0xMH

파일k.ps1b01eef4bfd68fa46ae93ade813471e62e8939b6f3d53c94114ffd98c0d5f1fd3 --> VT 업로드 날짜 2024년 09월 23일pow.ps1 751698edee5ec4c46fddaa995f120984dfd551e1f68fc2d0fea7bfe1a8868c83 --> VT 업로드 날짜 2024년 9월 23일dream.vbs24048a45edb373df83bcaee3fd2b0bc2b4bb858fe154919195f48fa0410b73b9 --> VT 업로드 날짜 2024년 09월 23docx.bat6aa86e6c5ca97af149bf22c4deb7b0456727a4c5e67b508c9518e8c8e1b79795 --> VT 업로드 날짜 2024년 09월 23t..

악성코드 Malware/Threat Intelligence 2024. 9. 23. 19:28

자는 사이에  트위터에 새로운 김수키 파일이 업로드 됐다고 글이 올라왔는데 추석이지만 김수키 악성코드는 못 참지... (Malware bazaar 업로드 시간: 2024-09-16 16:34:31 UTC) 1st Stage: LNK 파일많이 봐와서 이제 재미없지만 이번 악성 lnk 파일도 아래와 같이 일반 docx 문서 파일 아이콘으로 위장하며 클릭 시 코드가 실행됩니다.파일의 properties을 보자마자 냄새 나지... mshta, base64... 좋을 리가 없죠. 빠른 분석을 위하여 Eric Zimmerman님의 LECmd라는 툴을 사용했습니다. 실행 시 해당 .lnk 파일이 어떤 악성 행위를 하는지 바로 알 수 있습니다. 아래 코드를 보니 해당 lnk 파일은 C2 서버인 64.49.14[.]18..

악성코드 Malware 2024. 9. 17. 19:38

요즘 Threat Intelligence (위협 인텔리전스)에 관심이 많이 생겨 오늘 블로그에서는 악성코드 분석 단계를 뛰어넘고 바로 "인프라 헌팅"에 들어갑니다. 블로그의 핵심 부분에 들어가기 전에 인프라 헌팅이란 것은 무엇인지 그리고 정보보안 전문가들이 이 주제에 관심을 가져야 하는 이유에 대해서 저의 의견을 말씀드리겠습니다.인프라 헌팅 저 악성코드 분석으로 항상 얻고자 했던 것은 IOC (IP 주소, 도메인 이름, 행동 관련 IOC 등)를 얻으려고 했는데 사실 악성 샘플 분석하는 데에 시간이 꽤 걸릴 뿐만 아니라 높은 기술 지식이 필요합니다. 아울러, 회사에서 관련 일을 하다 보면 타이트한 데드라인이 생길 수도 있고 짧은 시간에 쓸만한 정보를 가져야 와야 할 때가 많아 샘플 하나 시작부터 끝까지 분..

악성코드 Malware/Threat Intelligence 2024. 8. 4. 21:09

모든 회사들은 office product (워드나 엑셀 등)을 사용하기 때문에 많은 해킹 공격들은 악성 워드 파일이나 악성 엑셀부터 시작됩니다. 특히 북한은 악성 워드 파일을 사용하여 대한민국을 공격하는 것으로 알려져 있습니다. 오늘은 간단하게 악성 워프/엑셀 파일을 어떻게 분석할 수 있을지 알아보도록 하고, 분석할 악성 워드 파일은 Emotet입니다. 보시다시피 Macro가 들어가 있는 워드 파일입니다. 여기서부터 바로 의심해야 할 것 같습니다. 만약에 회사 동료나 이메일 보낸 사람의 이메일 주소를 보고 정당한 것 같아도 Macro는 왜 있을까요? 악성코드 분석에 대해 아무것도 몰라도 충분히 방어가 가능합니다. 저는 .exe 파일이든 워드 파일이든 무조건 intezer라는 홈페이지에서 악성코드를 san..

