2017.03.02 – Daily Security Issue

일일 보안이슈 Dridex 파밍 악성코드 AtomBombing 기법 사용 Magal Bax 는 Dridex 신규 변종(version 4)이 탐지회피를 위해 AtomBombing 기법을 추가한 것으로 밝혀졌다. Dridex 는 매우 잘 알려진 파밍형 악성코드로 인터넷 뱅킹 사이트로 향하는 감염PC 트래픽을 모니터링하는 악성코드이다. 워드 문서에 포함된 매크로로 유포되고, 금융정보를 탈취한다. AtomBombing 기법 번역본 기사원문 9개 유명 암호관리 앱, 비밀번호 유출 가능성…

AtomBombing – Stage3

개요 Stage2 에서 원격 프로세스의 RW 메모리에 기록한 쉘코드를 ROP 를 이용하여 실행하는 과정을 알아봤습니다. 쉘 코드를 인젝션 하고 실행했으니 이제 그만 잊어버릴 법 한데 아직 문제가 남았습니다. 하이젝한 쓰레드의 원래 동작을 복원하지 않으면 어떤 형태의 충돌이 일어날지 알 수 없기에, 해당 쓰레드를 원상복구 시켜줘야 합니다. 전체 소스코드 3단계. Restoration 복구는 어떤 과정으로 이뤄질까요? 일단…

AtomBombing – Stage2

개요 앞서 Stage1 에서는 AtomBoming 인젝션 기법을 위한 사전작업으로 원격 프로세스에 쉘코드를 쓰는 방법을 알아봤습니다. 쉘코드를 쓰긴 했지만 아직 실행을 시키진 못한 상태이죠. 이 글에선 AtomBominb Stage2 Execution 에 대해 알아보겠습니다. 전체 소스코드 2단계. Execution 물론 코드를 실행시키기 위해선 위해선 RWE 메모리가 필요합니다. 일반적으로 메모리 할당과 접근권한 설정을 함께 하기 위해선 VirtualAloocEx() 함수를 이용하지만 여기선…

AtomBombing – Stage1

한 때 모든 위도우즈 버전에서 돌아가는 막을 수 없는 공격이라며 보안업계를 흔들었던 인젝션 기법 아톰보밍(AtomBombing)을 소개하고자 합니다. 이 기법의 요지는 인젝션에 많이 사용되는 CreateRemoteThread() 나 WriteProcessMemory() 없이도 원하는 프로세스에 실행코드를 주입할 수 있다는 점입니다. 따라서 유저모드 API기반으로 인젝션을 탐지했다면, 많은 부분 우회를 할 수 있습니다. 또한 Win10 에서도 잘 동작한다는 점도 이 기법의 유명세에 한…