* 전파 경로
자체 전파 기능은 없으며 사용자가 메일, 메신저, 게시판, 자료실 등에서 실행 파일을 다운로드해
실행하거나 다른 악성코드(웜, 바이러스, 트로이목마)에서 설치하는 것으로 보인다.
* 실행 후 증상
패킹된 악성코드는 자기 자신을 재귀 실행한 뒤 내부에 인코딩 된 Formbook 바이너리를 정상 프로세스에 인젝션하여 실행한다. 웹
브라우저의 사용자 계정 정보, 키로깅, Clipboard
Grabbing 등 다양한 정보를 탈취한다.
[파일 생성]
- C:\Users\%user%\AppData\Roaming\oKoLerxfGy.exe
[프로세스 생성]
- cmdline: schtasks.exe
/Create /TN "Updates\oKoLerxfGy" /XML
"C:\Users\rapit\AppData\Local\Temp\tmp878.tmp
- cmdline: "C:\Windows\System32\schtasks.exe"
/Create /TN "Updates\oKoLerxfGy" /XML
"C:\Users\%user%\AppData\Local\Temp\tmp878.tmp"
[C&C 서버 주소]
- hxxp://www.casnop[.]com/rdk
