0xMH

모든 회사들은 office product (워드나 엑셀 등)을 사용하기 때문에 많은 해킹 공격들은 악성 워드 파일이나 악성 엑셀부터 시작됩니다. 특히 북한은 악성 워드 파일을 사용하여 대한민국을 공격하는 것으로 알려져 있습니다. 오늘은 간단하게 악성 워프/엑셀 파일을 어떻게 분석할 수 있을지 알아보도록 하고, 분석할 악성 워드 파일은 Emotet입니다. 보시다시피 Macro가 들어가 있는 워드 파일입니다. 여기서부터 바로 의심해야 할 것 같습니다. 만약에 회사 동료나 이메일 보낸 사람의 이메일 주소를 보고 정당한 것 같아도 Macro는 왜 있을까요? 악성코드 분석에 대해 아무것도 몰라도 충분히 방어가 가능합니다. 저는 .exe 파일이든 워드 파일이든 무조건 intezer라는 홈페이지에서 악성코드를 san..

악성코드 Malware/Maldocs 2022. 5. 25. 12:38

안녕하세요~ 오랜만에 블로그를 올립니다 ㅎㅎ 대학원 일때문에 블로그를 못 썼습니다 ㅠㅠ 저의 블로그 통계를 보니 모의 침투가 가장 인기가 많은 것 같기 때문에 오늘도 모의 침투에 대한 블로그를 쓰기로 했습니다. ​ 오늘은 HackTheBox의 Easy/Medium인 머신 "GoodGames"를 풀어 보겠습니다. 리눅스 환경이고, SQL Injection을 통해 Administrator의 비밀번호 해시를 받고 뚫은 다음에 로그인하고, SSTI 취약점을 악용하고 shell를 받습니다. 권한상승은 home directory에 mount되어 있다는 사실 활용하여 /bin/bash binary로 root shell을 얻을 것입니다. ​ 먼저 nmap을 돌려 보겠습니다. 보시다시피 웹서버밖에 없습니다. 홈페이지에 ..

HackTheBox 2022. 5. 20. 07:11

안녕하세요~ 오늘은 오랜만에 모의 침투를 할 것입니다. 오늘의 타깃은 Windows 시스템이고 난이도는 Insane입니다. Sizzle는 단지 CTF뿐만 아니라 현실적인 윈도우 환경입니다. SMB Share에 연결해 보니, 우리가 write할 수 있는 Share를 발견하고, Responder하고 악성 .scf 파일을 통해 유저의 NetNTLM hash를 받고, 홈페이지의 certificate 기능으로 cert를 만들어 WinRM 도움으로 foothold를 얻습니다. 권한상승은 kerberoast으로 다른 유저의 hash를 받고 admin shell은 DCSync 공격을 통해 받습니다. ​ Enumeration nmap을 돌려보니 ftp, smb 그리고 80포트에 있는 웹서버가 가장 먼저 눈에 들어옵니다...

HackTheBox 2022. 5. 20. 07:09

제가 이 블로그를 시작했을 때 "정보 보안을 배우려면 가장 빠른 방법"에 대한 블로그를 쓰면서 TryHackMe라는 정보 보안 공부 홈페이지를 소개해 드렸는데, 오늘은 오랜만에 TryHackMe 실습 룸을 풀어 보겠습니다. 모의 침투 말고 오늘은 침대 사고 대응! ​ 위에 있는 사진을 보시면 오늘은 Splunk에 대해서 배울 것이라는 것을 아실 수 있습니다. Splunk는 블루팀이라면 Splunk 없이 못 살 정도로 중요한 소프트웨어입니다. 스플렁크가 무엇인지 간단하게 설명해 드리자면: IT 인프라 및 비즈니스를 구성하는 웹 사이트, 애플리케이션, 센서, 장치 등에서 수집된 기계 생성 데이터를 검색, 분석 및 시각화하는 소프트웨어 플랫폼입니다. ​ 제가 쓴 TryHackme 블로그를 읽으신 분들은 아시겠..

