lazarusholic

2016-02-23, SandsLab
http://story.malwares.com/75
#INITROY

I사 인증서 유출 관련 악성코드
- 보안 정보/악성코드 관련 정보
- 2016. 2. 23. 15:57
1. 개요
최근 금융권과 공공기관에 보안솔루션을 제공하는 보안업체의 디지털 서명이 유출되는 일이 발생했다. 디지털 서명은 프로그램 신뢰와 안전성을 입증하는 역할을 수행하는데 이러한 신뢰관계를 이용하기 위해 해커는 보안업체의 디지털 서명을 유출/악용한 것이다. 특히 해당 보안업체의 보안솔루션은 금융권 및 공공기관에서 많이 사용하고 있다는 점, 과거 3.20 사이버테러와 유사한 형태를 띈다는 점 그리고 상당수의 사용자가 무의식적으로 다운받았을 가능성이 크다는 점에서 매우 심각한 사안이다.
과연 보안업체의 디지털 서명까지 악용한 악성코드의 목적이 무엇인지 살펴보자.
관련 기사 보러가기 - [단독] 제2의 3.20 재현 우려.. 금융권 보안솔루션 공급사 디지털서명 해킹 (2016.02.16)
※ 디지털 서명 : 인증서가 인증기관에서 발급된 것임을 증명하기 위해, 디지털 서명을 사용하고 있다. 디지털 서명은 종종
전자서명(서명을 전하기 위해 모든 전자 데이터를 가리키는 상위어의 개념)을 구현하기 위해 사용되기도
한다.
2. 전체 동작
< Figure 1. 악성코드 동작 시나리오 >
유출된 인증서로 서명된 악성코드는 외부 서버에 접근해 추가 악성코드를 다운받아 실행하는 다운로더이다. 현재 해당 서버로부터의 파일 다운로드는 이루어지지 않는 상태이다.
< Figure 2. 유출된 …

165.194.123.67
192.99.223.115
594FE5E2274A7944B461DAE3919ADB25B202488596F855932BE1209CB0D9CA0B
59A0C59F192997C2C6741F1DE3BB1CEE62C055EDE2AD5C0E8FEA41C7CA176519
5AF3A8EDF2D12312DA2853B4A9D7436FE2C0433EB7BAB6293F2E15E029E47988
BBB0E5C004EC6A552EE5DCA67FED0F939E791BE836D4D289B3028F1BB1F6AED7
E7322CFE8EB767B2A96A24E1DE38184C8588C5BDF9A7D05902B17C7B55B0D308