패킷을 훔치는 ARP Spoofing 공격 탐지 툴

WinARPWatch 툴과 와이어샤크를 사용하여 탐지하는 방법

윈도우 계열에서는 TTL 값이 기본으로 128 입니다. ARP Spoofing 공격을 하기 위해서는 공격자가 패킷을 수신한 후 forwarding을 시켜 주어야 합니다. 그렇게 되면 원래 패킷은 drop되게 됩니다. kernel에서 packet forwarding하는 방법을 사용하게 되면 라우터처럼 동작하게 됩니다. 따라서 ARP Spoofing 공격이 이루어진 후 TTL 값이 127이 된 것을 확인할 수 있습니다.

ARP Spoofing 탐지/차단 툴 : ARP Spoofing 패킷을유발하는 시스템을 탐지/차단하는 툴
ARP Spoofer 전용백신 : ARP Spoofing 악성코드에 감염된 시스템을진단/치료 하기위한 전용백신

http://www.ahnlab.com/kr/site/download/vacc/downFile.do?file_name=v3kill_ts.exe
ARP Spoofer 전용백신

악성코드 감염 증상
해당 악성코드는 온라인 게임핵류 전파가 주 목적으로 보이며, ARP Spoofing 을 이용해 다수의 시스템에 전파하게 됩니다. (이 문서에서는 ARP 유발과 관련된 일부 파일들에 대해서만 작성하겠습니다.)

그리고 감염이 되면 아래와 같은 파일들을 생성합니다.

C:\WINDOWS\Temp\dllhost.exe // ARP 유발 악성코드
C:\WINDOWS\Temp\conime.exe
C:\WINDOWS\Tasks\[숫자]\svchost.exe
C:\WINDOWS\MicrosoftManagementConsole_0.dll

[표 4] 주요 생성 파일

시스템 재시작시 동작할 수 있도록 아래와 같이 레지스트리에 등록합니다.

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit
"C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\Tasks\000c00290eb07a0170\svchost.exe"

HKLM\SYSTEM \ControlSet001\Services\[서비스명]\Parameters\ServiceDll
"C:\WINDOWS\MicrosoftManagementConsole_0.dll"

[표 5] 레지스트리 등록값

추가적으로, 일부 시스템에서 감염시 윈도우 정상 파일인 userinit.exe 파일을 악성코드로 교체하는 증상이 발견되었습니다.

C:\WINDOWS\System32\userinit.exe

[표 6] 악성코드로 교체되는 파일

로그인

Blog

패킷을 훔치는 ARP Spoofing 공격 탐지 툴과 방어방법

단축키

단축키

패킷을 훔치는 ARP Spoofing 공격 탐지 툴

Windows 7 인터넷속도 향상시키기

네트워크 성능 측정(트래픽 대량 발생으로 통신속도 측정)

네트워크 부하(Offered Load) 관련 Discard Rate

imm32.dll 다운 바이러스 오류 해결법(한글이 잘 안써지는 문제 등)

윈도우 DLL 오류 해결방법

100M Full 속도내기(레지스터리)

패킷을 훔치는 ARP Spoofing 공격 탐지 툴과 방어방법

windows Arp Spoofing Tool

램디스크 설정시 주의사항(끊킴현상 발생시 해당부분 점검필수)

삼성노트북 NT300E5C-A15R 드라이버

가상메모리 클리어로 빠른 부팅하기

강력한 백신 avast

MS 에센셜 정식한글판 (MSE)

장치관리자, 네트워크연결의 아이콘이 사라짐

로컬 영역 연결 없어졌을 때 해결 방법

도스모드에서 IP 변경하는 방법

TCP/IP Network Communication without extra Tools(DB, 메신저 등등)

익스플로러 업데이트 안될때의 패치

윈도우 문제 많을때 (레지스트리 초기화???)

윈도우 Xp에서 사용자 로그온 제거 방법

나눔글꼴 설치 안내

이 PC에는 나눔글꼴이 설치되어 있지 않습니다.