백신프로그램 탐지 회피 하기 위해서 워드 파일을 PDF 포함하는 MalDoc in PDF

오늘은 백신프로그램 탐지 회피(기타 보안 제품) 하려고 워드 파일을 PDF 포함하는 MalDoc in PDF에 대해 글을 적어 보겠습니다.
MalDoc in PDF로 작성된 파일은 PDF의 매직 넘버나 파일 구조로 되어 있음에도 Word에서 열 수 있는 파일이 되게 돼 있습니다.
파일을 Word에서 열면 파일에 Macro(매크로)가 설정되어 있으면 VBS가 작동하고 악성 동작을 수행을 진행합니다.
이번에 사용할 악성코드 해쉬값은 다음과 같습니다.
파일명:0723Request.doc.zip
사이즈:24.8 KB
MD5:3c90b82156211c30cb2db8c7d569f3ad
SHA-1:7dc6ea6c156186b57d422038a37d633d3a605379
SHA-256:75385dfea84ed375f6f5d0cfe93c603ea0fbf6f7a1c7e9b867253ed6f8bb5b38

악성코드 실행

그리고 최종적으로 사용되는 악성코드 해쉬값은 다음과 같습니다.

사이즈:207 KB
MD5:d537f8b812a3902b90aa16281aa1314b
SHA-1:2bfd1175e777e6df26b151071ec24376086a5c51
SHA-256:ef59d7038cfd565fd65bae12588810d5361df938244ebad33b71882dcf683058

Exeinfo PE 로 본 악성코드

해당 악성코드는 공격자는 PDF 파일의 개체 뒤에 Word에서 만든 Macro가 포함된 mht 파일을 쓰고 저장을 하고 구성된 파일은 파일의 시그니처 로서는 PDF 파일이라고 판정을 해버리지만, 사실은 워드 열리게 구성이 돼 있습니다.

0723Request.doc 에 포함된 PDF 영역

MalDoc in PDF 분석

공격자는 PDF 파일의 개체 뒤에 Word에서 만든 Macro가 포함된 mht 파일을 쓰고 저장하게 하고 작성된 파일은 파일의 시그니처는 PDF 파일 00~0C10 까지 PDF 그다음부터는 Macro in mht 입니다.
여기서 PDF 분석을 하려고 PDFiD를 통해서 열어주면 다음과 같은 결과를 확인할 수가 있습니다.

0723Request.doc 에 포함된 PDF

PDF 뷰어 등에서 열어도 악성 어떤 행동을 볼 수는 없지만, Word에서 열면 의도하지 않은 악성 동작을 수행하므로 주의가 필요하며 또 기존의 Sandbox나 백신프로그램도 PDF 파일로서 인식해서 탐지가 안 될 수가 있습니다.
그러면 다음과 같은 결과를 확인할 수가 있습니다.

PDFiD 로 악성코드

hxxps://cloudmetricsapp(.)com
hxxps://web365metrics(.)com

해당 악성코드 등을 예방을 하기 위해서는 기본적인 보안 수칙을 지키는 것을 권장합니다.