쉘코드 레벨의 x86/x64 아키텍처 구분방법

개요 일반적으로 x86 과 x64용 프로세스는 소스코드단계부터 차이가 납니다. 사용하는 API나 레지스터도 그렇구요. 그렇다면 익스플로잇 등 쉘코드가 바로 인젝션되어 돌아가는 특수한 상황에서 CPU 아키텍처 별 호환성을 갖게 코딩할 수 있을까요? DOUBLEPULSAR 공격툴 분석 중 이와 관련해 재밌는 부분을 찾았습니다. 출처는 여기입니다. 들어가기 앞서 아래 스크린샷은 부분은 최근 ShadowBrokers 의 문건 공개로 핫 이슈인 Vault 7…

Details

2017.04.24 – Daily Security Issue

일일 보안이슈 위키리크스 삼성 스마트 TV 해킹도구 공개 위키리크스는 CIA 가 사용한 해킹툴 중 일부를 추가 공개했다. 이번엔 삼성 스마트 TV 일부 기종의 내장 마이크를 통해 오디오를 캡쳐할 수 있게 개발된 도구에 관한 정보다. Weeping Angel 이라 명명된 이 도구는 영국 정보기관 MI5 가 개발했다고 전해지는 도구의 확장(?) 프로그램. 실제로 두 기관은 이 프로젝트에 협을…

Details

2017.04.21 – Daily Security Issue

일일 보안이슈 운전면허증 정보 훔치는 RawPOS 악성코드 Trend Micro 는 POS 기기의 RAM scraper 형태로 동작해 존재하는 운전면허증 정보를 훔치는 RawPOS 를 발견했다고 블로그를 통해 밝혔다. RawPOS 는 가장 오래된 POS 악성코드중 하나, 적어도 2008년부터 활동한것으로 알려져있다. 기사원문 크롬, 파이어폭스 Punycode 패치 준비중 크롬과 파이어폭스 브라우저는 punycode 를 이용한 피싱을 방지하기위해 몇몇의 보호기능을 추가하려 준비중이다.…

Details

2017.04.20 – Daily Security Issue

일일 보안이슈 NSA 공개 해킹 툴, Eternalromance 툴 분석 360 Security, 중문 VirtualBox: virtio-net 를 통한 guest-to-host out-of-bounds 쓰기 가상 virtio 네트워크 어댑터(기본설정 아님)를 사용한 VBox VM 이 노출. 게스트 커널이 trusted userland host process에 데이터를 쓸 수 있는 취약점. CVE-2017-3575. POC VLC Media Player 2.2.3, DecodeAdpcmImaQT BOF POC, 시연영상 MS Windows taskschd.msc Local SYSTEM…

Details

2017.04.19 – Daily Security Issue

일일 보안이슈 러시아출신 해커 RaaS 다크웹에 저렴하게 판매중 Karmen 이라 명명된 이 RaaS 변종은 교육용 랜섬웨어 Hidden Tear를 기반으로 제작됐다. 러시아어를 구사하는 DevBitox 란 유저는 175$에 이 를 판매중이다. Karmen은 웹기반 대쉬보드를 제공한다. 또한 가상환경이나 분석툴 감지시 디크립터를 삭제하는 특징이 있다. 자세한 내용은 블로그 와 기사원문 참고 Edge 브라우저의 세 가지 보안 취약점 첫 번째…

Details

2017.04.18 – Daily Security Issue

일일 보안이슈 ShadowBrokers 공개 툴 MS 사전 패치완료 첫 공개당시엔 가장 강력한 공격툴로 생각했지만, 분석결과 이 툴(Eternalromance)이 공략하는 대부분의 취약점은 이미 패치된 상태로 밝혀졌다. MSRC(Microsoft Security Responce Center)는 블로그를 통해 공격도구와, 그에 해당하는 패치된 취약점 식별번호를 공개했다. 하지만 Hacker House 의 보안연구원 Matthew Hickey 은 최신 패치가 완료된 Win 2008 R2 SP1 (x64)에서 FuzzBunch 툴로…

Details

INT 2E 를 활용한 Native API 호출방법

개요 비교적 최근 있었던 샘플을 분석하며 정리한 내용입니다. 고객사로 부터 악성코드가 접수됐는데, 실행이 시간이 너무 오래 걸려, 자동분석 한계시간을 초과해 분석되지 않는 이슈가 있는 샘플이었습니다. 샘플은 THOR 랜섬웨어, Locky 랜섬웨어의 변종이고 출시된진 수개월이 지났지만 여전히 활발히 활동하는 랜섬웨어 중 하나입니다. Malwares.com 보고서 에서 이번 분석에 사용한 샘플의 해쉬 및 기타 정보를 확인할 수 있습니다. 이런…

Details

2017.04.17 – Daily Security Issue

일일 보안이슈 NSA 해킹 의혹 해커조직, MS 윈도우 공격도구 공개 파장 이번에 공개된 윈도우 공격도구를 활용할 경우 관련 기술만 어느 정도 갖추고 있어도 윈도우의 모든 운영체제를 장악할 수 있을 정도로 심각하다고 우려했다.이번에 셰도우 브로커스가 공개한 파일에는 공격도구를 다운 받을 수 있는 링크와 패스워드뿐만 아니라 다수의 윈도우 해킹도구와 SWIFT 관련 은행의 HOST, IP 정보, DB 내용을…

Details

2017.04.14 – Daily Security Issue

일일 보안이슈 ‘인터파크 개인정보 유출관련 사과공지 메일’ 위장한 랜섬웨어 등장 인터파크 사칭해 고객의 개인정보 침해사고가 일어났다며 이메일 보내/북한발 의심받는 비너스락커 랜섬웨어…첨부파일 확인하면 바로 감염돼. 2,000만 고객정보 유출 전적 인터파크…놀란 가입자 노린 일종의 사회공학적 해킹. 보안뉴스, 자체분석보고서, 자체복호화도구 POC 구글 플레이스토어, 세계 420여개 뱅킹앱 목표로하는 악성앱 발견 Funny Videos 2017 로 위장한 악명높은 뱅킹 악성코드의 변종.…

Details

2017.04.13 – Daily Security Issue

일일 보안이슈 해킹된 라우터, 워드프레스 공격에 이용 워드프레스 보안팀 Wordfence는 지난 화요일 수만대의 취약한 홈 라우터(공유기)가 해킹돼 워드프레스 웹사이트 대상 해킹공격에 악용된다고 발표했다. 지난달, 워드프레스사는 다수의 고객 웹사이트에 대한 공격에서 알제리아에서 시작된 공격이 현저히 증가한것을 관찰했다. 보고서에 따르면 알제리아 텔레콤 사 소유의 만여대 이상의 IP주소가 이 공격에 이용됐다고 한다. 기사원문 악성워드문서로 유포되는 신종 Mole Ransomware…

Details