마 Babok부터 시작하는 것이 좋을 것 같습니다! 샘플은 여기서 다운로드하시면 됩니다: https://bazaar.abuse.ch/sample/704a0fa7de19564bc743fb68aa06..

악성코드 Malware/랜섬웨어 2022. 11. 13. 17:26

다크사이드는 command line parameter를 쓰는 기능을 갖고 있는데 자기 encryption 루틴을 활용하고 폴더를 하나 선택하여 그 폴더만 암호화시킵니다. PathIsUNCServerW를 활용하여 유효한 UNC (Universal Naming Convention) 서버가 존재하는지를 확인합니다. 그렇지 않은 경우네는 PathisNetworkPathW를 불러오고 "make_path"이라는 변수로 path를 직접 만드는 것이 보입니다. 이제부터 재밌어집니다. 아랫 내용은 로그파일에 저장될 것이고, 유용한 스트링들이 보입니다. 다양한 Encryption 속도가 있는 것 같고, I/O 활용해서 multithread encryption을 사용하는 것 같습니다. Part 1에서 언급했던 토켄이 다시 ..

악성코드 Malware/랜섬웨어 2022. 11. 5. 11:33

2021년 5 월조쯤에 Colonial Pipeline이라는 기업이 랜섬웨어 악성코드 공격의 피해자 되었는데, 이 기업은 미국의 East Coast 연료 공급 50%를 담당합니다. 상황이 심각해지며 미국 18개의 주에서 비상상태 선포되었습니다. 과연 이 랜섬웨어가 무엇을 하는 악성코드인지, 무슨 기능을 갖고 있는 것인지에 대해 알아보겠습니다! 지금까지 이 블로그에서 분석해왔던 악성코드들 중에 가장 어려운 것이라서 두 파트로 나누겠습니다! 샘플은 MalwareBazaar에서 다운로드 가능합니다. https://bazaar.abuse.ch/sample/151fbd6c299e734f7853497bd083abfa29f8c186a9db31dbe330ace2d35660d5/ PE Studio를 확인하자마자 유용한 ..

악성코드 Malware/랜섬웨어 2022. 11. 1. 13:42

저번 블로그는 도둑질하는 너구리 (ㅎㅎ)를 분석했고 오늘은 분석할 악성코드는 다람쥐 워플...? 악성코드 이름들이 참 재밌네요. 제가 제목에서 써놓았던 것처럼 오늘 분석할 악성코드는 Loader입니다. SquirrelWaffle는 이메일 스팸 캠페인으로 유포되며 qakbot하고 cobalt strike를 위한 로더 역할을 하는 것으로 알려져 있습니다. Qakbot 같은 경우에는 자주 랜섬웨어를 위한 Loader역할을 하고 Cobalt Strike는 유명한 C2 framework이며 Threat Actor들이 자주 사용하는 툴입니다. Qakbot와 Cobalt Strike 감염은 자주 랜섬웨어 악성코드 실행으로 초래되니 Loader 악성코드를 잘 이해하고 Loader가 다른 악성코드를 다운로드하기 전에 L..

악성코드 Malware/Dropper-Loader 2022. 8. 2. 15:09

L1 분석가의 말에 따르면 "LD-Web" 서버에 수상한 코드 실행이 발견됐답니다. 로그인을 brute force 시도를 하다가 공격자가 성공적으로 로그인했나 봅니다. 공격자는 성공적으로 로그인한 다음에 시스템에 대한 정보를 얻고, 유저에게 어떤 권한이 있는지 어떤 윈도 그룹의 멤버인지를 확인했던 것 같습니다. 지속성을 확보하기 위하여 reverse_shell.exe라는 파일을 scheduled tasks에 추가했고 그 task는 매일 11시에 실행되는 것을 확인할 수 있습니다. 악성파일은 bitsadmin이라는 명령어로 다운로드됐습니다. 실행 중인 프로세스를 보니 위의 사실을 확인할 수 있습니다. 아울러 공격자가 통제하는 서버에서 reverse_shell.exe가 다운로드된 것도 확인할 수 있습니다. ..

Blue Team 2022. 7. 29. 19:32

SOC 주니어 분석가가 수상한 .war 파일이 발견됐다고 티켓을 올렸습니다. 분석에 넘어가기 전에 위에 있는 사진을 보고 분석에 도움이 될만한 정보가 있는지 봅시다. 1) 공격당한 서버는 tomcat이다. tomcat에 로그인하여 악성 war 파일을 올릴 수 있다. 파일로 원격 코드 실행 가능하다. 2) tomcat 유저 비밀번호 약해서 로그인이 가능했나 보다. 3) tomcat 로그파일부터 분석하자. 공격자가 다양한 명령어를 실행시켰던 것을 확인할 수 있습니다. 아울러 지속성을 확보하기 위해 새로운 유저를 (attacker) Remote Desktop User에 추가했습니다. process들을 보니 mimikatz가 보입니다. 공격자는 다른 유저들의 hash들을 탈취하고자 했을 것입니다. 먼저 tomc..

Blue Team 2022. 7. 23. 20:30

해킹하고 모의 침투가 재밌고 그 분야에 취직하고자 하는 사람들이 많지만 "공격 일자리"보다 "수비 일자리"가 더 많다는 것이 현실입니다. SOC 분석가부터 시작해서, 침해사고대응, 악성코드 분석가 등~ 당연히 해킹에 대한 지식이 도움이 되겠지만 네트워크와 민감한 정보를 보호할 줄 아는 사람에 대한 수요가 더 많습니다. 그러나 인터넷에 "정보보안 연습 방법"이라고 검색해보면 대부분 검색 결과는 "해킹 워게임, 암호학, pwn, 웹해킹, 리버싱 등등" 같은 것만 나옵니다. 그럼 블루팀 연습을 하고 싶다면 어떻게 하면 좋을까요? 요즘 TryHackMe에서 블루팀 콘텐츠 생기긴 했지만 오늘은 Letsdefend.io를 소개하고 싶습니다. 1. 가격 Letsdefend도 TryHackMe하고 HackTheBox와..

Blue Team 2022. 7. 15. 12:43

저번 블로그는 Oski Stealer를 분석해 보았는데 다른 Stealer들도 비슷하게 작동하는가~라는 생각이 들어서 이번에는 다른 Stealer를 분석하고자 하고 오늘 분석할 Stealer는 너구리... RacoonStealer입니다. bleepingcomputer 뉴스에 따르면 우-러 전쟁에서 사망한 개발자때문에 RacoonStealer는 운영을 잠깐 종료했다가 이제 새로운 버전을 개발했다고 합니다. 샘플 다운로드 --> https://bazaar.abuse.ch/sample/022432f770bf0e7c5260100fcde2ec7c49f68716751fd7d8b9e113bf06167e03/ String & Function Encryption RacoonStealer도 Oski Stealer처럼 Ba..

악성코드 Malware/Stealer 2022. 7. 13. 16:01