KISA SKT 해킹 사고 BPFDoor 악성코드 점검 가이드(붙임파일 포함)

 

 

1. Intro

최근 국내외 리눅스 시스템을 대상으로 BPFDoor 악성코드 위협이 확대됨에 따라, 다양한 BPFDoor 악성코드 유형을 확인할 수 있는 점검 가이드를 공개

 

2. 점검가이드

1. BPFDoor 악성코드 감염여부 점검 방법

  1.1 악성코드 뮤텍스/락(Mutex/Lock) 파일 점검

  1.2  악성코드 자동 실행 파일 점검

  1.3  BPF(Berkeley Packet Filter) 점검 (가이드 內 ‘[붙임1] BPF 점검 스크립트’ 활용)

  1.4 RAW 소켓 사용 점검

  1.5 프로세스 환경변수 점검 (가이드 內 ‘[붙임2] 환경변수 점검 스크립트’ 활용)

  1.6 특정 포트 확인 및 네트워크 장비를 이용한 패킷 점검

2 BPFDoor 컨트롤러 감염여부 점검 방법

  2.1 실행 중인 프로세스 명 점검

3 악성 의심 파일에 대한 추가 점검 방법

  3.1 문자열 기반 초동 점검  

  3.2 YARA* Rule 기반 점검 (가이드 內 ‘[붙임3] BPFDoor YARA Rule’ 활용)

   * 악성 파일을 시그니처 기반으로 판별 및 분류 할 수 있게 하는 툴

[첨부]

bpfdoor.yar

0.00MB

bpfdoor_bpf.sh

0.00MB

bpfdoor_env.sh

0.00MB

대응방안

 

첨부된 점검 가이드를 참고하여 자체적으로 보안점검 후, 침입흔적 및 침해사고가 확인되면 보호나라를 통해 침해사고 즉시 신고

원문링크

https://www.boho.or.kr/kr/bbs/view.do?searchCnd=&bbsId=B0000133&searchWrd=&menuNo=205020&pageIndex=1&categoryCode=&nttId=71754

KISA 보호나라&KrCERT/CC

 

※ 스크립트를 악의적으로 수정하여 배포하는것은 향후 문제가 발생될 수 있습니다.

해당 포스팅은 KSIA에서 문서형태로 제공되는 점검가이드 및 점검스크립트를 공유하기 위한 목적입니다.