[2012 CodeEngn Conference 07] M-Stoned - iThreat
1 like2,708 views
2012 CodeEngn Conference 07 그동안 Mac 사용자들은 악성코드로부터 안전하다는 믿음이 있었고 Apple사 역시 마케팅에 활용했었다. 이런 믿음은 2012년 4월, 전 세계 65만대의 Mac 컴퓨터가 Flashback에 감염되고 Mac 사용자에 대한 표적공격 악성코드가 발견되면서 Mac 또한 악성코드의 위협으로부터 완전히 자유로울 수 없음이 확인됐다. 지금까지 발견된 주요 Mac 악성코드에 대해 알아보고 Mac 악성코드 분석 방법과 분석시 유의 사항에 대해 발표한다. http://codeengn.com/conference/07
![간접번지
간접 번지
• 일반 Disassembler
- 일반 Disassembler
- [EBX]와 주소를 통해 계산 필요
78](https://image.slidesharecdn.com/20127thcodeengnmstonedithreat-121203140345-phpapp01/85/2012-CodeEngn-Conference-07-M-Stoned-iThreat-78-320.jpg)
[2012 CodeEngn Conference 07] M-Stoned - iThreat
- 1. iThreat 2012.12.01 안랩 시큐리티대응센터(ASEC) 분석팀 차민석 책임연구원( M-Stoned) www.CodeEngn.com 7th CodeEngn ReverseEngineering Conference
- 2. Contents 1 . Mac, OS X 그리고 보안 2 . Mac 보안위협 타임라인 3 . OS X 악성코드 기법 4 . 분석 환경 및 도구 5 . OS X Internals 6 . 분석시 유의 사항 7 . Mac 악성코드 예측
- 3. 1. Mac, OS X 그리고 보안
- 4. Macintosh • Macintosh - 애플사가 디자인, 개발, 판매하는 개인용 컴퓨터 제품 이름으로 보통 Mac으로 부름 - 1984년 1월 24일 처음 출시 - Commandline Interface 대신 GUI(Graphic User Interface)와 마우스 채용 4
- 5. Macintosh OS X • NeXT 사의 NeXTSTEP을 바탕으로 제작 - 2001년 3월 24일 : Mac OS X 10.0 Cheetah - 2006년 1월 10일 : 첫 인텔 지원 Mac OS X 10.4.4 Tiger - 2009년 8월 28일 : 인텔만 지원하는 Mac OS X 10.6 Snow Leopard - 2912년 2월 16일 : OS X 10.8 Mountain Lion 5
- 6. 현황 증가하는 Mac 점유율 • Mac 점유율 - 세계 6 - 8% - 미국 10 – 15% 추정 6
- 7. 현황 Mac 악성코드 감염 현황 • 2012년 4월 26일 Sophos 발표 - Sophos Mac 백신 제품 사용자 시스템 10만대 검사 결과 36대 중 1대 악성코드 감염 * 출처 : http://nakedsecurity.sophos.com/2012/04/24/mac-malware-study 7
- 8. 보안 Mac 악성코드에 대한 사용자 생각 Mac 악성코드는 존재하지 않음 악성코드 위협은 과장 Mac 백신은 시기상조 8
- 9. 보안 Mac 악성코드에 대한 사용자 생각 * 출처 : http://betanews.com/2012/04/06/three-quarters-of-mac-owners-dont-use-anti-malware-software/ 9
- 10. 보안 Mac 사용자들의 맹목적(?) 믿음 ?! 10
- 11. 애플 애플 보안 정책 변화 • 2012년 6월 14일 애플사 마케팅 문구 변경 과거 애플 보안 정책 • 악성코드 존재 부정 • 악성코드 문제 외면 혹은 소극적 대응 • 늦은 보안 업데이트와 과거 OS 업데이트 미 적용 11
- 12. 주요감염경로 윈도우와 유사한 감염 경로 인터넷 서핑 OS X과 프로그램 취약점 인스턴트 저장 매체 메시징 프로그램 전자메일 프로그램 업데이트 다운로드 App Store
- 13. 2. Mac 보안위협 타임라인
- 14. 1981년 Elk Cloner 최초로 확산된 애플2 컴퓨터 바이러스 • 1981년 15세 Richard Skrenta 제작 • 1982 년 실제 확산된 최초의 애플 컴퓨터 바이러스 • 디스크 입출력 (LOAD, BLOAD, CATALOG) 명령 시 플로피 디스크 감염 • 감염된 디스크로 부팅 할 때 증상 존재 - 15 회 : INVERSE 모드, 20 회 : 비프, 25 회 : FLASH 모드, 50회 : 메시지 출력 , 77 회 : 리부트 - 매번 50 회 부팅 시 메시지 출력으로 잘못 알려짐 (80회 부팅 시 초기화 됨) 14
