안녕하세요? 이스트시큐리티입니다. 구글 플레이스토어는 공식 앱 마켓으로서 악성 행위가 포함된 앱에 대응하기 위해서 각별한 주의를 기울이고 있습니다. 하지만 다양한 악성 앱들이 정상 앱을 가장하여 배포되고 있습니다. 해당 악성 앱은 별자리 운세 앱을 사칭하여 앱이 지워졌다는 문구를 팝업하여 사용자를 속이지만 실제 지워지지 않고 사용자 몰래 기기 정보뿐 아니라 문자, 통화 기록 등의 개인정보까지 탈취합니다. 본 분석 보고서에서는 ‘Trojan.Android.Dropper’ 를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 사용자를 속이는 문구처음 악성 앱을 실행하면 사용자를 속이기 위해서 해당 앱이 삭제되었다는 문구가 팝업되나 실제 지워지지 않고 사용자에게 보이는 아이콘만 지워지고 악성 행위는 지속하고 ..

악성코드 분석 리포트 2018. 9. 17. 10:54

안녕하세요? 이스트시큐리티입니다. 최근 CrpytoJoker 랜섬웨어의 변종으로 CryptoNar로 불리는 랜섬웨어가 발견되었습니다. CryptoJoker 랜섬웨어와는 다르게 암호화 대상이나 방법에는 차이점을 보입니다. CryptoNar 랜섬웨어는 암호화 제외 확장자를 따로 구분하지 않아 바탕 화면에 존재하는 모든 폴더와 파일이 암호화 대상이 됩니다. 파일 암호화가 완료되면, 시스템 정보와 RSA키 정보를 공격자 메일로 전송합니다. 현재 복호화 도구가 공개되어 피해를 최소화할 수 있으나, 지속적인 변종이 등장할 가능성이 높은 만큼 사용자의 주의가 필요합니다. 따라서, 본 보고서에서는 CryptoNar 랜섬웨어를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 중복 실행 방지중복 실행을 방지하기 위해 특..

악성코드 분석 리포트 2018. 9. 14. 20:30

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 세무사 사무실을 사칭한 악성 메일로 사용자 정보를 탈취하는 악성코드가 발견되어 사용자들의 주의를 당부드립니다. 이번에 발견된 악성 메일은 ‘세무사 사무실 입니다’는 내용으로 첨부된 파일의 실행을 유도합니다. [그림 1] 악성 메일 본문 악성 메일에 첨부된 파일 ‘432540098765.zip’에는 화면 보호기 파일(Document1.scr)로 위장한 실행 파일이 있습니다. [그림 2] 첨부파일 ‘432540098765.zip’ 만일 이용자가 파일을 실행할 경우, 명령어에 의해 %temp%svhost.exe파일이 생성되고 실행됩니다. 인젝션 되어 실행되는 ‘svhost.exe’는 C&C에 연결하고, 정보 탈취 기능을 수행합니다. [그림 3]..

악성코드 분석 리포트 2018. 9. 12. 16:46

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 유명 국내 게임 공략 사이트 게시판에서 원격제어 기능과 MBR 파괴 기능이 있는 악성코드가 유포되어 주의를 당부 드립니다. 악성코드가 유포되는 사이트 게시판에는 실제 게임과 관련 없는 내용으로 영화와 성인사이트로 위장 된 링크를 기재하여 게시판 사용자들의 클릭을 유도하고 있습니다. [그림 1] 게임 공략 사이트에 기재된 게시글 이미지 취약한 윈도우 및 소프트웨어를 사용 중인 게시판 사용자가 호기심에 해당 사이트를 클릭 할 경우 Drive By Download 기법에 의해 악성코드가 다운로드 및 실행 될 수 있습니다. 이스트시큐리티 악성코드 위협 대응 솔루션 Threat Inside(쓰렛인사이드)에 분석 된 데이터에 의하면 2018년 08월..

