꿈 꾸는 사람

http://xpack.tistory.com/?page=13

gh0st bot으로 의심되는 악성 코드가 확인이 되고 있다. 해당 악성 코드를 gh0st bot으로 의심하는 이유는 gh0st protocol 포맷을 이용하기 때문으로 현재까지 추정/확인하고 있다.

또한 zlib 압축된 데이터를 decompress 했을 경우, C&C 서버로 전송되는 format이 gh0st bot이 C&C 통신할 때 사용되는 것과 동일하다.

gh0st protocol의 기본 형태 및 확인된 악성 코드에서 변형해서 사용된 형태는 아래와 같다.

Compressed data를 Decompress 할 경우, 확인되는 특정 문자열이 존재한다. 해당 문자열의 위치는 기존 Gh0st의 버전 정보 혹은 그룹 명을 위치한 곳으로 판단되며, 이를 통해 악성 코드 제작자(공격자)의 그룹을 유추해볼 수 있겠다.

ilo.brenz.pl

ant.brenz.pl

https://www.google.co.kr/webhp?hl=ko&tab=ww#newwindow=1&hl=ko&q=%22ilo.brenz.pl%22+%22ant.trenz.pl%22

핵 확산 금지 조약(核擴散禁止條約, Nuclear Non-Proliferation Treaty 약칭 NPT 또는 NNPT, 문화어: 핵무기 전파 방지 조약)은 핵무기를 보유하지 않은 나라가 핵무기를 갖는 것과 핵무기 보유국이 비 보유국에 핵무기를 제공하는 것을 금지하는 조약으로, NPT 또는 NNPT라고 불리기도 한다. (출처 : https://ko.wikipedia.org/wiki/%ED%95%B5_%ED%99%95%EC%82%B0_%EA%B8%88%EC%A7%80_%EC%A1%B0%EC%95%BD)