- 15. 1981년 Elk Cloner 최초로 확산된 애플2 컴퓨터 바이러스 • DOS 3.3 명령 (LOAD, BLOAD, CATALOG) 변경 해 바이러스로 점프 - CATALOG 명령이 시작되는 0xA56E에 바이러스 코드로 점프하는 JMP $90B6 명령으로 수정 - $90B6에서 먼저 감염 여부를 확인 후 원래 CATALOG 명령 수행하고 바이러스 감염 시킴 15
- 16. 1998년 AutoStart Power Mac에서 전파되는 홍콩발 AutoStart 9805 • 1998년 4월 홍콩과 대만에서 발견 - QuickTime2.0(QuickTime 2.0 이상) 과 CD-ROM AutoPlay 기능 필요 - 국내에도 유입되어 엘렉스에서 백신 제공 (1998년 5월 19일 경향신문 22면) * 국내에서 제작된 최초의맥 백신프로그램으로추정 • QuickTime2.0 이상의AutoPlay 기능 이용 - HFS (Hierarchical File System)나 HFS+ 매체 (하드디스크, 디스켓, 집 디스크 등) 감염 • 데이터 손상 - data, cod, csa로 끝나는 이름을 가진 파일에 쓰레기 덮어씌움 - 변형 중에는 JPEG, TIFF, EPSF 파일 손상 시킴 16
- 17. 2004년 10월 23일 Opener (Renepo) Unix shell 스크립트 웜 • 첫 맥 OS X 악성코드로 알려짐 - 2004년 3월 3일 DimBulb 가 Macintosh Underground forum에 가입 - 3월 13일부터 스크립트 웜에 대해 포스팅 하며 그룹 사람들과 함께 제작 - 9월 10일에 포스팅 된 버전이 10월 23일 2시 43분부터 외부에 알려짐 - 10월 24일 부터 항의 게시물 폭증해 제작 포기 • 증상 - 시스템 보안 설정 낮춤 - OS X 방화병, 소프트웨어 업데이트 기능 해제 - ohphoneX (목소리 및 비디오 공유), dsniff (암호 스니퍼), John the Ripper (암호 크랙) 다운로드 후 설치 • 애플 대응 - 애플사 악성코드 부정하며 공식 대응 안 함 "Apple has just released the following statement and will not comment beyond this: 'Opener is not a virus, Trojan horse, or worm. It does not propagate itself across a network, through email, or over the web. Opener can only be installed by someone who already has access to your system and provides proper administrator authentication. Apple advises users to only install software from vendors and websites that they know and trust.‘” - 2005년 4월 애플사 OS X 10.4 Tiger 보안업데이트 발표 (취약점은 2003년 봄 부터 존재) 17
- 18. 2004년 10월 23일 Opener (Renepo) Unix shell 스크립트 웜 • 자세한 이야기 - http://rixstep.com/1/20060311,00.shtml 18
- 19. 2006년2월13일Leap 실질적 첫 OS X 악성코드 • 전파 - iChat 친구 리스트로 악성코드가 포함된 latestpics.tgz를 전송 * 버그로모두 성공하지는 못함 * Source : http://www.symantec.com/security_response/writeup.jsp?docid=2006-021614-4006-99&tabid=2 • 코드 내 문자열 •Mac OS X 사용자에 실제 발생한 첫 사건 19
- 20. 2007년10월RSPlug(Dnschanger) 금전적 이득 목적의 악성코드 등장 • RSPlug(Dnschanger) - DNS 주소 변경 해 피싱 사이트로 유도해 금전적 이득 • 스크립트형 20
- 21. 2008년1월17일첫가짜백신프로그램 맥용 가짜 백신 프로그램 Mac Sweeper 등장 • KiVVi Software에서 제작한 가짜 백신 프로그램 - 항상 무언가 진단하고 구매 요구 * 제작 회사는유용한프로그램이지만강제 마케팅등으로불편을 끼쳐미안하다고사과 21
- 22. 2008년12월3일애플사백신프로그램권장후삭제 애플사 악성코드 경고 후 언론 관심으로 웹사이트 삭제 • 애플사 백신 프로그램 사용 권장 • 애플사 백신 프로그램 사용 권장 페이지 삭제 22
