lazarusholic

Everyday is lazarus.dayβ

윈도우 도움말 파일(*.chm)로 유포되는 APT 공격

2022-03-17, Ahnlab
https://asec.ahnlab.com/ko/32685/
#CHM

Contents

윈도우 도움말 파일(*.chm)로 유포되는 APT 공격
ASEC 분석팀은 최근 윈도우 도움말 파일(*.chm) 형식의 악성코드가 국내 사용자를 대상으로 유포되고 있음을 확인하였다. chm 파일은 컴파일 된 HTML Help 파일로 microsoft® html help executable 프로그램을 통해 실행된다.
최근 확인된 chm 파일은 실행 시 추가 악성 파일을 다운로드하며 이 과정에서 정상적인 내용을 담은 창이 실행되어 사용자가 악성 파일 임을 인지하기 어려운 특징이 존재한다.
악성 코드는 아래와 같이 압축 파일 형태로 메일에 첨부되어 유포된다.
첨부된 압축 파일 내부에는 워드 문서와 rar 파일이 포함되어 있다. RAR 파일 내부에는 악성 파일인 Guide.chm이 존재한다.
워드 문서의 경우 암호가 설정되어 있어 문서의 내용을 알 수 없다. 함께 압축된 chm 파일 실행을 유도하는 것으로 추정된다.
Guide.chm 파일 실행 시 다음과 같은 도움말 창이 생성된다. 해당 내용은 https://mage.github.io/mage/ 에서 확인되는 내용과 동일하다.
chm 파일 내부를 확인해보면 MAGE User Guide.html 파일 내에 특정 명령어가 존재한다. 해당 명령어는 shortcut.Click(); 함수를 통해 자동으로 실행된다.
해당 명령어가 실행되면 %USERPROFILE%\Links\ 폴더에 Document.dat과 Document.vbs가 생성된다. Document.dat 에는 Base64로 인코딩 된 데이터가 존재하며 이를 디코딩한 데이터가 …

IoC

https://sktelecom.help/download/select.php
https://nhn-games.com/game03953/gamelist.php?type=1
https://sktelecom.help/download/select.php?type=1
https://want-helper.com/database/db.php?type=1
https://encorpost.com/post/post.php?type=1
https://mage.github.io/mage/