Blue Team 2022. 5. 20. 07:06

북한 해커 조직 구글 크롬 엑스플로잇 CVE-2022-0609 ​ 구글 업데이트가 나왔으니 꼭 업데이트하세요! 구글의 Threat Analysis 팀에 따르면 북한 해커들은 거의 6주 동안 Google Chrome 엑스플로잇 CVE-2022-0609를 사용하여 해킹 공격을 진행했다고 합니다. 이 엑스플로잇 사용했던 그룹이 2개 있으며 "Operation Dream Job" 하고 AppleJeus이라는 이름으로 추적되고 있습니다. 두 그룹들은 똑같은 엑스플로잇을 사용했으나 공격의 목적이 다른다고 하니 다른 북한 해커 조직들도 이 엑스플로잇을 사용했을 지도 모릅니다. ​ Operamtion Dream Job 해킹 캠페인도 마찬가지로 해커들은 가짜 취업 기회가 있다고 주장하는 이메일을 피해자들에게 보냈습니다...

정보보안 뉴스 2022. 5. 20. 07:04

1. APT 뉴스 ​ 1.1 우-러 갈등 업데이트. 중국/러시아/벨라루스 손잡기 구글의 Threat Analysis 그룹에 따르면 FancyBear이라는 이름으로 알려진 APT28는 UkrNet이라는 우크라이나 미디어 기업을 피싱 캠페인으로 공격한다고 밝혔습니다. FancyBear는 러시아의 정보 총국 (GRU)에 속한 해커들인 만큼 능력이 풍부하고 재정 지원이 많습니다. 우크라이나의 기업과 국민들을 공격하는 해커들은 단지 심심한 청소년이 아니라 러시아 정부의 최고의 해커들입니다. 러시아와 친하게 지내는 벨라루스도 자신의 GhostWriter (UNC1151)이라는 이름으로 알려진 해커들을 파견했습니다. FancyBear와 똑같이 피싱 캠페인으로 공격했으며 그 공격의 대상은 우크라이나하고 폴란드 정부와 ..

정보보안 뉴스 2022. 5. 20. 07:03

안녕하세요~ 앞으로는 1주일 동안 있었던 정보 보안 뉴스에 대해서도 글을 써보고자 합니다! 뉴스뿐만 아니라 공부하기에 좋은 강의와 블로그도 공유합니다! ​ ​ 1. 우크라이나 러시아 갈등 우크라이나에서 무슨 일이 일어나고 있는지를 모르는 사람이 없겠죠? 없기 때문에 해킹에 대한 뉴스에 대해서만 한번 알아봅시다. ​ 1.1 악성코드 파견 러시아는 우크라이나 정부와 기업들을 공격하기 위해서 wiper 악성코드 몇 개를 파견했습니다. 첫 번째 공격은 WhisperGate이라는 악성코도이었습니다. https://blog.naver.com/maxhin/222629127097 몇 주 전에 러시아가 우크라이나는 침공하면서 또 wiper 악성코드를 파견했습니다. https://blog.naver.com/maxhin/2..

정보보안 뉴스 2022. 5. 20. 07:02

안녕하세요~ 오늘은 AsyncRAT이라는 Remote Access Trojan/원격 접근 트로이 목마를 분석할 것입니다. 제가 원래 악성코드 혹은 악성 프로그램을 다운로드하는 홈페이지에 AsyncRAT가 많길래 한번 분석해 봤는데 C#로 만든 프로그램이라 생각보다 분석이 쉽습니다. ​ RAT 같은 tool들은 말 그대로 피해자의 컴퓨터를 원격으로 컨트롤할 수 있고, keylogger를 파견할 수 있으며, 화면도 캡처도 가능하고, 웹캠 컨트롤까지 가능합니다. 분석에 들어갑시다 ​ ​ 1) Anti Analysis AsyncRAT는 피해 시스템의 방어 장치를 우회하기 위해 여러 가지의 기능이 있습니다. ​ 흔하게 보일 수 있는 "CheckRemoteDebuggerPresent"이라는 WinAPI call이 ..

악성코드 Malware/RAT 2022. 5. 20. 06:59