- 23. 2011년5월가짜백신프로그램대거등장 본격적인 가짜 백신 프로그램 등장 • 가짜 백신 프로그램 대거 등장 - Mac Defender, Mac Protector, Mac Security, Mac Guard, Mac Shield 등의 이름 사용 * 애플사 5월 30일보안 업데이트를통해제거 추가 • 실제 문제 발생 - AppleCare로 6 만 건의 문의 발생 • 애플 대응 - 대응하지 말라는 지침 알려짐 * 출처 : http://i.zdnet.com/blogs/apple-support-instructions.png?tag=content;siu-container * 국내에는애플사에서악성코드를부정하라는내용으로잘못알려짐 (http://www.parkoz.com/zboard/view.php?id=express_freeboard2&page=1&sn1=&divpage=12&sn=off&ss=on&sc=off&select_arrange=headnum&desc=asc&no=30424 &cstart_page=0) 23
- 24. 2011년7월Olyx 표적공격 ? • PortalCurrent events-2009 July 5.rar 내 악성코드 포함 - 시위 사진 (주로 중국) * source : http://blogs.technet.com/b/mmpc/archive/2011/07/25/backdoor-olyx-is-it-malware-on-a-mission-for-mac.aspx • 사진을 클릭 할 때 악성코드 실행하도록 유도 - Current events 2009 July 5 : OS X 악성코드 - Video-Current events 2009 July 5.exe : Windows 악성코드 24
- 25. 2012년3월티벳NGO 표적공격 티벳 NGO에 대한 표적 공격 확인 • 티벳 독립 활동가에 대한 표적 공격 확인 - 취약점 이용한 공격 확인 25
- 26. 2012년4월Flashback Zero-day Java 취약점 이용한 Flashback 변형 맥 60 만대 이상 감염 • 2월 발견된 Java 취약점 이용 - 2월 CVE-2011-3544 & CVE-2008-5353 취약점 이용 - 3월 16일 CVE-2012-0507 취약점 이용 (애플사 늦은 업데이트로 19일 동안 zero-day 공격 발생) • 4월 3일 애플사 업데이트 실시 - APPLE-SA-2012-04-03-1 Java for OS X 2012-001 and Java for Mac OS X 10.6 Update 7 • 최대 75 만대 이상 시스템 감염 (http://news.drweb.com/show/?i=2341&lng=en&c=5) - 미국 352,341 대, 캐나다 123,033 대, 영국 84,013 대, 오스트레일리아 48,298 대 - 대한민국 : 130 대 26
- 27. 2012년4월13일Sabpab 티벳 NGO에 대한 표적 공격 • 오피스와 Java 취약점 이용 - 2012년 2월 : 워드 문서 (MS09-027, CVE-2009-0563) 이용한 공격 (1.5 개월 동안 발견 안됨) - 2012년 4월 : Java 취약점 이용한 공격 * 2012년2월 샘플은 4월자바 취약점이용한 공격후 발견. • 백도어 기능 • Luckycat와연관성 - 동일 IP 접속으로 추정 27
- 28. 2012년6월27일위구르독립운동가에대한표적공격 중국 위구르 독립 운동가에 대한 표적공격 • 메일에 사진과 악성코드 첨부 - 파워PC와 인텔 맥에서 실행 가능한 백도어 • 2012년 3월 티벳 표적공격에 사용된 악성코드와 유사 - 동일 세력이 티벳과 위구르 독립 운동가 감시 목적으로 제작 추정 28
- 29. 3. OS X 악성코드 기법
- 30. 감염 정상 package 위장 • Flashback 감염 - 정상 프로그램처럼 위장해 사용자가 암호 입력하도록 유도 30
- 31. 감염 데이터 파일을 가장한 실행파일 • 그림 파일로 가장한APP - 실제는 실행 파일 31
- 32. 감염 취약점 • 취약점 이용한 공격 - 다양한 취약점 존재하지만 실제 악성코드나 해킹에 이용되는 취약점은 제한적 - 주로 MS Office, Java 등 취약점 이용 주요 취약점 • CVE-2008-5353 : Java • CVE-2009-0563 (MS09-027) : Microsoft Office Word의 취약점으로 인한 원격 코드 실행 문제점 (969514) • CVE-2011-3544 : Java • CVE-2012-0507 : Java (0 day) • CVE-2012-4681 : Java (0 day) 32
