* 전파 경로
자체 전파 기능은 없으며 사용자가 메일, 메신저, 게시판, 자료실 등에서 실행 파일을 다운로드해
실행하거나 다른 악성코드(웜, 바이러스, 트로이목마)에서 설치하는 것으로 보인다.
* 실행 후 증상
패킹된 악성코드는 자기 자신을 재귀 실행한 뒤 내부에 인코딩 된 Formbook 바이너리를 정상 프로세스에 인젝션하여 실행한다. 웹
브라우저의 사용자 계정 정보, 키로깅, Clipboard
Grabbing 등 다양한 정보를 탈취한다.
[파일 생성]
- C:\Users\%user%\AppData\Local\Temp\zQhNDymP.exe
[프로세스 생성]
-cmdline: /c del "C:\Users\%user%\AppData\Local\Temp\zQhNDymP.exe
[C&C 서버 주소]
- hxxp://lownak[.]com/g7b
