[보안이슈] 윈도우 정품 인증 툴 KMS Tools로 위장한 악성코드

최근 안랩에서 윈도우 정품 인증 툴로 위장한 BitRat과 XMRig 코인 마이너가 유포되고 있다고 밝혔다.
이전에도 웹하드 통해 유포된 적 있으나, 이번에 달라진 점은 백신 설치 유무에 따라 설치되는 방식이 달라졌다는 것.

- V3가 설치되지 않은 환경에서는 BitRat 원격제어 툴이 설치.
- V3가 설치된 환경에서는 코인 마이너를 설치

현재 미디어파이어(MidiaFire)라는 파일 호스팅 사이트에 KMS tools로 위장한 압축파일 형태로 업로드되어있다.
게다가.. 해당 링크가 국내 여러 커뮤니티 사이트에 공유되었기에 감염자가 속출할 것으로 보임.

[악성코드 간단 분석]
- 압축 해제 시 exe 확장자를 가진 실행 압축 파일(7z SFX)
- 실행하는 것만으로 공격자가 원하는 경로 내에 실행압축 파일 내부의 파일 설치
- Windows Defender가 악성코드 탐지를 못하도록 예외 항목에 추가하는 코드 존재
- 외부에서 추가적인 악성코드 다운로드
- "vmtoolsd" 또는 "asdmon" 프로세스가 현재 실행 중인지를 검사. 존재한다면 추가적인 악성코드 다운 X
>> Anti-Sandbox
- "ASDSvc" 프로세스 실행 여부에 따라 V3 설치 여부 판단.
>> 설치된 경우 "obieznne.msi" / 아니면 "wniavctm.msi"
- 과정 종료 시 처음 실행한 실행 압축 파일은 삭제 후 원본 KMSTools.exe 생성됨
>> 사용자는 해당 파일 계속 사용 가능. 악성코드 감염 인지 어려움.


해당 이슈 링크 >> https://m.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?curPage=&menu_dist=2&seq=32248&key=&dir_group_dist=&dir_code=&searchDate=

윈도우 정품 인증 툴로 위장한 악성코드 주의!

BitRat 툴 >> https://malpedia.caad.fkie.fraunhofer.de/details/win.bit_rat

BitRAT (Malware Family)

XMRig 코인마이너 >> https://trojan-killer.net/ko/remove-xmrig/

Remove XMRig Miner: Easy Steps To Uninstall - Trojan Killer