- 33. 표적공격(targeted attack) Mac에 대한 주요 표적공격 Mac에 대한 주요 표적공격 사례 • 2011년 7월 : PortalCurrent events-2009 July 5.rar 에서 Windows와 Mac 악성코드 발견 • 2011년 9월 : Diaoyu (Senkaku) 관련 PDF로 위장한 악성코드 발견 • 2012년 3월 9일 : MS 오피스 취약점 (MS09-027) 이용한 티벳 단체 표적 공격 발견 • 2012년 3월 19일 : 실제 티벳 단체 공격 정보를 담은 메일에 자바 취약점(CVE- 2011-3544) 공격 포함 • 2012년 4월 13일 : 자바 취약점(CVE-2012-0507)을 이용한 티벳 단체에 대한 표적 공격 • 2012년 6월 27일 : 위구르 독립 운동가에 대한 표적 공격 (3월 티벳 단체 표적 공격과 악성코드 유사) • 2012년 3월, 9월, 11월 : 티벳 활동가 등을 대상으로 사진을 가장한 악성코드 발견 33
- 34. 표적공격 case study (1) Imuler campaign • 2011년 9월 PDF 위장 Mac 악성코드 발견 - VirusTotal에 올려진 파일에서 발견 * http://www.f-secure.com/weblog/archives/00002241.html 34
- 35. 표적공격 case study (1) Imuler campaign • 제작 중인 악성코드 ?! - 악성코드 진행 과정 출력 35
- 36. 표적공격 case study (1) Imuler campaign • Dropper - PDF 파일을 위장한 실행 파일로 최종적으로 백도어 다운로드 Downloader Mach-O Drop Download Dropper 정상 PDF Backdoor 36
- 37. 표적공격 case study (1) Imuler campaign • 정상 PDF - Diaoyu (Senkaku) 관련 PDF - 중국인 대상 표적 공격 ? 37
- 38. 표적공격 case study (1) Imuler campaign • Downloader - curl 명령을 이용한 다운로드 - Backdoor 다운로드 38
- 39. 표적공격 case study (1) Imuler campaign • Backdoor - 악성코드 내 위구르 관련 사이트 주소 포함 - Imuler로 명명 39
- 40. 표적공격 case study) (1) Imuler campaign • 2012년 3월 – 11월 사진을 가장한APP - 사용자 착각을 노린 고전적 방식 40
- 41. 표적공격 case study) (1) Imuler campaign • 2012년 3월 – 11월 사진을 가장한APP - 사용자 착각을 노린 고전적 방식 41
- 42. 표적공격 case study (1) Imuler campaign • 2012년 3월 – 11월 사진을 가장한APP - 사용자 착각을 노린 고전적 방식 42
- 43. 표적공격 case study (1) Imuler campaign • Dropper 구조 - 사진 파일을 가장한 백도어 설치 - password를 물어보지 않음 .confr JPG FileAgent 복사 .conft Backdoor Decrypt APP 삭제 43
- 44. 표적공격 case study (2) 2012년 3월 티벳 NGO 표적공격 • 1. 워드 취약점 (MS09-027) 이용한 OS X 악성코드 발견 -http://labs.alienvault.com/labs/index.php/2012/ms-office-exploit-that-targets-macos-x-seen-in-the-wild-delivers-mac-control-rat/ • 메일 양식 44
- 45. 표적공격 case study (2) 2012년 3월 티벳 NGO 표적공격 • 제작자는 Mac Control로 부름 • 접속 주소 - freetibet2012.xicp.net 45
- 46. 표적공격 case study (2) 2012년 3월 티벳 NGO 표적공격 • 2. 자바 취약점 이용한 티벳 NGO 공격 - 실제 티벳 NGO 공격 정보를 역이용 - 일부 백신 회사에서 OSX/Olyx.B라고 부르지만 Olyx와 연관성 없음 * Source : https://malwarelab.zendesk.com/entries/21142806-alienvault-s-report-on-targeted-attacks-on-tibetan-ngos-is-being-used-to- deliver-malware-to-tibetan- 46
- 47. 표적공격 case study (2) 2012년 3월 티벳 NGO 표적공격 • 자바 취약점(CVE-2011-3544)이용 - default.jar에 Windows 악성코드, index.jar에 OS X 악성코드 포함 default.jar index.jar • 접속 주소 - Windows 악성코드 * tibet.zyns.com (100.42.217.73, 미국) * yahoo.xxuz.com (100.42.217.91, 미국) * lyle.changeip.org (100.42.217.73, 미국) - Mac 악성코드 * dns.assyra.com (100.42.217.73, 미국) 47
