오늘은 주문 확인으로 위장한 악성코드인 주문 확인.doc(2024.1.25)에 대해 글을 적어보겠습니다.
해당 악성코드는 cve-2017-11882,CVE-2018-0802 취약점을 악용을 하는 악성코드이며 RTF 형식으로 된 문서 악성코드입니다. 해당 악성코드는 EQNEDT32.EXE 즉 문서에 방정식을 삽입하거나 편집할 때 사용하는 수식편집기를 악용해서 작동하는 취약점으로 그냥 윈도우 업데이트를 통해서 마이크로소프트 오피스 프로그램을 업데이트를 하면 해결되는 취약점이며 해당 악성코드 해쉬값은 다음과 같습니다.
파일명:주문 확인.doc
사이즈:96.6 KB
MD5:f57fa515afb84f034b5025cf597c2ab4
SHA-1:581858440b05d422a386cf7f36e974f82ab3e3e7
SHA-256:7be919a057b537a06951bf7af90a0dd96522890903f9644cc6123e8667640e66
rtfdump.py도구를 이용해 rtf파일의 정보 확인을 해 보면 objectclass Equation.3임을 확인할 수 있습니다.
C:\Program Files (x86)\Common Files\Microsoft Shared\EQUATION\EQNEDT32.EXE
"C:\Program Files (x86)\Common Files\Microsoft Shared\EQUATION\EQNEDT32.EXE" -Embedding 이렇게 해서 실행이 되어서 다음 사이트에서 exe 파일을 다운로드 합니다.
hxxps://amassmodel(.)top/_errorpages/plugmanzx(.)exe
2024-01-29 01:59:01 UTC 기준 바이러스토탈에서 탐지하는 보안 업체들은 다음과 같습니다.
AhnLab-V3:Trojan/DOC.Agent
Avast:RTF:Obfuscated-gen [Trj]
AVG:RTF:Obfuscated-gen [Trj]
Avira (no cloud):TR/AVI.Rat.kottg
Cynet:Malicious (score: 99)
DrWeb:Exploit.CVE-2018-0798.4
Fortinet:RTF/TROJ_GEN.F04IE00E222!tr
GData:Script.Trojan.Agent.M39C1V
Google:Detected
Ikarus:Exploit.CVE-2017-11882
Kaspersky:HEUR:Exploit.MSOffice.CVE-2018-0802.gen
Lionic:Trojan.MSOffice.CVE-2018-0802.3!c
McAfee:RTFObfustream.c!F57FA515AFB8
Microsoft:Exploit:Win32/CVE-2017-11882!ml
NANO-Antivirus:Exploit.Rtf.Heuristic-rtf.dinbqn
QuickHeal:Exp.RTF.Obfus.Gen
Rising:Exploit.Generic!1.EB5C (CLASSIC)
Sangfor Engine Zero:Malware.Generic-RTF.Save.ecfa366c
Sophos:Troj/RTFDl-CKM
Symantec:Exp.CVE-2017-11882!g6
Tencent:Office.Exploit.Cve-2018-0802.Ytjl
TrendMicro:HEUR_RTFMALFORM
Varist:RTF/CVE-2017-11882.U.gen!Camelot
WithSecure:Trojan.TR/AVI.Rat.kottg
ZoneAlarm by Check Point:HEUR:Exploit.MSOffice.CVE-2018-0802.gen
즉 백신 프로그램도 사용하는 것도 중요 하지만 기본적으로 마이크로소프트 오피스를 반드시 최신 버전으로 업데이트 해서 사용을 하는 것을 권장합니다.
'소프트웨어 팁 > 보안 및 분석' 카테고리의 다른 글
| 윈도우 10,윈도우 11 KB5034763,KB5034765 보안 업데이트 (0) | 2024.02.15 |
|---|---|
| 러시아 정부의 지원을 받는 해킹그룹 가마레돈 에서 만든 악성코드-11D5421C.doc(2024.1.23) (0) | 2024.02.14 |
| 부고 알림 부모님 별세를 악용한 스미싱 사이트-초대장12(.)korean100(2024.1.28) (0) | 2024.02.13 |
| 옵션 검색 및 기록 개선 KeePass 2.56 업데이트 (0) | 2024.02.09 |
| Konni(코니) 만든 북한 시장 물가 분석 문서 위장 해서 공격 하는 악성코드-조선 시장 물가 분석(회령).hwp?(2023.11.17) (0) | 2024.02.07 |
| 재혼 알림 을 위장한 스미싱 사이트-go(.)appp(.)ooguy(.)com(2024.1.28) (0) | 2024.02.05 |
| 엔씨소프트 주문 송장으로 위장한 피싱 파일-电子发票20399201011-2023(.)jpg(.)html(2024.1.15) (0) | 2024.01.30 |
| Konni(코니) 에서 만든 악성코드-NService_youngji057.chm(2023.11.18) (2) | 2024.01.29 |
