Windows 레지스트리 내에 숨는 악성코드 발견

윈도우 정상 기능 이용해 스크립트 작성...탐지 어려워

[보안뉴스 민세아] Windows 레지스트리에 악성코드를 숨겨 백신 탐지를 우회하고 추가적인 악성코드를 다운로드 및 시스템 정보를 탈취하는 악성코드가 발견됐다.

이번에 발견된 악성코드는 윈도우의 정상 기능인 Windows PowerShell을 이용해 스크립트를 작성했기 때문에 탐지에 어려움이 있었고, C&C 서버와의 통신을 숨기기 위해 변조된 네트워크 트래픽을 발생시키며, Tor 네트워크를 이용하는 것으로 분석됐다.

Windows PowerShell을 이용해 스크립트를 작성하고 ZwSetValueKey API를 사용해 자동시작 항목에 레지스트리 값을 생성한다. 등록된 레지스트리의 Data값은 인코딩돼 있는 파일이다.

레지스트리의 Data값에 복호 과정을 거치면 MZ파일이 생성되는데, 해당 파일은 DLL 파일로 정상 DLLHOST.EXE 프로세스에 인젝션된다. 인젝션된 DLL은 다른 악성코드를 추가적으로 다운로드하고 보안시스템을 무력화한 후 시스템 정보를 탈취한다. 탈취하는 정보는 아래와 같다.

- Operating system and architecture

- UUID

- Malware version

- Build date

탈취한 정보는 아래와 같은 형식으로 공격자에게 전송됨으로써 공격자가 시스템 정보를 획득한다.

- http://178.89.159.34/q/type={status: start, install, exist, cmd or low}&version=1.0&aid={id}&builddate=%s&id={iuuid}&os={OS version}_{OS architecture}

이와 관련한 보다 자세한 사항은 한국인터넷진흥원 인터넷침해대응센터 웹사이트 또는 아래의 출처를 참고하면 된다.

[출처]

http://blog.trendmicro.com/trendlabs-security-intelligence/poweliks-malware-hides-in-windows-registry/

[민세아 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)