Web Shell Finder By z 0 p Team

Web. Shell Finder By z 0 p Team mr 8@kt. com, otz@nhncorp. cn, fckorea@nate. com 2020 -11 -23

Agenda Introduce How To Prevent Webshell How To Detect Webshell Result To Do List 2020 -11 -23

Webshell 탐지 기법 How to Detect Webshell Attack By WSF § MAC(Modify, Access, Changed) Timeline 기준 검색 ü 정상파일의 MAC Time 기준 검색 ü 사용자 지정 MAC Time 검색 § 최신 Webshell DB 구축 ü 보안전문인력의 최신 Webshell 수집/분석 (북경) ü 공개 커뮤니티를 통한 Webshell 변종 수집/분석 (블로그) MAC TIME Webshell DB Signature Counting Remove Webshell 2020 -11 -23 1. 전체 Signature 적용 2. Signature별 가중치 부여 3. 탐지점수를 통한 격 리/삭제

WSF 탐지 샘플 사례 탐지 Name § Signature : admin_dk. asp : <%@ LANGUAGE = VBScript. Encode %> body{font-family: 芥竟; font-size: 10 pt} <form method="post" name="fuck"> § Path : E: ₩Down₩Util₩Web. Shell₩webshell 2₩admin_dk. asp § 2020 -11 -23

WSF 일정 계획 일시 내 용 2009. 03. 25 Webshell Finder v 1. 0 Beta 2009. 04. 07 Webshell Finder 공개 2009. 04. 31 Webshell Finder 버그 제거 (v 1. 0 Release) 2009. 31 Webshell Finder 기능 추가 (Webshell Decoder) 2009. 12. 31 Webshell Finder 기능 확대 계획 수립 ( 단위 : 주 ) 구 분 V 1. 0 Beta Releae WSF 버그 제거 Decorder 기능 추가 DB Update 2020 -11 -23 3월 4 4월 1 2 5월 3 4 1 2 6월 3 4 1

Q/A 2020 -11 -23

End of Document