테슬라 정보 확인하기

테슬라 정보 확인하기

테슬라을 알아보는 시간입니다 하단에 테슬라 열심히 정리했으니 천천히 보셨으면 합니다 아마 발견 시점으로 봤을 때는 1day 일 가능성이 높지만 테슬라 제가 생각했던 것보다 상당히 무서운 녀석이었습니다

창이 있으면 반드시 방패가 있는 법!!! 오늘은 제가 간략하게 분석한 내용과 테슬라 샌드박스 분석 결과를 활용하여 해당 악성코드를 탐지할 수 있는 yara 룰을 작성해 보도록 하겠습니다

단지, 테스트 용도이므로 참고만 하시길 바랍니다 !!! ♡ 분석결과 종합 일단 휴리스틱 분석이 아니고 시그니처 기반의 테슬라 탐지 규칙을 만들어야 하므로 우리가 활용할 수 있는 부분은 바이너리 헥스 값, 내부의 String 정도겠네요

(가장 중요한 것은 정상적인 파일과 악성코드를 구분하는 능력을 최대화 시켜주는 것이겠죠 ?) 이미 해외의 테슬라 능력자들은 이 yara 룰을 자동으로 생성해 주는 generator를 만들었습니다

!!! GitHub - Neo23x0/yarGen: yarGen is a generator for YARA rules yarGen is a generator for YARA rules Contribute to Neo23x0/yarGen development by creating an account on GitHub

테슬라 정보 확인하기

아직 써보지 않아서 성능은 잘 모르겠지만 여러 가지 생성 방식이 존재할 겁니다 간단하게 샌드박스에서 악성코드를 동작시키고 이들의 활동 내용과 바이너리의 코드값을 서로 매칭해 unique 한 부분이 존재하면 그걸 yara 룰에 반역하도록 할 수 있겠죠
(물론 샌드박스의 성능에 따라 시간은 무진장 걸릴 가능성이 높습니다 그래도 자동화가 어디예요!?) 흠 서론이 테슬라 너무 길어졌습니다 이번 시간에는 자동화 솔루션 없이 분석 내용에 기반한 탐지룰을 작성해 보도록 하겠습니다
1) 악성코드의 특징 - 야후 사이트로 ping을 날림 - 특정 아이피에 테슬라 접속하여 dll 파일을 불러옴 - dll 내부의 특정 함수를 실행시킴 2) 샌드박스 분석 정보
dll이 난독화되어 있어서 분석하기가 어려웠고 anyrun으로 돌려봐도 특별한 정보가 없었는데, 특정 프로그램이 실행되는 루틴을 찾아냈습니다 저도 혹시나 해서 해당 프로그램을 찾아보니 있었습니다
(이미 상당한 감염이 진행되었던 것으로 보입니다