[악성코드 분석] pmsis.exe (개인정보 유출)

pmsis.exe 악성코드 분석 보고서  

1. 개요

최근 대부분의 일상생활을 PC를 통해 해결 가능하게 됨으로써 사용자가 인지하지 못하는 방법으로 설치되는 악성파일이 급증하고 있다. 이로 인해 PC 의 제어권을 빼앗기거나, PC 사용 정보를 유출하는 등 다수의 위험에 노출되게 된다.

이번에 분석한 pmsis.exe 의 경우 사용자가 인지하지 못하는 사이에 설치되어 PC의 사용 정보를 유출할 뿐 아니라 사용자의 키보드 사용 정보의 유출 위험성이 있어 개인정보의 유출 및 2차 피해의 우려가 있다.

2. 분석 정보

2-1. 파일 정보

구분	내용
파일명	pmsis.exe
파일크기	145,408 byte
진단명	Trojan/W32.Agent_Packed.145408.I
악성동작	파일/프로세스 제어, 키보드 후킹, 개인정보 유출

 

 

2-2. 유포 경로

pmsis.exe 파일은 1월 초부터 다수의 웹 서버 에 업로드 된 것이 확인되었으며, 해당 다운로드 주소는 웹 페이지의 스크립트 동작을 통해 연결되어 다운 및 실행될 것으로 보인다.

49.***.**2.106/pmsis.exe	49.***.**1.100/pmsis.exe	182.***.***.50/pmsis.exe	180.***.**.146/pmsis.exe
49.***.**2.107/pmsis.exe	49.***.**9.108/pmsis.exe	182.***.***.51/pmsis.exe	180.***.**.147/pmsis.exe
49.***.**2.108/pmsis.exe	49.***.**9.178/pmsis.exe	182.***.***.52/pmsis.exe
	49.***.**9.179/pmsis.exe	182.***.***.53/pmsis.exe

[표] pmsis.exe 가 업로드 된 주소

 

pmsis.exe 파일이 업로드 되어있는 다수의 웹 서버 주소는 VPN 서비스를 제공하는 업체가 사용하는 IP 주소로 확인되었다. 해당 업체의 VPN 서비스를 통해 우회 과정을 거침으로써 실제 악성파일이 업로드된 웹 서버의 정보를 숨길 수 있다. 문제는 해당 업체의 VPN 서비스를 이용하여 웹 서비스를 제공하는 업체가 있어 IP 기준으로한 차단이 어렵다는 것이다. 이는 악성파일 유포를 유리하게 한다.

 

2-3. 실행 과정

악성파일 pmsis.exe 는 최초 실행 시 C:\ 하위에 map(임의숫자).dll 파일(이하 map245200.dll)을 생성하고 이를 pmsis.exe 내부에 연결하여 실행시킨다.

map245200.dll 파일은 실행 즉시 C:\Program File\ 하위에 Afjg 폴더를 생성하고 하위에 자신을 복제한 파일 Rrcfwqnhe.pic 를 생성한다. 폴더명과 파일명은 pmsis.exe 파일의 변종에 따라 이름이 임의로 지정되며, 복제된 파일의 확장자는 pic, jpg, bmp, gif 와 같이 이미지 파일 확장자로 지정, 생성한다.(이하 Rrcfwqnhe.pic)

pmsis.exe 실행 후 Prcfwqnhe.pic 파일을 생성하기까지의 동작은 pmsis.exe 내부에서 일어나기 때문에 일반 사용자가 확인하기 어렵다.

[그림] 실행 과정

 

3. 악성 동작

3-1. 서비스 생성

pmsis.exe 는 C:\Program Files\Afjg\ 하위에 Rrcfwqnhe.pic(=map245200.dll) 파일을 생성한 뒤 해당 파일을 윈도우 부팅 시마다 실행하기 위해 서비스를 생성한다.

[그림] 서비스 속성

 

svchost.exe 는 혼자서 구동될 수 없는 DLL 을 실행 및 관리하기 위한 windows 상 프로세스다. 이로 인해 일반 사용자가 해당 서비스의 실제 실행파일 경로 등 관련된 자세한 정보를 쉽게 확인하기 어렵다.

[그림] 동작중인 서비스 정보

[그림] 서비스 레지스트리 정보

 

서비스 생성 및 실행을 완료한 pmsis.exe 는 자신을 삭제한 뒤 종료된다.

 

3-2. C&C 동작

서비스로 동작하는 Rrcfwqnhe.pic 파일은 f***1*.c***s.com (49.***.***.25) 에 네트워크 연결을 시도하며, 해당 도메인의 IP 정보 또한 pmsis.exe 파일이 업로드 되어 유포되는 웹 서버 IP 정보와 동일하게, VPN 서비스를 제공하는 업체의 IP 이다.

연결이 성공할 경우, 전달받은 명령어에 따라 C&C 동작을 수행한다. PC 내의 파일이나 프로세스 제어뿐 아니라 키보드 후킹 동작도 수행할 수 있기 때문에 개인정보 유출 등의 추가적인 위험에 노출된다.

드라이브 정보 전송

실행 프로세스 목록 전송

실행 프로세스 목록의 실행파일 정보 전송

폴더 및 하위 파일 정보 전송

CMD 명령어 실행

파일 실행

프로세스 종료

인터넷 상 파일 다운로드 및 실행

키보드 후킹

키보드 후킹 정보 전송

[표] C&C 악성 동작

 

 

4. 결론

pmsis.exe 파일은 C&C 동작에 따라 감염된 PC 의 제어뿐 아니라 사용자의 키보드 정보를 후킹하여 개인정보 유출 등의 추가적인 위험에 노출되게 한다. 악성파일 유포와 C&C 동작을 위한 연결 IP를 VPN 서비스 업체를 이용해 한 번 우회함으로써 공격자를 추적하기 쉽지 않으므로 이와 같은 악성파일에 감염되지 않도록 사용자의 각별한 주의가 요구된다.

해당 악성파일은 잉카인터넷 안티바이러스 제품 nProtect Anti-Virus Spyware V3.0과 nProtect Anti-Virus/Spyware V4.0에서 진단 및 치료가 가능하다.

[그림] nProtect Anti-Virus/Spyware V4.0 진단 및 치료 화면

 

[그림] nProtect Anti-Virus/Spyware V3.0 진단 및 치료 화면