- 48. 표적공격(targeted attack) 표적공격 변화 • 표적공격 흐름 - 단순 공격에서 행동감시 우회 방안 연구 - 현재 Mac은 대부분 1,2 단계 변화 • 1단계 – 공격 대상에 악성코드가 포함된 메일 발송 • 2단계 - 변조된 문서를 이용한 악성코드 감염 • 3단계 – 주요 프로그램의 업데이트 서버를 통한 감염 (국내) • 4단계 – 주요 기능을 메모리에서만 실행해 흔적 최소화 (행동감시 회피 목적 추정) • 5단계 – 정상 프로그램 모듈을 통해 악의적 기능 수행 (행동감시 회피 목적 추정) 48
- 49. 4. 분석 환경 및 도구
- 50. File Viewer MachOView • OS X 파일 Viewer - Mac 파일 지원 - 홈페이지 : http://sourceforge.net/projects/machoview 50
- 51. File monitor Dtrace • exesnoop • opensnoop • dtruss • 참고 : http://dtrace.org/blogs/brendan/2011/10/10/top-10-dtrace-scripts-for-mac-os-x/ 51
- 52. Autoruns OSX Autoruns • OSX Autoruns - Python으로 제작된 자동실행 프로그램 확인 - 관리자 모드에서 실행 필요 - http://www.malicious-streams.com/Downloads/Downloads.html 52
- 53. Debugger gdb • 설치 - Xcode 혹은 Command Line Tools for Xcode 설치 * Command Line Tools for Xcode는OS X Lion과OS X Mountain Lion 만지원 53
- 54. Debugger IDA • IDA를 이용한 원격 디버깅 - 디버깅 대상 시스템 설정 54
- 55. Debugger IDA • IDA를 이용한 원격 디버깅 - 디버깅 대상 시스템 설정 55
- 56. Debugger IDA • IDA를 이용한 원격 디버깅 - 56
- 57. Debugger IDA • IDA를 이용한 원격 디버깅 - 57
- 58. Debugger IDA • IDA를 이용한 원격 디버깅 - 58
- 59. Memory analyzer volafox • OS X Memory Analyzer - 홈페이지 : http://code.google.com/p/volafox 59
- 60. 복원 Time Machine과 VMware Fusion • OS X 복원 - Mac에 포함된 Time Machine - VMware Fusion을 이용한 OS X 설치 60
- 61. 유틸리티 7-zip • dmg,fat,pax,xar 등 Mac 관련 파일 지원 61
- 62. 5. OS X Internals
- 63. OS X OS X architecture • OS X 계층 - Mach, BSD, xnu, Darwin 등으로 구성 * 출처 : http://en.wikipedia.org/wiki/Architecture_of_OS_X 63
- 64. Bundles bundle • bundle - 하나의 파일로 보이지만 내부적으로 많은 서브 디렉토리와 파일을 가지고 있는 특정한 목적에 사용되는 디렉 토리 - pkg, app 등 64
- 65. Bundles xar • xar로 pkg 압축 파일 - 0x78617221 (xar!) 65
- 66. Bundles Application • App 구조 66
- 67. Property list Property list • OS X, iOS 등에서 이용하는 사용자 설정 저장 파일 • Safari의 Info.plist 예 67
- 68. 자동실행 자동 실행 방식 • Applications that run on Startup - /Library/StartupItems * 과거 Startup Items로 불림 • Plist items running on Startup - /Library/LaunchDaemons - /System/Library/LaunchDaemons • Applicatonsthat launch on User Login - ~/Library/LaunchAgents - /Library/LaunchAgents - /System/Library/LaunchAgents • plist - /Library/Preferences/loginwindow.plist - ~/Library/Preferences/loginitems.plist - ~/Library/Preferences/loginwindow.plist 68
- 69. 실행파일종류 헤더 • Fat Binary - 0xCAFEBABE • 파워 PC - 0xFEEDFACE • 인텔 - 32비트 : 0xCEFAEDFE - 64 비트 : 0xCFFAEDFE 69
