* 전파 경로
자체 전파 기능은 없으며 사용자가 메일, 메신저, 게시판, 자료실 등에서 실행 파일을 다운로드해 실행하거나 다른 악성코드(웜, 바이러스, 트로이목마)에서 설치하는 것으로 보인다.
* 실행 후 증상
RAT유형의 NanoCore 악성코드로 공격자는 플러그인을 기반으로 정보 탈취 기능을 사용한다.
계정 정보 수집 및 키로깅과 같이 다양한 정보 탈취, DDoS, 웹캠 제어를 한다.
[파일 생성]
- C:\Users\%user%\AppData\Roaming\PdVtvUi.exe
- C:\Users\%user%\AppData\Roaming\2A436123-51F4-43B3-9F6C-100AC8702D6A\NAT Service\natsv.exe
[프로세스 생성]
-cmd line: "C:\Windows\System32\schtasks.exe"
/Create /TN "Updates\PdVtvUi" /XML "C:\Users\%user%\AppData\Local\Temp\tmp79E.tmp"
-cmd line: schtasks.exe
/Create /TN "Updates\PdVtvUi" /XML "C:\Users\%user%\AppData\Local\Temp\tmp79E.tmp"
[C&C 서버 주소]
- hxxp://james12.ddns[.]net:6060
[Zone Identifier 제거]
- cmd line: C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe:Zone.Identifier
