새로운 imm32.dll 패치 기법을 적용한 악성코드

2011년 3월 2일 ASEC에서는 온라인 게임의 사용자 정보를 유출하는 악성코드에서 보안 제품인 V3의 설치 여부에 따라 다른 감염 기법들을 가지고 있는 악성코드의 사례에 대해 이야기 한 바 있다.

최근에 지속적으로 발견되고 있는 정상 시스템 파일인 imm32.dll에 대한 패치를 수행하는 악성코드들이 발견되고 있으나 그 패치 기법이 변경된 것을 ASEC에서 확인 하였다.

2월 말과 3월 초에 발견된  imm32.dll의 패치를 수행하는 악성코드는 아래 이미지에서와 같이 imm32.dll 파일의 익스포트(Export) 함수 모두를 포워드(Forward)하고 있다.

그러나 최근에 발견되고 있는 악성코드들에서는 아래 이미지와 같이 imm32.dll 파일의 익스포트(Export) 함수들을 포워드 하지 않고 있다.

실제 해당 imm32.dll 파일에 대해 패치를 수행하는 악성코드를 분석 해보면 imm32.dll 파일이 익스포트하는 함수 모두들에 대해서 다음 이미지와 같이 PUSH 이후 CALL을 수행하도록 되어 있다.

CALL을 수행하는 코드 부분을 따라가면 SUB 루틴으로 imm32A.dll를 로드 하도록 구성되어 있다.

결국 imm32.dll 파일을 패치하는 악성코드는 익스포트 함수들을 직접적으로 포워드하는 방식 대신 해당 악성코드 내부에서 별도의 코드로 함수를 호출하는 방식을 사용한 특징이 있다.

새로운 imm32.dll 파일에 대한 패치 기법을 적용한 악성코드들은 V3 제품군에서 다음과 같이 진단한다.

Win-Trojan/PatchedImm.Gen

Win-Trojan/PatchedImm2.Gen

이러한 악성코드로부터의 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 사전에 주의를 하는 것이 중요하다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해 유포되는 악성코드의 감염을 예방하고 사기 사이트 및 피싱 사이트를 차단하는 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다