악성코드와 하율파파

/etc/xinetd.d/backdoor를 확인해 보면 finger라는 서비스를 이용해 level5의 패스워드를 찾으면 되는 문제다. finger를 사용하면 /home/level4/tmp/backdoor 가 실행되면서 level5권한을 얻게된다. 하지만 /home/level4/temp 에는 backdoor라는 파일은 없다. 위와 같이 간단한 프로그램을 만들고 컴파일 한다. finger 명령어는 외부 유저의 정보도 가져올 수 있으며 명령은 다음과 같다. finger [user]@[host]

힌트는 autodig라는 프로그램의 소스코드이다. 소스코드를 보면 인자가 두 개일때 첫 번째 인자값은 argv[0], 두 번째 인자값은 argv[1]로 들어간다. 첫 번째 인자값은 Usage : %s host 의 값으로 그대로 출력되고, 두 번째 인자값은 cmd 변수로 입력되어 명령을 수행할 수 있다. more hints 에서 동시에 여러 명령어를 사용해야 한다고 힌트를 줬다. 동시에 여러 명령어를 사용 하려면 ;을 이용하여 쓸 수 있다. 문자열 형태로 전달하라 했으니 " " 를 사용하여 문자열 형태로 전달 할 수 있다. user level이 4이고 setuid권한을 가진 파일을 찾는다. ※ dig(domain information groger) 명령은 DNS 네임서버에 쿼리를 날리는 명령이다. 사용법 ..

힌트를 확인해 보면 텍스트 편집에서 쉘명령을 실행시킬 수 있다고 한다. user 이름이 level3이고 SetUID권한을 가진 파일을 찾아본다. /usr/bin/editor 하나의 파일이 위 권한을 가지고 있는것을 확인 한다. /usr/bin/editor를 실행시켜 보면 위와 같이 VIM 편집기가 나온다. VIM에서는 !를 이용해 쉘 명령을 수행할 수 있다. !my-pass 를 입력한다.

ls로 파일의 목록을 살펴보면 힌트 파일이 있다. 힌트파일을 cat 명령으로 확인해 본다. Setuid권한이 있는 파일을 찾으면 되는 문제다. find / -perm -4000 -user level2 find 명령으로 user 이름이 level2이고 SetUID 권한을 가진 파일을 찾는다. /bin/ExcuteME 딱 하나 있다. 해당 파일을 실행시켜 보자. my-pass와 chmod 명령을 사용할 수 없으니, 쉘을 불러온다. my-pass 명령으로 비밀번호를 확인 할 수 있다.

도움말로 위장한 악성코드 도움말파일로 위장한 악성코드가 자주 보인다. 위와 같이 도움말 파일의 소스를 보면 특정 사이트로 연결해 악성 파일을 설치한다. 설치된 악성코드는 C&C서버와 통신하는등 백도어 기능을 수행한다.

잠시 보이지 않던 뱅킹 악성코드가 다시 나오고 있다. 테스트 환경 Windows XP x86 생성파일 C:\33pql2pq7umlqt7(랜덤폴더명)\v91442d.dll

데스윙시절 , 아마 2012년으로 기억한다. 나는 데스윙을 잡기위한 용감한 호드의 전사였다. 그런데... 친구와 함께 PC방을 다녀온후 20000골드쯤 보유하고 있던 내 계정에서 모든 골드가 빠져나간것이아닌가?!! 하.. 이놈이다... 이놈이야.. Usp10.dll, Lpk.dll 게임정보 탈취를 위한 악성코드. 실행파일이 있는 디렉토리에 Usp10.dll을 생성하여 해당 실행파일이 실행될때 악성dll 파일을 먼저 로드하여 동작한다. 테스트 환경 Windows XP x86 GetTickCount 함수를 이용해 Usp10.dll or Lpk.dll로 생성 원본 Thumbs.db를 삭제하고, Usp10.dll을 Thumbs.db 로 복제 실행파일 하위에 악성 dll 파일 생성 생성된 파일 숨김속성 으로 변환..

참조: https://threatpost.com/windows-10-upgrade-spam-carries-ctb-locker-ransomware/114114 윈도우10 업데이트 관련 메일을 가장한 랜섬웨어가 등장했다. 업데이트 메일과 함께 첨부되 있는 파일이 악성 파일이므로 주의할 필요가 있다. 진단Virobot : Trojan.Win32.CTB-Locker.922987

테스트 환경 Windows XP x86 기능 MSN 키로깅 네트워크 웹캠 기타