개요
악성코드 개요
HEUR:Trojan.Win32.Generic 악성코드는 2012년도 국내에서 백신업체를 통해 접수된 악성코드 피해신고 가운데 가장 많이 피해 신고 접수가 된 악성코드로 온라인게임 계정을 탈취하는 악성 코드다.
MD5:173f9b4471a8317cad98f56e5baad469
생성파일 정보 요약
|
파일 생성 정보
C:\WINDOWS\usp10.dll (악성 파일) |
<패킹 결과>
| AhnLab-V3 |
X |
| BitDefender(알약) |
O |
| nProtect |
X |
| ViRobot |
X |
<국내 주요 백신 결과>
VirusTotal 점검 내역
| Antivirus | Result | Update |
|---|---|---|
| Agnitum | Trojan.PWS.OnLineGames!ylaaAgOvo78 | 20130129 |
| AhnLab-V3 | - | 20130129 |
| AntiVir | TR/Dropper.Gen | 20130129 |
| Antiy-AVL | - | 20130129 |
| Avast | Win32:Patched-AMK [Trj] | 20130129 |
| AVG | PSW.OnlineGames4.AFSF.dropper | 20130129 |
| BitDefender | Gen:Trojan.Generic.ii0@auMUXvjG | 20130129 |
| ByteHero | - | 20130129 |
| CAT-QuickHeal | - | 20130129 |
| ClamAV | - | 20130129 |
| Commtouch | W32/OnlineGames.HQ.gen!Eldorado | 20130129 |
| Comodo | - | 20130129 |
| DrWeb | Trojan.Siggen4.57111 | 20130129 |
| Emsisoft | Gen:Trojan.Generic.ii0@auMUXvjG (B) | 20130129 |
| eSafe | - | 20130127 |
| ESET-NOD32 | a variant of Win32/PSW.OnLineGames.QBT | 20130129 |
| F-Prot | W32/OnlineGames.HQ.gen!Eldorado | 20130129 |
| F-Secure | Gen:Trojan.Generic.ii0@auMUXvjG | 20130129 |
| Fortinet | W32/Onlinegames.QTB!tr | 20130129 |
| GData | Win32:Patched-AMK | 20130129 |
| Ikarus | Trojan-Downloader.Win32.Small | 20130129 |
| Jiangmin | Heur:Trojan/PSW.WOW | 20121221 |
| K7AntiVirus | Riskware | 20130129 |
| Kaspersky | HEUR:Trojan.Win32.Generic | 20130129 |
| Kingsoft | Win32.Troj.Undef.(kcloud) | 20130121 |
| Malwarebytes | Trojan.GamesThief.AL | 20130129 |
| McAfee | Artemis!173F9B4471A8 | 20130129 |
| McAfee-GW-Edition | Heuristic.BehavesLike.Win32.Backdoor.H | 20130129 |
| Microsoft | PWS:Win32/OnLineGames.KQ | 20130129 |
| MicroWorld-eScan | Gen:Trojan.Generic.ii0@auMUXvjG | 20130129 |
| NANO-Antivirus | - | 20130129 |
| Norman | Troj_Generic.HAUJN | 20130129 |
| nProtect | - | 20130129 |
| Panda | Trj/CI.A | 20130129 |
| PCTools | - | 20130129 |
| Rising | Worm.Chiviper!3242 | 20130129 |
| Sophos | - | 20130129 |
| SUPERAntiSpyware | - | 20130129 |
| Symantec | WS.Reputation.1 | 20130129 |
| TheHacker | - | 20130129 |
| TotalDefense | - | 20130129 |
| TrendMicro | TROJ_GEN.RFFCDAS | 20130129 |
| TrendMicro-HouseCall | TROJ_GEN.RFFCDAS | 20130129 |
| VBA32 | BScope.Trojan.SvcHorse.01643 | 20130129 |
| VIPRE | Trojan.Win32.Generic!BT | 20130129 |
| ViRobot | - | 20130129 |
상세 분석 내용
악성코드 파일의 속성값을 살펴보면 안랩이 제작한 파일로 위장 하고 있다
악성코드 실행 시 변조 되는 ws2help.dll 파일은 ws2_32.dll 파일을 보조 하는 역할로 사용 되며 악성코드는 정상 파일 상태인 ws2help.dll 파일을 악성코드로 변경 하고 정상 파일 ws2help.dll 파일을 ws2helpxp.dll 백업하고 ws2helpxp.dll 파일은 정상 파일인 ws2help.dll 시스템 파일 역할을 수행 한다.
| AYAgent.aye AYUpdSrv.aye AYServiceNT.aye AYRTSrv.aye SystemMon.exe SkyMon.exe nsvmon.npc nvc.npc nvcagent.npc V3LTray.exe V3LSvc.exe V3Light.exe NaverAgent.exe sgrun.exe InjectWinSockServiceV3.exe alyac NaverVaccine |
악성코드는 백신 관련 프로세스의 실행을 방해 하기 위해서 백신 프로세스가 존재 시 강제로 종료 시킨다. 강제로 종료 시킨다.
악성코드는 iexplore.exe 프로세스에 악성 ws2help.dll 파일을 인젝션 하며 온라인 게임 계정 정보를 수집하여 외부로 유출한다. ws2helpXP.dll 파일은 ws2help.dll 시스템 파일의 백업 파일로 ws2help.dll 정상 파일의 역할을 수행 한다
악성코드 감염 이후 특정 온라인 게임 계정에 로그인을 시도 시 악성코드에 설정 되어 있는 유출지로 온라인 게임 계정 정보를 탈취 한다.
usp10.dll 악성 파일은 안티 디버깅을 통해서 자신을 보호 하고 있으며 정적 분석을 진행 한다. IDA를 통해서 정적 분석을 진행 하며 디코딩 문자열을 찾았으며 10003493 함수가 디코딩 함수 호출 부분이며 그 이후 10003541 함수를 호출한다. 디코딩 루틴 이후 악성코드 다운로드 주소가 나오며 최종적으로 악성코드 추가 감염 시킨다.
추가 악성코드를 유포하는 서버의 소재지는 홍콩 이다
'악성코드 분석' 카테고리의 다른 글
| Backdoor.Win32.Ircbot.gen (v) (1) | 2013.02.01 |
|---|---|
| VBDloader.O (0) | 2013.01.31 |
| PWS:Win32/OnLineGames.KQ (0) | 2013.01.31 |
| Trojan/Win32.CSon (0) | 2013.01.31 |
| Backdoor/Win32.Yoddos (0) | 2013.01.31 |