- 70. 실행파일종류 Fat binary (멀티 아키텍쳐 바이너리) • 2가지 이상 실행 파일 포함 - 여러 아키텍쳐를 지원하는 유니버셜 바이너리 - iPhone에서도 이용 70
- 71. Fat File format • header (0x00 – 0x03) - 0xCAFEBABE로 시작 • 첨부 바이러리 수 (0x04 – 0x07) - 2개 바이너리 파일 포함 • fat_arch • cputype (0x08 – 0x0B) 71
- 72. Fat 예제 File format • offset과 size (0x10, 0x14) - 0x10 ~ 0x13 : offset (0x00100000) - 0x14 ~ 0x17 : size (0xD04E0000 ) • 실제 binary 내용 존재 - 0x1000 : 첫 번째 binary 내용 (0xCFFAEDFE로 시작하는 64비트 Mach-O 파일) 72
- 73. 실행파일종류 Mach-O • OS X 실행 파일 • 구조 73
- 74. Mach-O 파일구조 Header • 32 비트 헤더 - magic : 0xCEFAEDFE • 64 비트 헤더 - magic : 0xCFFAEDFE - 헤더 마지막 예약 부분 제외하고 32비트 헤더와 차이점 없음 74
- 75. Mach-O 파일구조 Segment command • 32비트 segment command 구조 • 64비트 segment command 구조 75
- 76. 6. 분석 시 유의 사항
- 77. 컴파일러종류파악 RealBasic • RealBasic의경우 string과 행위 위주로 확인 - IDA Pro 등으로는 분석하기 어려움 77
- 78. 간접번지 간접 번지 • 일반 Disassembler - 일반 Disassembler - [EBX]와 주소를 통해 계산 필요 78
- 79. 간접번지 주소 계산 • 주소 참조 - POP EBX 값 (1C6A) + 15A = 1DC4 - 0x1000은 _PAGEZERO로 발생하는 빈 영역 79
- 80. 시스템호출 $UNIX2003 • _system$UNIX2003 - 시스템 명령어 80
- 81. 7. Mac 악성코드 예측
- 82. 예측 인텔 프로세스, Cross-platform, 취약점, 표적공격 표적공격 -보안 취약점 - 사회 공학 등이용 Cross-platform 취약점 - MS Office - OS X - Open Office - 웹 브라우저 - Java - 3rd party (오피스, Java) 등 - Python 등 인텔 프로세스 • OP 코드 동일 • Linuix/Mac/Windows 동시 감염 악성코드 등장 가능 82
- 83. 예측 Cross-platform 제품 취약점 이용한 감염 • Java, Adobe Reader, Adobe Flash, MS Office 취약점 이용 - 길게는 2년 전 취약점을 이용해 Windows/Mac/Linux 감염 * 출처 http://blogs.technet.com/b/mmpc/archive/2012/07/31/economies-of-scale-a-perspective-on-cross-platform-vulnerabilities.aspx 83
- 84. 예측 Porting • Linux 소스 코드 이용 해 OS X 악성코드 제작 - 2002년에 발견된 Tsunami 소스 코드 이용 * 참고 : http://blog.eset.com/2011/10/25/linux-tsunami-hits-os-x 84
- 85. 예측 사용자 변화 시작 Mac 악성코드 위협은 과장 Mac 악성코드는 존재하지 않음 Mac 백신 필 요 ?! (꿈틀꿈틀) Mac 백신은 시기상조 85
- 86. Q&A e-mail : jackycha@ahnlab.com / xcoolcat7@naver.com 86
- 87. 참고자료 • https://blog.avast.com/2011/05/20/mac-malware-%E2%80%93-a-short-history/ • 안철수, 바이러스뉴스 1호, 1990 • http://www.inetdaemon.com/technology/flashback-isnt-the-first-os-x-virus/ •www.securelist.com/en/analysis/204791925/Kaspersky_Security_Bulletin_2006_Malware_for_Unix_type _systems • http://macviruscom.wordpress.com • David Harley (Eset), personal communication 87
- 88. 감사합니다. ASEC Threat Research & Response blog http://asec.ahnlab.com www.CodeEngn.com 7th CodeEngn ReverseEngineering Conference