Skip to content
조회 수 12784 추천 수 0 댓글 0
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄
?

단축키

Prev이전 문서

Next다음 문서

크게 작게 위로 아래로 댓글로 가기 인쇄

패킷을 훔치는 ARP Spoofing 공격 탐지 툴

 

참고 : http://core.ahnlab.com/11

           http://core.ahnlab.com/9

           http://core.ahnlab.com/223

           http://core.ahnlab.com/261

 

 

WinARPWatch 툴과 와이어샤크를 사용하여 탐지하는 방법

 

윈도우 계열에서는 TTL 값이 기본으로 128 입니다. ARP Spoofing 공격을 하기 위해서는 공격자가 패킷을 수신한 후 forwarding을 시켜 주어야 합니다. 그렇게 되면 원래 패킷은 drop되게 됩니다. kernel에서 packet forwarding하는 방법을 사용하게 되면 라우터처럼 동작하게 됩니다. 따라서 ARP Spoofing 공격이 이루어진 후 TTL 값이 127이 된 것을 확인할 수 있습니다.

ARP Spoofing 탐지/차단 툴 : ARP Spoofing 패킷을유발하는 시스템을 탐지/차단하는 툴
ARP Spoofer 전용백신 : ARP Spoofing 악성코드에 감염된 시스템을진단/치료 하기위한 전용백신

http://www.ahnlab.com/kr/site/download/vacc/downFile.do?file_name=v3kill_ts.exe
ARP Spoofer 전용백신

 

 

 

악성코드 감염 증상
해당 악성코드는 온라인 게임핵류 전파가 주 목적으로 보이며, ARP Spoofing 을 이용해 다수의 시스템에 전파하게 됩니다. (이 문서에서는 ARP 유발과 관련된 일부 파일들에 대해서만 작성하겠습니다.)

그리고 감염이 되면 아래와 같은 파일들을 생성합니다.

C:\WINDOWS\Temp\dllhost.exe // ARP 유발 악성코드
C:\WINDOWS\Temp\conime.exe
C:\WINDOWS\Tasks\[숫자]\svchost.exe
C:\WINDOWS\MicrosoftManagementConsole_0.dll
[표 4] 주요 생성 파일



시스템 재시작시 동작할 수 있도록 아래와 같이 레지스트리에 등록합니다.

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit                                                                                  
"C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\000c00290eb07a0170\svchost.exe"

HKLM\SYSTEM \ControlSet001\Services\[서비스명]\Parameters\ServiceDll                                                                                         
"C:\WINDOWS\MicrosoftManagementConsole_0.dll" 
[표 5] 레지스트리 등록값



추가적으로, 일부 시스템에서 감염시 윈도우 정상 파일인 userinit.exe 파일을 악성코드로 교체하는 증상이 발견되었습니다.

C:\WINDOWS\System32\userinit.exe
[표 6] 악성코드로 교체되는 파일



 




 

로그인 후 댓글쓰기가 가능합니다.

?

List of Articles
번호 분류 제목 날짜 조회 수
863 컴퓨터잡담 호스트 / 서버운영자가 가볼만한 사이트 2011.06.17 5147
862 컴퓨터잡담 현재 쿠키,세션 값 전부 보기 2009.06.30 31764
861 Excel 현재 Excel 파일 이름을 셀에 삽입 2 2012.09.17 21349
860 컴퓨터잡담 해외속도테스트 사이트 speedtest.net 2 2012.01.08 5507
859 Visual C++ 함수와변수 14 2011.01.25 16259
858 컴퓨터잡담 한글프로그램 메뉴-모양-세로쓰기 2009.09.21 15408
857 컴퓨터잡담 한글입력이 안될때(how to hangul ...) file 2021.01.08 2468
856 컴퓨터잡담 한글입력이 안될때 의심해봐야 할 파일 imm32.dll 2011.12.14 5728
855 컴퓨터잡담 한글(hwp) msvcr71.dll 오류 해결방법 1 1 file 2013.01.22 6476
854 컴퓨터잡담 한글 HEX 코드표 1 5 2010.03.17 26748
853 Excel 한 셀에 있는 특정 문자의 갯수 구하기 3 2012.06.19 9835
852 컴퓨터잡담 하드 디스크 드라이브(HDD) 숨기기 3 file 2012.03.14 6773
851 컴퓨터잡담 하드 공유폴더 해제하기 1 2012.03.19 7928
850 컴퓨터잡담 핑테스트(PINGINFOVIEW)와 TCPVIEW file 2017.09.21 1975
849 컴퓨터잡담 핑테스트 프로그램 file 2015.09.01 853
848 컴퓨터잡담 프린터 내용 파일로 저장하기 doPDF 2012.10.17 4461
847 컴퓨터잡담 프록시 서버 만들기 4 2011.03.16 11927
846 컴퓨터잡담 프로세스 숨기고 복구하기 2010.01.21 6983
845 프로세스 프로세스 2 3 2011.02.07 309944
» WindowsTip 패킷을 훔치는 ARP Spoofing 공격 탐지 툴과 방어방법 4 2013.01.05 12784
Board Pagination Prev 1 2 3 4 5 ... 44 Next
/ 44

http://urin79.com

우린친구블로그

sketchbook5, 스케치북5

sketchbook5, 스케치북5

나눔글꼴 설치 안내


이 PC에는 나눔글꼴이 설치되어 있지 않습니다.

이 사이트를 나눔글꼴로 보기 위해서는
나눔글꼴을 설치해야 합니다.

설치 취소