[악성코드 분석] df.exe (계정정보 탈취)

df.exe 악성코드 분석 보고서

 

1. 분석 정보

df.exe는 출판사 홈페이지 http://www.a****o*k.net/upload_data/temp_files/df/df.exe 에서 발견됐으며 정확한 유포경로는 밝혀지지 않았다.

악성코드 df.exe는 260140.txt(랜덤숫자.txt)의 특정 파일을 임시폴더에 생성하고 실행시킨 후 자신을 삭제한다. 생성된 파일은 확장자명이 txt지만 사실 dll파일이며 *rundll32.exe를 통해 실행된다.

(*rundll32.exe : 자체적으로 실행할 수 없는 dll 파일을 실행할 때 사용되는 윈도우 정상 프로그램) 

260140.txt 는 rundll32.exe를 사용해 함수 xx를 호출한다. 함수 xx는 레지스트리 키 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run 에 반복적으로 자신을 추가한다. 이 레지스트리 키는 윈도우 시작 시 자동으로 시작되는 프로그램을 나타낸다.

 

 

 

 

 

[그림]자동실행 등록

260140.txt는 자신을 실행시킨 프로세스 rundll32.exe의 메모리를 조작해 정상 프로세스처럼 보이는 악성동작을 수행하도록 한다. 이 작업은 파일이 아닌 메모리상에서 이뤄지므로 만약, 다른 프로그램에서 rundll32.exe를 사용하여도 문제없이 동작한다

[그림]변조된 rundll32.exe

이후 정상 프로세스 explorer.exe 및 하위 모든 프로세스에 인젝트되어 게임 관련 특정 사이트와 프로세스에 대하여 계정 정보 탈취를 시도한다.

계정정보 탈취를 위해 사용하는 방법 중엔 API후킹이 있는데, 이는 프로그램 제작을 위해 제공되는 API함수의 명령코드 일부를 수정하여 해당 정상 함수가 동작을 마치기 전에 해커가 원하는 동작을 수행하게 하는 기법이다. 

260140.txt 는 인터넷 통신에 반드시 사용되는 send함수를 후킹하기 때문에, 패치/업데이트로 바뀔 수 있는 게임 프로세스 계정정보 탈취에 실패해도 인터넷으로 전송되는 계정정보를 탈취할 수 있다. 탈취된 계정 정보는 임시폴더안에 ini파일을 이용해 임시 저장되고, 악성 URL로 전송된다.

 

[그림]후킹된 API

함수이름	함수 설명
ReadFile	PC상의 파일 읽기
MultiByteToWideChar	문자 형식 변환
InternetReadFile	인터넷상의 파일 읽기
HttpSendRequest	웹 페이지 요청
Send	네트워크를 통한 데이터 송신
…	…

[표]후킹된 API의 역할

 

[그림]유출된 계정정보

또한, 로그인 시 계정정보는 https 통신을 통해 암호화되어 전송돼야 하지만 df.exe에 감염된 이후엔 정상적인 로그인 통신이라도 계정정보가 암호화되지 않고 전송되는 것을 확인할 수 있다.

 

[그림]암호화되지 않는 패킷

3. 결론

게임 내 자산이 현금으로 거래 가능하게 된 이후 PWS(password stealer)계열의 악성코드는 지속적으로 발전해 왔다. 특히 OTP(One Time Password, 일회용 비밀번호)사용을 하여도 해킹된 사례가 발견되면서 계정에 대한 2, 3중의 안정장치가 필수가 되었다. 

이를 막고자 대부분 게임사이트에선 로그인 시 문자 알림 서비스를 제공하고 있다. 비정상으로 로그인되어도 알림 서비스를 이용한다면 빠른 사실 인지와 비밀번호 변경을 할 수 있어 설령 계정정보가 유출되어도 자산 피해를 최소화 할 수 있을 것이다.

df.exe는 잉카인터넷 nProtect Anti-Virus/Spyware로 진단명 Trojan-PWS/W32.WebGame.76921로 진단 및 치료가 가능하다. 가장 중요한 것은 주기적 백신검사, 업데이트로 악성코드에 감염되지 않게 하고 사이트 별로 다른 아이디와 비밀번호를 사용하여 하나의 계정정보가 유출되더라도 피해가 확산되지 않도록 해야한다.

 

[그림]nProtect Anti-Virus/Spyware 진단 및 치료 화면