Windows 레지스트리 내에 숨는 악성코드 발견

윈도우 정상 기능 이용해 스크립트 작성...탐지 어려워

[보안뉴스 민세아] Windows 레지스트리에 악성코드를 숨겨 백신 탐지를 우회하고 추가적인 악성코드를 다운로드 및 시스템 정보를 탈취하는 악성코드가 발견됐다.

이번에 발견된 악성코드는 윈도우의 정상 기능인 Windows PowerShell을 이용해 스크립트를 작성했기 때문에 탐지에 어려움이 있었고, C&C 서버와의 통신을 숨기기 위해 변조된 네트워크 트래픽을 발생시키며, Tor 네트워크를 이용하는 것으로 분석됐다.

Windows PowerShell을 이용해 스크립트를 작성하고 ZwSetValueKey API를 사용해 자동시작 항목에 레지스트리 값을 생성한다. 등록된 레지스트리의 Data값은 인코딩돼 있는 파일이다.

레지스트리의 Data값에 복호 과정을 거치면 MZ파일이 생성되는데, 해당 파일은 DLL 파일로 정상 DLLHOST.EXE 프로세스에 인젝션된다. 인젝션된 DLL은 다른 악성코드를 추가적으로 다운로드하고 보안시스템을 무력화한 후 시스템 정보를 탈취한다. 탈취하는 정보는 아래와 같다.

- Operating system and architecture

- UUID

- Malware version

- Build date

탈취한 정보는 아래와 같은 형식으로 공격자에게 전송됨으로써 공격자가 시스템 정보를 획득한다.

- http://178.89.159.34/q/type={status: start, install, exist, cmd or low}&version=1.0&aid={id}&builddate=%s&id={iuuid}&os={OS version}_{OS architecture}

이와 관련한 보다 자세한 사항은 한국인터넷진흥원 인터넷침해대응센터 웹사이트 또는 아래의 출처를 참고하면 된다.

[출처]

http://blog.trendmicro.com/trendlabs-security-intelligence/poweliks-malware-hides-in-windows-registry/

[민세아 기자(boan5@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)