English

◀◁ 뒤로 취약점ID 24048 위험도 40 포트 23432 프로토콜 TCP 분류 BackDoor 상세설명 해당 시스템에서 Asylum 백도어가 발견된다. Asylum은 2000년 4월에 서버는 어셈블러(Assembler), 클라이언트는 델파이(Delphi)로 제작된 오픈 소스 트로이 목마 프로그램이다. Asylum은 0.1, 0.1.1, 0.1.2, 0.1.3, 0.1.4, mini1.0, mini1.1, asylum 0.1.3 Multipager, Web asylum 1.0 등 다양한 버전을 가진다. 이 백도어 프로그램은 원격 제어가 가능한 클라이언트 프로그램인 client.exe, 대상 시스템에 설치되는 서버프로그램인 server.exe, 서버를 편집할 수 있는 config.exe로 구성되어 있다. 이 프로그램은 기본적으로는 23432 TCP 포트를 사용하지만 서버 편집 프로그램인 config.exe 프로그램을 통해서 임의의 포트로 변경이 가능하다. 이 config.exe 프로그램을 이용해서 원격지 공격자는 포트를 임의로 변경할 수 있으며 레지스트리, system.ini, win.ini 를 통해서 자동 실행 방법을 선택할 수 있다. 만약, 시스템에 이 백도어가 설치되어 있다면 다음과 같은 자동 실행 정보들을 발견할 수 있다. 1. 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 또는 'HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServices' 또는 'HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run' 위치에서 "SystemAdministration" 키 2. system.ini 파일의 [boot] 밑에서 shell=Explore.exe wincmp32.exe 키 3. win.ini 파일의 [Windows] 밑에서 load=c:\windows\wincmp32.exe 키 또는 run=c:\windows\wincmp32.exe 키 원격지 공격자들은 이 Asylum 백도어를 이용하여 원격으로 대상시스템에서 다음과 같은 동작을 수행할 수 있다. - 파일 업로드/실행 - 시스템 재부팅 - 서버 프로그램 제거 - 웹페이지 전송 - 프락시(Proxy)를 통한 접속 - 콘솔 및 GUI 클라이언트 프로그램 - 서버 편집 (자동 실행 방법, 패스워드 설정, 포트 변경, ICQ notification, ...) * 취약한 플랫폼 : Microsoft Windows Any version * 참고 사이트: http://www.iss.net/security_center/static/4849.php http://www.dark-e.com/archive/trojans/asylum/ http://www.tlsecurity.net/backdoor/asylium.html 해결책 시스템에서 백도어를 제거해야 한다. 1. 'regedit' 이나 기타 레지스트리 편집 프로그램을 통해서 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run 또는 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunServices 또는 HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 위치의 레지스트리에서 'SystemAdministration' 키를 제거한다. 2. system.ini 파일에서 shell=Explore.exe wincmp32.exe 를 shell=Explore.exe 로 변경한다. 3. win.ini 파일에서 load=c:\windows\wincmp32.exe 또는 run=c:\windows\wincmp32.exe 를 제거한다. 4. 컴퓨터를 재부팅하거나 wincmp32.exe 를 종료한다. 3. 윈도우즈 디렉토리에서 트로이 목마 프로그램 wincmp32.exe를 제거한다. -- 또는 -- 백신 프로그램(안티바이러스 프로그램)을 이용하여 치료해야 한다. 관련 URL (CVE) 관련 URL (SecurityFocus) 관련 URL (ISS)