GitHub에 게시된 익스플로잇의 악성 코드 존재 분석

University of Leiden(네덜란드)의 연구원들은 취약성을 확인하기 위해 익스플로잇을 사용하려는 사용자를 공격하기 위해 악성 코드가 포함된 가상 익스플로잇 프로토타입을 GitHub에 게시하는 문제를 연구했습니다. 47313년부터 2017년까지 식별된 알려진 취약점을 다루는 총 2021개의 익스플로잇 리포지토리가 분석되었습니다. 익스플로잇을 분석한 결과 이 ​​중 4893개(10.3%)에 악의적인 작업을 수행하는 코드가 포함되어 있는 것으로 나타났습니다. 게시된 익스플로잇을 사용하기로 결정한 사용자는 의심스러운 삽입이 있는지 먼저 검사하고 메인 시스템에서 격리된 가상 머신에서만 익스플로잇을 실행하는 것이 좋습니다.

악성 익스플로잇의 두 가지 주요 범주가 확인되었습니다. 예를 들어 시스템에 백도어를 남기거나 트로이 목마를 다운로드하거나 시스템을 봇넷에 연결하는 악성 코드가 포함된 익스플로잇과 사용자에 대한 기밀 정보를 수집하고 전송하는 익스플로잇입니다. . 또한 악의적인 작업을 수행하지 않지만 예상되는 기능(예: 네트워크에서 확인되지 않은 코드를 실행하는 사용자를 오도하거나 경고하도록 설계된)을 포함하지 않는 무해한 가짜 익스플로잇의 별도 클래스도 식별되었습니다.

악의적인 익스플로잇을 탐지하기 위해 몇 가지 검사가 사용되었습니다.

• 익스플로잇 코드는 유선 공용 IP 주소의 존재 여부를 분석한 후 식별된 주소를 봇넷을 제어하고 악성 파일을 배포하는 데 사용되는 호스트의 블랙리스트가 있는 데이터베이스에 대해 추가로 확인했습니다.
• 컴파일된 형태로 제공되는 익스플로잇은 안티 바이러스 소프트웨어에 대해 확인되었습니다.
• 비정형 64진수 덤프 또는 baseXNUMX 형식의 삽입이 코드에서 감지된 후 이러한 삽입을 디코딩하고 연구했습니다.

출처 : opennet.ru