191226_악의적인 OLE개체가 삽입된 워드문서(mismyou)

기존에 확인된 공격자와 같은 암호화루틴을 사용하는 악성코드이다. 해당 공격은 아래와 같다.

기존에 확인된 샘플은 PDF.EXE로 PDF문서로 위장하여 사용자가 파일을 실행하도록 했는데, 요번 샘플은 워드문서에 악의적인 데이터를 삽입하여 공격을 시도했다. 공격자는 사용자가 정상적인 파일이라고 생각하도록 업무에 관련된 워드문서를 이용하였다.

워드문서에는 아래와 같이 8.t라는 OLE 오브젝트가 존재하는것을 확인할 수있다. 8.t 파일에는 Office 추가 기능 파일(.wll)이 포함되어 있으며, 해당 intel.wll파일에는 악의적인 데이터가 포함되어 있다. 8.t 악성파일(intel.wll 모듈) 8.t 파일을 분석하다보면, intel.wll모듈을 불러오며 악..........