보안 / 윈도우

두큐, 난 네가 무엇을 훔쳤는지 알고 있다...디텍션 툴 개발

Jeremy Kirk | IDG News Service 2011.11.11
두큐 악성코드를 발견한 헝가리 부다페스트 기술 경제 대학의 일부인 크라이시스(CrySys) 연구소는 관리자가 그들의 네트워크를 감염 당한 후에 그 흔적을 볼 수 있도록 하는 오픈 소스 툴킷을 만들었다고 밝혔다. 
 
크라이시스 측은 두큐 디텍터 툴킷 v1.01은 잠행하는 본성과 다른 유명한 악성 소프트웨어, 스턱스넷의 조각과 몇 가지 특성을 공유하는, 두큐가 남기고 간 것으로 추정되는 파일을 찾을 수 있다고 밝혔다.  
 
크라이시스는 "이 툴킷은 실제 활동적인 두큐 감염을 탐지해야 했다. 하지만, 그것은 가능하지 않기 때문에 관리자는 그 결과를 분석하는 것이 필요할 것"이라고 경고했다.
 
카스퍼스키 연구소 분석팀 책임자 코스틴 라위는 "크라이시스에 의해 개발된 것과 같은 포렌직 독립 툴은 두큐 피해자에게 그들이 어떻게 공격당했는지 좋은 자료를 주기 때문에 중요하다"고 말했다. 바이러스 백신은 이와 같은 분석은 주지 않는 대신에 공격으로부터 보호하고 막는 것에 초점을 두고 있다. 
 
이 툴킷 또한 피해자가 두큐가 훔쳐간 데이터가 무엇인지 발견할 수 있다. 코스틴은 "피해자는 두큐가 훔쳐간 것이 무엇인지 알기를 원한다"며, "훔쳐간 데이터는 악성코드의 이름인 DQ와 DF 내부의 끝자락 파일에 저장되어 있었다"고 말했다.  
 
다른 한 회사는 두큐 탐지를 위한 디텍션 툴을 발표했다. NSS 연구소 툴은 두큐에 의해 감염된 드라이버 사이에 있는 특정 연계고리로 보이는 한 스크립트를 찾는다. 
 
마이크로소프트는 컴퓨터를 감염시키기 위해 두큐가 악용한 소프트웨어 취약점을 위한 패치가 만들어지고 있는 중이다. 크라이시스는 또한 설치된 파일을 조사해 두큐가 컴퓨터를 감염시키기 위한 수단으로 이전에 알려지지 않은 윈도우 취약점을 악용한다는 점을 발견해 유명해졌다. 
 
두큐 감염은 한 사람이 피해자에게 이메일로 악성 마이크로소프트 워드 문서를 보내어 열어보게끔 한다면 발생할 수 있다. 그 취약점은 윈도우의 윈32k 트루타입 폰트 분석 엔진에 있다. 마이크로소프트는 패치가 준비될 때까지 임시적으로 공격을 막는 툴을 게시했다. editor@itworld.co.kr 
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.