악성코드 분석 리포트 2018. 9. 5. 17:08

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 전자상거래 위반행위 조사 내용이 담긴 공정거래위원회(이하 공정위) 사칭 악성 메일을 통해 국내에 GandCrab 랜섬웨어가 유포되고 있습니다. 관련하여 지난 공정위 사칭 메일에 사용된 옛날 로고 대신 최신 공정위 CI 로고로 변경해 악성 메일로 유포되는 점이 ESRC 모니터링에 포착되어 이용자들의 주의를 당부드립니다. ※ 관련글 보기 ▶ 공정거래위원회를 사칭하여 유포하는 GandCrab 랜섬웨어 주의 이번에 발견된 공정위 사칭 악성메일은 기존에 발견된 '공정위' 사칭 악성 메일과 동일한 내용을 가지고 있으며, 첨부 파일 실행을 유도합니다. 특징적으로 이전에 유포된 '공정위' 사칭 악성 메일과 비교했을 때 '조사심사기간, 조사기준일, 조사대..

악성코드 분석 리포트 2018. 9. 4. 10:02

1. 금성121, 최신 APT 캠페인 '작전명 로켓 맨(Operation Rocket Man)' 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. ESRC에서는 지난 03월 20일 미디어를 통해 대북 단체 및 국방분야를 주요 공격 대상으로 사이버 침투활동을 전개해 온 정부지원 APT 위협그룹 금성121(Geumseong121) 조직이 안드로이드 기반 모바일 스피어 피싱(Spear Phishing)공격까지 수행함을 공개한 바 있습니다. 그리고 07월 04일에는 남북이산가족찾기 전수조사 내용으로 사칭한 스피어피싱 이메일 주의를 안내해 드린 바도 있습니다. [그림 1] 금성121 그룹의 공격 벡터 사례 베일에 쌓여있는 공격자들은 CVE-2018-48..

악성코드 분석 리포트 2018. 8. 22. 21:21

안녕하세요? 이스트시큐리티입니다. 최근 안드로이드 기기의 성능이 발전하면서 그 쓰임새가 다양해지고 있습니다. 특히, 폭넓은 종류의 게임들이 출시되면서 미니 게임기를 대체하는 추세 입니다. 이에 게임을 더욱더 재미있고 쉽게 즐길 수 있도록 도와주는 관련 주변 기기들도 다양해지고 있습니다. 그 중에서도 복잡하고 빠른 게임의 이용을 돕는 게임패드의 활용이 빠르게 증가하고 있습니다. 대부분의 게임패드는 중국에서 수입되고 있으며 중국 제조사의 설정 앱과 연동을 하여야 원활한 사용이 가능합니다. 그런데, 문제는 이 설정 앱에서 과도한 권한을 요구하고 있으며 이러한 권한을 이용하여 사용자 몰래 기기 정보를 수집하고 전송하는데 있습니다. 이제부터 사용자 정보를 훔쳐가는 해당 악성앱 'Misc.Android.InfoSt..

악성코드 분석 리포트 2018. 8. 20. 09:00

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 공정거래위원회를 사칭한 악성 메일로 GandCrab 랜섬웨어가 유포되고 있어 이용자들의 주의를 당부드립니다. 이번에 발견된 공정거래위원회 사칭 악성메일은 '전자상거래에 대한 위반행위 관련 조사통지서' 내용을 담고 있습니다. 또한 메일 본문 하단에 '붙임. 전산 및 비전산 자료 보존요청서 1부' 내용으로 첨부 파일 확인을 유도합니다. [그림 1] '전자상거래 위반행위 관련 조사통지서'로 위장한 악성 메일 실제 첨부파일 '전자상거래 위반행위 통지서.egg'에는 2개의 바로가기 파일 '1.전자상거래 위반행위 통지서.doc.lnk', '2.전산 및 비전산 자료 보존요청서.doc.lnk'과 GandCrab 랜섬웨어인 'uandsk.exe'가 있습니..

악성코드 분석 리포트 2018. 8. 17. 14:25