0xMH

저번 블로그는 도둑질하는 너구리 (ㅎㅎ)를 분석했고 오늘은 분석할 악성코드는 다람쥐 워플...? 악성코드 이름들이 참 재밌네요. 제가 제목에서 써놓았던 것처럼 오늘 분석할 악성코드는 Loader입니다. SquirrelWaffle는 이메일 스팸 캠페인으로 유포되며 qakbot하고 cobalt strike를 위한 로더 역할을 하는 것으로 알려져 있습니다. Qakbot 같은 경우에는 자주 랜섬웨어를 위한 Loader역할을 하고 Cobalt Strike는 유명한 C2 framework이며 Threat Actor들이 자주 사용하는 툴입니다. Qakbot와 Cobalt Strike 감염은 자주 랜섬웨어 악성코드 실행으로 초래되니 Loader 악성코드를 잘 이해하고 Loader가 다른 악성코드를 다운로드하기 전에 L..

악성코드 Malware/Dropper-Loader 2022. 8. 2. 15:09

저번 블로그는 Oski Stealer를 분석해 보았는데 다른 Stealer들도 비슷하게 작동하는가~라는 생각이 들어서 이번에는 다른 Stealer를 분석하고자 하고 오늘 분석할 Stealer는 너구리... RacoonStealer입니다. bleepingcomputer 뉴스에 따르면 우-러 전쟁에서 사망한 개발자때문에 RacoonStealer는 운영을 잠깐 종료했다가 이제 새로운 버전을 개발했다고 합니다. 샘플 다운로드 --> https://bazaar.abuse.ch/sample/022432f770bf0e7c5260100fcde2ec7c49f68716751fd7d8b9e113bf06167e03/ String & Function Encryption RacoonStealer도 Oski Stealer처럼 Ba..

악성코드 Malware/Stealer 2022. 7. 13. 16:01

오늘은 다크웹하고 러시아 포럼들에 판매되는 Oski Stealer를 분석하겠습니다. Oski Stealer는 피해자의 Crypto Wallet (암호화폐 지갑)하고 브라우저 계정 정보를 탈취합니다. 그중에 Cookies하고 신용카드에 대한 정보가 하나입니다. 본 파일은 여기서 확인하실 수 있습니다. https://www.virustotal.com/gui/file/aa33731aa48e2ea6d1eaab7c425f9001182c0e73e0226eb01145d6b78d7cb9eb 샘플은 packer를 사용하는데 unpacme라는 홈페이지로 쉽게 unpac할 수 있습니다. Unpac된 샘플 hash는:fef1b5c7c365e85c0d0cfb58674844bd12acfc5298f9ffc5722b832fc9a54..

악성코드 Malware/Stealer 2022. 7. 1. 18:10

안녕하세요~ 오늘은 DiceLoader라는 악성코드를 분석하면서 제가 주로 악성코드 분석을 공부하는 유튜브 채널에 대해 얘기하고 싶습니다. 정보보안 강의들은 (OSCP, OSEP, SanS 강의 등) 비싸지만 악성코드 분석이 더욱 좁은 분야라서 악성코드 분석에 대한 강의들이 더 비싸겠지? 라는 생각을 했으나 유튜브에서 OALabs라는 채널을 발견했습니다. 악성코드 분석에 대해 아시는 분들은 알고 계시겠지만 OALabs는 훌륭한 unpacme하고 hashdb라는 IDA pro plugin을 만드신 분이십니다. 그것뿐만 아니라 Twitch에서 일주일에 2번 정도 악성코드 분석을 스트리밍도 합니다. 스트림의 vod을 다시 보기 위해 patreon에 올리는데 patreon는 구독하여 한 달에 한 3만원 내야 하..

악성코드 Malware/Dropper-Loader 2022. 6. 22. 15:40

!!악성코드이기 때문에 다운로드하셔서 절대 실행시키지 마세요. 무조건 VM을 사용하세요!! Malware bazaar에서 저처럼 초보자에게 분석하기가 쉬운 악성코드가 뭐가 있는지 보다가 RegretLocker를 발견해서 오늘은 RegretLocker 랜섬웨어를 분석할 것입니다. 어려운 obfuscation이 전혀 업고 개발자게 남겨둔 strings가 많으므로 분석이 그렇게 어렵지는 않은 것 같습니다. 샘플을 여기서 다운로드가 가능합니다: https://bazaar.abuse.ch/sample/a188e147ba147455ce5e3a6eb8ac1a46bdd58588de7af53d4ad542c6986491f4/ MalwareBazaar | SHA256 a188e147ba147455ce5e3a6eb8ac1a4..

악성코드 Malware/랜섬웨어 2022. 6. 17. 14:49

오늘도 정보보안 새로운 뉴스가 뭐가 있나~ 보려고 트위터를 열었는데 새로운 워드 0-day RCE 취약점이 있다고 하더라고요. 무엇인지 한번 알아보도록 해보았습니다. 미리 결과에 대하 말씀 드리자면, 유저는 악성 워드 파일을 열기만 하면 코드가 실행되고, Defender를 우회할 수 있습니다. 5월 27일에 nao_sec이라는 (https://twitter.com/nao_sec/status/1530196847679401984) 분께서 VirusTotal에 업로드된 파일을 공유하셨는데, 그 파일은 "ms-msdt" 활용하여 Powershell 코드를 실행시킵니다. Malware Bazaar 다운로드 링크: https://bazaar.abuse.ch/sample/4a24048f81afbe9fb62e7a6a4..

악성코드 Malware 2022. 5. 30. 20:33

여러분 다 들어보셨겠지만 과대망상에 빠진 깡패 푸틴이 국제법을 어기고 결국에 우크라이나를 침공했고 또 한 번 소련을 부활하고 싶다는 자기의 악마 같은 모습을 드러냈습니다. 아직까지도 가만히 있는 미국과 유럽을 보니 더 화가 납니다. 바이든 대통령이 내린 제재와 유럽연합의 대응이 한심하기 짝이 없습니다. 정치외교학을 전공하는 사람으로서 하고 싶은 말을 많으나 이 블로그는 새로 파견된 악성코드만 보겠습니다. 러시아와 우크라이나 역사에 관심 있으신 분은 제 블로고를 한번 읽어보시길 바랍니다 (https://blog.naver.com/maxhin/222623957048) 이 악성코드도 WhisperGate처럼 wiper이므로 컴퓨터를 파괴하는 것이 목표입니다. (https://blog.naver.com/maxh..

악성코드 Malware/Wiper 2022. 5. 27. 09:16

모든 회사들은 office product (워드나 엑셀 등)을 사용하기 때문에 많은 해킹 공격들은 악성 워드 파일이나 악성 엑셀부터 시작됩니다. 특히 북한은 악성 워드 파일을 사용하여 대한민국을 공격하는 것으로 알려져 있습니다. 오늘은 간단하게 악성 워프/엑셀 파일을 어떻게 분석할 수 있을지 알아보도록 하고, 분석할 악성 워드 파일은 Emotet입니다. 보시다시피 Macro가 들어가 있는 워드 파일입니다. 여기서부터 바로 의심해야 할 것 같습니다. 만약에 회사 동료나 이메일 보낸 사람의 이메일 주소를 보고 정당한 것 같아도 Macro는 왜 있을까요? 악성코드 분석에 대해 아무것도 몰라도 충분히 방어가 가능합니다. 저는 .exe 파일이든 워드 파일이든 무조건 intezer라는 홈페이지에서 악성코드를 san..

악성코드 Malware/Maldocs 2022. 5. 25. 12:38