악성코드 Malware/Maldocs 2022. 5. 25. 12:38

북한 해커 조직 구글 크롬 엑스플로잇 CVE-2022-0609 ​ 구글 업데이트가 나왔으니 꼭 업데이트하세요! 구글의 Threat Analysis 팀에 따르면 북한 해커들은 거의 6주 동안 Google Chrome 엑스플로잇 CVE-2022-0609를 사용하여 해킹 공격을 진행했다고 합니다. 이 엑스플로잇 사용했던 그룹이 2개 있으며 "Operation Dream Job" 하고 AppleJeus이라는 이름으로 추적되고 있습니다. 두 그룹들은 똑같은 엑스플로잇을 사용했으나 공격의 목적이 다른다고 하니 다른 북한 해커 조직들도 이 엑스플로잇을 사용했을 지도 모릅니다. ​ Operamtion Dream Job 해킹 캠페인도 마찬가지로 해커들은 가짜 취업 기회가 있다고 주장하는 이메일을 피해자들에게 보냈습니다...

정보보안 뉴스 2022. 5. 20. 07:04

1. APT 뉴스 ​ 1.1 우-러 갈등 업데이트. 중국/러시아/벨라루스 손잡기 구글의 Threat Analysis 그룹에 따르면 FancyBear이라는 이름으로 알려진 APT28는 UkrNet이라는 우크라이나 미디어 기업을 피싱 캠페인으로 공격한다고 밝혔습니다. FancyBear는 러시아의 정보 총국 (GRU)에 속한 해커들인 만큼 능력이 풍부하고 재정 지원이 많습니다. 우크라이나의 기업과 국민들을 공격하는 해커들은 단지 심심한 청소년이 아니라 러시아 정부의 최고의 해커들입니다. 러시아와 친하게 지내는 벨라루스도 자신의 GhostWriter (UNC1151)이라는 이름으로 알려진 해커들을 파견했습니다. FancyBear와 똑같이 피싱 캠페인으로 공격했으며 그 공격의 대상은 우크라이나하고 폴란드 정부와 ..

정보보안 뉴스 2022. 5. 20. 07:03

주의사항: Malware 혹은 악성코드를 분석할 때 원래 쓰는 운영체제를 절대 쓰지 마세요. 항상 악성코드를 위한 랩 환경을 쓰세요!! Vmware, Vbox 등! 안녕하세요! 오늘은 wannacry ransomware 파트 2 할 겁니다! 지난주는 wannacry의 IOC를 분석하고 Ghidra를 잠깐 돌려봤는데, 오늘은 더 자세하게 Ghidra의 도움으로 Reverse Engineering 할 예정입니다! 여러분의 관심을 불러일으키기 위해서 일단 발견된 것들 중에 가장 재밌는 것을 보여 드릴게요. 분석하다가 c.wnry라는 파일을 발견했는데 보니까 TOR 브라우저 주소가 나오네요!!! 그리고 bitcoin 주소까지? 재밌네요. 그냥 재미로 blockchain.com에 주소를 입력하였는데 뭘 발견했냐면..

악성코드 Malware/랜섬웨어 2022. 5. 19. 19:19

주의사항: Malware 혹은 악성코드를 분석할 때 원래 쓰는 운영체제를 절대 쓰지 마세요. 항상 악성코드를 위한 랩 환경을 쓰세요!! Vmware, Vbox 등! 안녕하세요~ 오늘 블로그는 제가 malware를 분석할 때 저의 방법론에 대해 알려 드리면서 Wannacryt이라는 Ransomware 예시로 실습하겠습니다. ​ 1) 랩 환경 ​ 왼쪽 사진: Remnux이라는 VM을 사용합니다. Remnux는 특별히 Reverse-Engineering 하고 Malware 분석을 위한 VM입니다. 여기서는 inetsim이라는 tool을 쓰며 http, smb 같은 네트워크 서비스들을 모방하는 역할을 해줍니다. 오른쪽 사진: flareVM이라는 VM을 사용합니다. flareVM는 악성코드 분석의 Kali Lin..

악성코드 Malware/랜섬웨어 2022. 5. 19. 19:18