Backdoor.Win32.Xyligan.ml

개요

 

악성코드 개요

 

Backdoor.Win32.Xyligan.ml 악성코드는 C&C 서버 명렁어를 통해서 DDoS 공격 기능을 수행하는 악성코드이다

 

MD5:8bb52a69615a5643901b7d50bd6a4ab6

생성파일 정보 요약

 

 

<패킹 결과>

 

AhnLab-V3	O
BitDefender(알약)	O
nProtect	O
ViRobot	O

 

<국내 주요 백신 결과>

VirusTotal 점검 내역

https://www.virustotal.com/ko/file/034158398c0e9b28cfd7213df7a8dc15df1e0f2fc2c542f78cec83c7d20df7e9/analysis/1363407449/

안티바이러스	결과	업데이트
Agnitum	-	20130315
AhnLab-V3	Win-Trojan/Agent.70144.KG	20130315
AntiVir	BDS/Agent.vwy	20130315
Antiy-AVL	-	20130315
Avast	Win32:PcClient-ZE [Trj]	20130316
AVG	Generic17.CAAH	20130316
BitDefender	Trojan.Generic.8067751	20130315
ByteHero	-	20130315
CAT-QuickHeal	Win32.Packed.Katusha.n.3	20130315
ClamAV	Trojan.Agent-136588	20130316
Commtouch	W32/Backdoor.T.gen!Eldorado	20130316
Comodo	TrojWare.Win32.Agent.PDSB	20130316
DrWeb	Trojan.DownLoad.46081	20130316
Emsisoft	Trojan.Spy.Agent.ODR (B)	20130316
eSafe	-	20130313
ESET-NOD32	a variant of Win32/Agent.OWQ	20130316
F-Prot	W32/Backdoor2.FXKN	20130316
F-Secure	Trojan.Generic.8067751	20130316
Fortinet	W32/Xyligan.KR!tr.bdr	20130316
GData	Trojan.Generic.8067751	20130315
Ikarus	Backdoor.Win32.Xyligan	20130315
Jiangmin	Backdoor/Xyligan.af	20130315
K7AntiVirus	Backdoor	20130315
Kaspersky	Backdoor.Win32.Xyligan.ml	20130316
Kingsoft	Win32.Hack.PcClient.aq.(kcloud)	20130311
Malwarebytes	Trojan.Agent.cn	20130316
McAfee	BackDoor-CKB.gen.cd	20130316
McAfee-GW-Edition	Heuristic.BehavesLike.Win32.Suspicious.H	20130316
Microsoft	Backdoor:Win32/Xyligan.B	20130316
MicroWorld-eScan	Trojan.Generic.8067751	20130315
NANO-Antivirus	Trojan.Win32.Xyligan.bduuku	20130316
Norman	Nitol.A	20130315
nProtect	Backdoor/W32.Xyligan.58368.B	20130315
Panda	Generic Backdoor	20130315
PCTools	Backdoor.Trojan	20130315
Sophos	Mal/Behav-001	20130316
SUPERAntiSpyware	Trojan.Agent/Gen-FakeAlert	20130316
Symantec	Backdoor.Trojan	20130316
TheHacker	Backdoor/Xyligan.ck	20130315
TotalDefense	Win32/SillyDl.XAI	20130315
TrendMicro	TROJ_GEN.USBH01BCN	20130316
TrendMicro-HouseCall	TROJ_GEN.R4FH1KO	20130316
VBA32	BScope.Trojan.Win32.Inject.2	20130315
VIPRE	BehavesLike.Win32.Malware.ssc (mx-v)	20130316
ViRobot	Backdoor.Win32.Xyligan.58368.D	20130315

 

상세 분석 내용

 

 

[그림 -1] 악성 파일 생성

 

악성코드 실행 시 시스템 디렉토리에 랜덤.exe 악성 파일을 생성한다.

 

 

[그림 -2] 악성코드 서비스 등록

 

악성코드 감염 이후 시스템 재부팅 시에도 악성코드를 동작 시키기 위해서 서비스에 등록 한다. 윈도우 에서는 서비스에 등록된 목록을 부팅 시 자동으로 실행 한다.

 

 

[그림 -3] 감영 PC 정보 탈취

 

악성코드 감염된 사용자 PC의 운영체제 정보 , CPU 정보 , 메모리 정보를 수집 해서 공격자에게 전송 한다.

 

 

[그림 -4] 감염 PC 윈도우 종료 권한 획득

 

C&C 명령어를 통해서 악성코드에 감염된 사용자 PC 시스템에 대해서 종료 권한을 가지고 있으며 악성해커는 감염 PC에 SeShutdownPrivilege 특권을 이용하여 ExitWindowsEx 함수를 호출 해서 종료 및 재부팅을 실행 한다.

 

 

[그림 -5] 공격자에 의해서 외부 파일 다운로드 및 실행

 

URLDownloadToFile 함수를 호출 하고 공격자가 원하는 외부 사이트에서 추가로 파일을 다운로드 한다.

 

 

[그림 -5] 감염 PC 원격 제어

 

악성코드에 감염된 사용자 PC는 원격제어가 가능 해지며 악성 해커는 keybd_event , mouse_event 함수를 호출 해서 공격자는 악성코드에 감염된 사용자 PC에 대해서 마우스를 제어 하거나 키보드를 입력 할 것으로 추정 된다.

 

 

[그림 -6] 감염 PC 화면 캡쳐

 

악성코드는 감염 PC에 대해서 화면 캡쳐 기능을 가지고 있으며 CreateDC 함수를 호출해서 전체 화면 DC를 만들고 CreateCompatibleDC 함수를 호출 해서 만들어진 화면 DC를 호환되는 메모리 DC로 생성 한다 CreateCompatibleBitmap 함수를 호출 해서 비트맵을 생성 한다. 그리고

BitBlt 함수를 호출 해서 메모리 DC에 화면 DC를 복사 한다.

 

 

[그림 -7] 감염 PC 웹캠 감시

 

악성코드의 캠 도청 기능으로 capCreateCaptureWindow 함수를 호출 해서 캡쳐 윈도우를 생성한다. C&C 서버에서 capDrivaerConnec 함수를 호출 하고 캡쳐 드라이브와 캡쳐 윈도우를 연결 한다.

 

 

[그림 -8] CC Attack

 

DDoS 공격 기능 중 CC Attack 공격을 가지고 있으며 HTTP User-Agent 헤더 부분에 Cache-Control: no-store, must-revalidate 의 값을 추가하여 공격 하는 방식이다.

 

 

[그림 -9] DDoS 공격 종류

 

다양한 DDoS 공격 기능이 존재 하며 18가지 이상의 공격을 수행 한다.

 

 

[그림 -10] C&C 서버 소재지

 

C&C 서버의 소재지는 대한민국이다