IcedID는 뱅킹 트로이 목마 계열의 새로운 변종입니다. 모듈식 아키텍처를 갖추고 있으며, 중간자 공격(MITM)을 통해 사용자의 은행 정보를 훔칠 수 있습니다. IcedID는 로컬 프록시를 설정하고 모든 인터넷 트래픽을 이를 통해 리디렉션합니다. 또한, 은밀한 공격에 필요한 구성 요소를 다운로드하고 실행할 수 있습니다.
감염 벡터
일반적으로 IcedID는 스팸 이메일을 통해 확산되거나 다른 악성코드 패밀리에 의해 유포됩니다. 저희 분석 결과, 이 패밀리는 Emotet으로 확인되었습니다. 2017년 초, Emotet은 Qkabot과 Dridex와 같은 다른 뱅킹 트로이 목마를 유포하는 데 널리 사용되었습니다.
IcedID는 다른 뱅킹 트로이 목마에서는 거의 발견되지 않는 네트워크 확산 모듈을 포함하고 있습니다. IcedID의 API 시퀀스를 살펴보면, BadRabit, Petya/Not-Petya와 같은 악성코드에서 성공적으로 사용된 유사한 기법을 채택하고 있습니다.
샘플 분석
실행 시, 샘플은 임의의 이름으로 %LOCAL_APPDATA% 폴더 내의 임의의 폴더에 자체 복사본을 생성합니다 . 생성되는 파일과 폴더의 이름은 동일하며 9자로 구성됩니다. 생성되는 파일의 이름은 현재 사용자의 보안 식별자(SID)를 사용하여 생성됩니다. 아래 코드는 현재 로그인한 사용자의 SID를 생성하는 코드입니다.
무작위로 이름이 지정된 폴더에 무작위로 이름이 지정된 파일의 이름입니다.
"%LOCALAPPDATA%\[az]{9}\[az]{9}.exe"
예: -
“C:\Documents and Settings\Administrator\Local Settings\Application Data\ homatluna \ homatluna.exe ”
"실행"에 레지스트리 항목을 만들어 지속성을 유지합니다.
“HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ homatluna ”
다음으로 IcedID는 AppData 폴더에 RSA 암호화 키를 시스템에 기록합니다. 그런 다음 %TEMP% 폴더에 인증서 파일을 기록합니다.
예시 – “C:\Documents and Settings\Administrator\Local Settings\Temp\ 0137194B.tmp ”
네트워크 활동
이는 두 개의 소켓 연결을 생성합니다. 하나는 로컬 프록시용이고 다른 하나는 CnC 통신을 위한 백도어 역할을 합니다. 분석 결과, 로컬 프록시 바인딩에 사용되는 포트는 49158 이고 백도어는 49161 포트에서 생성됩니다.
로컬 프록시를 생성합니다. 여러 은행의 인증서와 사용자 지정 모듈을 사용하여 자체 SSL 계층을 구현합니다. 이를 통해 MITM(중간자 차단)을 수행합니다. IcedID는 모든 트래픽을 가로채서 사용자 자격 증명을 추출할 수 있습니다.
맬웨어가 시스템에 침투하면 그림 1과 그림 2에서 볼 수 있듯이 POST 요청을 통해 봇 ID와 기본 시스템 정보를 CnC 서버로 전송합니다.
디코딩된 게시물 요청 세부정보는 다음과 같습니다.
K – 시스템 이름
B – 봇 ID
L – 작업 그룹
M – OS 버전
IcedID와 CnC 간의 통신은 암호화된 SSL을 통해 이루어지며, 이 SSL 인증서는 맬웨어가 인증서 저장소에서 직접 결정합니다. 맬웨어가 삭제한 임시 파일은 인증서를 저장하는 데 사용됩니다. 아래 코드는 인증서 열거에 사용됩니다.
네트워크 내 확산
IcedID는 네트워크 내에서 확산될 수 있다는 점에서 다른 뱅킹 트로이 목마와 다릅니다. 먼저 로컬 네트워크에서 운영 중인 시스템을 찾아 새로운 시스템에 자신을 복제합니다.
타협의 지표
csuwbru[.]net
comeontrk[.]com
메디컬시페롤[.]닷컴
38921f28bb74fea2cab6e70039ee65f3
d982c6de627441765c89da5cfeb04d6f
82d6e69df2277073d4aaacd6994ee033
Quick Heal 이 IcedID를 Trojan.IcedID로 성공적으로 탐지했습니다.
이 악성코드의 확산 양상은 이전에 발견된 뱅킹 트로이 목마보다 더 공격적입니다.
예방 요령
- 바이러스 백신 프로그램을 설치하고 최신 상태로 유지하세요.
- 운영체제와 소프트웨어를 최신 상태로 유지하세요.
- 알 수 없거나, 예상치 못했거나, 원치 않는 출처의 링크를 클릭하거나 첨부 파일을 다운로드하지 마세요.
주제 전문가
피유시 반살 | Ghanshyam More, Quick Heal Security Labs
