Trojan.Win32.Spy

개요

악성코드 개요

Trojan.Win32.Spy 악성코드는 감염 PC에 대해서 원격제어,파일 탐색 기능,웹캠도청,사운드 녹음 기능등 다양한 악성 모듈을 탑재한 악성코드다

MD5:502da65d832e53443b9831fe13b11c74

생성파일 정보 요약

<패킹 결과>

AhnLab-V3	O
BitDefender(알약)	O
nProtect	X
ViRobot	X

<국내 주요 백신 결과>

VirusTotal 점검 내역

https://www.virustotal.com/file/f88e03090b1e5f624d2941f0254499f1104a7b90ae6e6ad2ffd1297cda30980b/analysis/1360442516/

Antivirus	Result	Update
Agnitum	Suspicious!SA	20130209
AhnLab-V3	Trojan/Win32.CSon	20130209
AntiVir	TR/Dropper.Gen	20130209
Antiy-AVL	-	20130209
Avast	-	20130209
AVG	Generic_r.ABW	20130209
BitDefender	Gen:Trojan.Heur.Uy1auKrxIopb	20130209
ByteHero	-	20130207
CAT-QuickHeal	(Suspicious) - DNAScan	20130208
ClamAV	-	20130209
Commtouch	-	20130209
Comodo	TrojWare.Win32.GameThief.Magania.~BPM	20130209
DrWeb	-	20130209
Emsisoft	Gen:Trojan.Heur.Uy1auKrxIopb (B)	20130209
eSafe	-	20130206
ESET-NOD32	-	20130209
F-Prot	-	20130201
F-Secure	Gen:Trojan.Heur.Uy1auKrxIopb	20130209
Fortinet	-	20130209
GData	Gen:Trojan.Heur.Uy1auKrxIopb	20130209
Ikarus	Trojan.Win32.Spy	20130209
Jiangmin	-	20130209
K7AntiVirus	Trojan	20130209
Kaspersky	UDS:DangerousObject.Multi.Generic	20130209
Kingsoft	Win32.Troj.Undef.(kcloud)	20130204
Malwarebytes	Trojan.Dropper	20130209
McAfee	-	20130209
McAfee-GW-Edition	Heuristic.BehavesLike.Win32.Suspicious-BAY.G	20130209
Microsoft	Backdoor:Win32/PcClient.ZR	20130209
MicroWorld-eScan	Gen:Trojan.Heur.Uy1auKrxIopb	20130209
NANO-Antivirus	-	20130209
Norman	-	20130209
nProtect	-	20130209
Panda	Trj/Thed.A	20130209
PCTools	-	20130209
Rising	-	20130205
Sophos	-	20130209
SUPERAntiSpyware	Trojan.Agent/Gen-MSFake	20130209
Symantec	-	20130209
TheHacker	-	20130208
TotalDefense	-	20130208
TrendMicro	-	20130209
TrendMicro-HouseCall	-	20130209
VBA32	-	20130208
VIPRE	Trojan.Win32.Generic!BT	20130209
ViRobot	-	20130209

상세 분석 내용

더미다로 악성코드를 보호 하고 있으며 행동분석에 필요한 모니터링툴을 실행 후 악성코드를 실행시 에러 메세지를 호출하면서 악성코드 실행을 중지 한다.

waveInOpen 함수를 호출 해서 사운드 디바이스를 열고 waveInPrepareHeader 함수와waveInAddBuffer 함수를 호출 해서 사운드에 필요한 버퍼의 헤더를 초기화하고 waveInStart 함수를 호출 해서 녹음을 시작한다.

Application,Security,System 이벤트 로그를 삭제 한다.
OpenEventLog 함수를사용해서 해당 로그에 대한 핸들을 받아오고 Application, Security, System에 대한 이벤트 로그 핸들을 받고 ClearEventLog 함수를 통해서 로그 기록을 삭제 한다

FindFirstFile 함수를 이용해 파일 검색을 시작 하고 그리고 검색에 필요한 정보를 만들고 검색 핸들을 리턴 한다. 이어지는 검색은 FindNextFile 함수가 담당 하며 만약 악성 해커가 디렉토리나 파일을 삭제 할려고 한다면 DeleteFile 함수와 RemoveDirectory 함수를 이용해서 원하는 파일,디렉토리를 삭제 한다.

키보드 후킹을 통해서 키보드 내용을 C:\WINDOWS\system32\syslog.dat 파일로 저장하고 syslog.dat 파일은 암호화를 통해서 저장된다

악성코드 분석 도중 악성코드 감염 PC에서 C&C 서버에게 SYN패킷을 보낸 후 연결을 요청한 상태에서 ESTABLISHED 연결 되어 있는 상태로 나오며 감염 PC에 대해서 악성행위를 시작 할 것으로 추정 된다

C&C 서버의 소재지는 대한민국 이다