[KISA 대학생 특별과정] 스피어피싱 대응 온라인 강의 - 기본 정리

● miter att&ck 프레임 워크  

  - 공격 전략과 기법을 종류별로 묶어놓은 표

 

● 파일리스 공격 특징

  -프로세스 인젝션 사용

  -LOL bins 사용

  -스크립팅

  -파일리스 퍼시스턴스

 

● 바이너리, 텍스트 파일 차이BASE 64 인코딩

  - 바이너리 데이터를 아스키코드 일부와 일대일로 매칭해 문자열로 단순 치환하는 인코딩 방

 

● 바이너리, 텍스트 파일 차이바이너리, 텍스트 파일 차이

  -바이너리파일 : 사용자 또는 프로그램이 사용하던 정보나 숫자 값을 특별한 가공 없이 그대로 파일에 저장하는 것

  (예) 그림파일이나 음악파일

  -텍스트 파일 : 문자를 기반으로 하여 가공조건이 하나 추가된 파일 형식 

 

● 스피싱 이메일 분석

 -의심스러운 이메일 식별 기준

  1) 메일함에서 디스플레이 되는이름과 meassege header의 from 정보 차이 유무 확인

  2) 메일의 header와 envelope from 대조 (header 조작 가능)

  3) 메일의 from국가정보와 ip정보 확인하기

 

● 스피어 피싱

 - 특정 개인 또는 조직을 대상으로 공격 즉 피싱하는 것

 

●쉘코드란?

 -메모리 공간에서 실행되는 기계어 코드로 취약점을 이용하여 특정 명령어를 실핸한다.

★공격자의 첫번째 목적은 쉘코드 임의 실행★

 

●DLL이란?

  -dynamic  link library로 동적 링크 라이브러리를 의미한다.

 

●쉘 코드 분석

- 익스플로잇 -> 쉘코드 실행 ( 디코딩 루틴 -> 쉘 코드 본체 실행 -> DLL 안의 함수 주소 가져옴 -> 함수 호출 업무 )

 

●API 해시와 셀프 바인딩

- 바인딩 : 로더의 서비스로 로더 라이브러리 함수와 GetProcAddress함수가 필요하다.

- 쉘 코드는 로드가 안도와줘서 스스로 해야하므로 쉘프바인딩이라고 함.

- dll 헨들 : loab library 함수의 리턴값으로 dll이 로딩이 된 메모리의 이미지 주소

쉘코드 경량화하고 문자열 노출 피하기 위해서 api해시 사용!

 

●IAT 테이블

  - import address table로 함수의 이름들을 참조하는 테이블로 오버라이팅을 통해 재구성

 

●OLE란?

  - Object Linking and Embedding의 뜻으로 객체 연결 및 삽입을 뜻한다.

 

●OLE Compound Document

  -파일 시스템 처럼 서로가 폴더랑 스트림 구조로 이루어져 있는것. 해석을 위해 전용도구가 필요함

  ( DOC, HWP, XLS, PPT )

 

●OOXML 

  -xml을 갖고 대부분 데이터와 좌표값을 갖고 객체형태로 관리하는 것. zip 파일 형태

  ( DOCX, HWPX, XLSX, PPTX, ZIP )

 

● 포스트스크립트란?(ps)

인쇄된 페이지의 생김새에 대해 묘사하는 언어로서 프린트 및 이미지 산업계의 표준이다.

얘를 인터프리팅하기위해 고스트스크립트 필요

 

● pe파일

  - 마이크로소프트 윈도우에서 사용하는 실행파일 포멧

 

● 덤프

덤프는 컴퓨터 주기억장치나 레지스터, 데이터, 프로그램의 전체 또는 일부 자료에 기억시킨 내용을 보조기억장치 등 기록 매체에 복사 또는 전이하는 조작을 말합니다. 

 

●파워쉘 

 Microsoft에서 개발한 쉘로 과거 Windows 환경에서 사용자를 관리하고 자동화등의 작업을 수행할때 사용하는 명령줄 셸 프로그램이다

 

●악성 hwp 문서 트리아지

  - bin data > .OEL 파일 O 

  - bin data > 포스트 스크립트 O (eps/ps)

  - body text > section 너무 많아 & 동일한 파일 O

 

● hwp 문서의 포스트스크립트

  바이너리 파일로 만든 후 -> 디코딩 -> 쉘코드 파일 생성 -> 아이다 같은 툴로 분석

 

● office 포맷

  -CFBF : 파일 내에 파일 시스템을 모사한 바이너리 파일 (예시. doc) 

                루트폴더 아래 하위폴더 등 존재함

  -OOXML : zip 포맷 압축 파일로서 XML 파일 (예시. docx)

                   파일 엔트리와 센트럴 디렉토리 존재

 

● 악성 MS 오피스 문서의 이상징후

  - 쉘 코드 포함 여부

  - 매크로 포함 여부

  - DDE, DDEAUTO 포함 여부