Mylabs

악성코드가 점점 진화하고 있고, 그에 대한 대응 및 분석에 대한 내용이다. 실로 악성코드는 분석가와 안티바이러스 엔진의 탐지회피를 위해, 하루하루 그 기법이 발전되고 있다. 대표적인 사례인 Cutwail (Win32.Protector.A~C) 에 대한 언급도 기사에 실려있다. 스팸메일의 45.8%를 차지하였다고 하니, 꽤 많은 확산이 이루어진듯 하다. http://www.boannews.com/media/view.asp?page=1&idx=18406&search=&find=&kind=1

작성한 6월 보안칼럼에서 ndis.sys를 변조시키는 악성코드에 관해서 언급했었다. 당시 Sality 파일바이러스 심층분석으로 골머리를 썩고있는 상황이어서, 미루고 미뤄두었던 악성코드이다. CodeEngn 2009에서 고흥환님께서 발표하신 내용중에 일부이기도 한 악성코드이다. 간단하게 분석한 내용을 적어본다. [ Win32.Protector.A ~ C ] 정상파일을 변조시키는 행동은 파일바이러스와 일맥상통하는 부분이지만, 추가적인 2차 감염을 발생시키지는 않는다. Virut 파일 바이러스들 중 일부가 ndis.sys 커널 드라이버를 변조시키는 사례가 많이 발생됐었다. 그리고 최근에 다시 이슈화 된 AntiVirus 2010 계열의 허위백신은 같은 골격으로 ntfs.sys를 변조시키며, 해외와 국내에 ag..