SQL injection Malware Architecture

SQL injection Malware Architecture

전체적으로
(1) SQL 삽입 공격으로 웹 사이트에 심어놓은 Front-end JavaScript
(2) 악성코드 호스팅 서버의 Middle-layer JavaScript
(3) 악성코드 호스팅 서버의 Back-end JavaScript and/or Exploits
(4) 최종적으로 사용자 PC에 다운로드 되는 악성코드 실행파일
로 이루어짐

(1) Front-end JavaScript
  a. Frequently changed with javascript ofuscation/encoding technique
  b. There are plenty of variants
  c. Injected into MS-SQL Server

(2) Middle-layer JavaScript
  a. multiple layer

(3) Back-end JavaScript/Exploits
  a. Small number of variants
  b. Some of them are exploits (RealPlayer, MS07-004, GLWorld, etc)
  c. Hosting Server: China (exception: Korea)

(4) Malware.exe
  a. Well-known malware
  b. small number of variants

발견되는 JavaScript 악성코드를 전부 AV pattern 에 등록하는 것은 inefficient 함.
어차피 최종 다운로드되는 malware.exe 가 피해를 입히는 것인데, 이미 well-known 한 것이므로 탐지되고 있는 상황.

다만 대량 SQL injection 으로 DB 테이블이 오염되고 있는 것은 심각한 문제임.
동일한 사이트에 5차례에 걸쳐 다른 악성 JavaScript 가 삽입된 사례있음.
피해 사이트는 SQL injection 에 취약하므로, 향후 중국 해커들에 의한 leverage 로 활용될 여지가 농후함.

이글루스 가든 - professional secur...