안녕하세요? 이스트시큐리티입니다. 구글 플레이스토어의 취약한 보안으로 인하여 플레이스토어를 통한 악성앱 유포가 빈번하게 발생하고 있습니다. 안드로이드를 사용하는 유저수가 많다는 것을 고려하면 매우 위험한 상황입니다. 이렇게 유포되는 악성앱의 목적은 정보 탈취, 스파이 행위, 금전 갈취 등으로 다양합니다. Trojan.Android.InfoStealer는 피해자의 스마트폰을 통한 암호화폐 탈취가 목적이며 탈취한 암호화폐를 금전으로 환전합니다. 2017년부터 세계적으로 암호화폐 열풍이 불어 많은 사람들이 암호화폐 거래를 시작하는 계기가 되었습니다. 이와 함께 해커들은 암호화폐를 노리는 공격을 시도하거나 랜섬웨어를 유포 후 피해자의 파일을 암호화하고 암호 해제 대가로 암호화폐를 요구하고 있습니다. 해커들이 암..

악성코드 분석 리포트 2019. 3. 25. 08:30

안녕하세요? 이스트시큐리티입니다. 2019년 2월, 기업에서 사용하는 중앙관리 서버(AD서버)를 주요 타깃으로 공격을 하는 랜섬웨어가 발견되었습니다. 개인이 아닌 기업들을 주요 공격 대상으로 하기 때문에 이미 한국 인터넷진흥원에서도 2월 22일 주의 공지를 게재한 적이 있습니다. 해당 악성코드에 감염되면 관리 서버에 연결된 모든 드라이브가 전부 암호화되고 유효한 인증서를 사용하기 때문에 사용자들의 각별한 주의가 필요합니다. [그림 1] 인증서 화면 따라서 본 보고서에서는 Clop 랜섬웨어의 악성 행위와 이를 예방하기 위한 방법을 알아보고자 합니다. 악성코드 상세 분석 1. 중복 실행 방지 중복 실행을 방지하기 위해 ‘Mutex’를 사용합니다. 뮤텍스의 이름은 ‘HappyLife^_.’이며, 만약 뮤텍스가..

악성코드 분석 리포트 2019. 3. 22. 11:31

Malware Spreads As a Worm, Uses Cryptojacking Module to Mine for Monero 웜의 기능을 갖춘 모듈형 악성코드가 한 서버에서 다른 서버로 확산되고 모네로 가상화폐를 채굴하기 위해 ElasticSearch, Hadoop, Redis, Spring, Weblogic, ThinkPHP, SqlServer를 실행하는 서버의 알려진 취약점을 악용하는 것으로 나타났습니다. PsMiner라는 이름의 이 악성 코드의 웜 모듈인 systemctl.exe는 Go 언어로 작성된 윈도우 바이너리로 인터넷에서 찾을 수 있는 취약한 서버를 해킹하여 침투하는데 사용될 수 있는 익스플로잇 모듈을 포함하고 있습니다. 이 외에도 PsMiner 웜 모듈은 타깃이 취약하거나 디폴트 인증 ..

국내외 보안동향 2019. 3. 13. 14:02

Ransomware Pretends to Be Proton Security Team Securing Data From Hackers ProtonMail과 ProtonVPN을 운영하는 Proton Technologies의 보안 팀으로 위장한 GarrantyDecrypt 랜섬웨어의 최신 변종이 발견되었습니다. 이 랜섬웨어 패밀리는 지난 2018년 10월 랜섬웨어 연구원인 Michael Gillespie가 발견했으며, 다른 랜섬웨어와 같이 대규모 배포 공격을 한 적은 없지만 공개된 직후 꾸준히 피해자들이 늘고 있습니다. 사용자들은 ID-Ransomware에 이 랜섬웨어의 랜섬노트나 암호화된 파일을 꾸준히 등록하고 있습니다. [그림] GarrantyDecrypt의 등록 현황 지난 2월 또 다시 발견된 Garra..

국내외 보안동향 2019. 3. 5. 14:33

이스트시큐리티에서 오는 3월 6일(수)부터 8일(금)까지, 제 8회 eGISEC 2019(전자정부 정보보호 솔루션 페어)에 참가한다는 소식을 전해 드립니다! 이스트시큐리티 부스에서는 10년 이상 엔드포인트 노하우와 1,600만 알약 사용자 데이터를 바탕으로 알려지지 않은 위협을 선차단하는 '알약 EDR' 솔루션과 악성코드 위협 대응 솔루션 'Threat Inside'에 대한 상세한 정보를 선보여 드릴 예정입니다. 또한, 이번 eGISEC 2019에서는 이스트시큐리티가 직접 진행하는 여러 세미나도 준비되어 있습니다. 이스트시큐리티 전시 부스 내에서 매일 2회 진행되는 미니 세미나와, 전시회 장내에 따로 마련된 기술세미나장에서 진행되는 EDR 솔루션 주제의 기술 세미나를 통해 최신 보안 동향과 공격 사례, ..

이스트시큐리티 소식 2019. 3. 4. 09:47

안녕하세요. 이스트시큐리티입니다. '사이버 보안 위협' 하면 어떤 키워드가 떠오르시나요? 아무래도 최근 몇 년 간은 랜섬웨어가 가장 흔하게, 가장 자주 접하게 되는 보안 위협이지 않았나 싶은데요. 주위에서 '나 랜섬웨어 걸려서 자료 다 날아갔어ㅠㅠ' 하는 이야기를 심심치 않게 들을 수 있고, 알약 블로그만 봐도 입사지원서, 쇼핑몰 할인쿠폰 등으로 위장한 새로운 랜섬웨어 공격을 발견할 수 있습니다. 랜섬웨어란?Ransom(몸값)과 Software(소프트웨어)란 단어가 합쳐져서 생성된 단어로 PC에 존재하는 중요한자료들을 암호화한 후, 암호화된 파일들을 볼모로 삼고 피해자로 하여금 돈을 지불하도록 강요하는 악성코드입니다. 랜섬웨어의 최근 공격 형태 (LINK) >> 그럼에도 랜섬웨어가 나와는 거리가 먼 이야..

안전한 PC&모바일 세상/PC&모바일 TIP 2019. 2. 26. 08:58

New Attack Kit Combines Trojans and Tools to Spread Miners, Steal Data 중국, 대만, 이탈리아와 홍콩의 취약한 기기들을 스캐닝하던 중, 데이터와 모네로를 수집하기 위해 트로이목마 2개와 코인 마이너를 결합하고 인터넷과 LAN을 통해 스스로를 확산시키는 새로운 악성코드 기반 공격 키트가 발견 되었습니다. Trend Micro의 연구원들은 445 포트를 오픈해 두었으며, SMB 익스플로잇에 취약한 컴퓨터의 윈도우 폴더 내 랜덤 파일로 보이게끔 드랍 된 공격 키트를 발견했습니다. 이는 2017년 이미 패치 된 윈도우 서버 취약점인 MS17-010를 노렸습니다. 다단계 감염 프로세스는 피해자의 취약점을 악용 후 초기 발판을 마련하기 위해 인포스틸러 악성코드..

국내외 보안동향 2019. 2. 22. 11:33

Ursnif: Long Live the Steganography and AtomBombing! 이탈리아를 공격하며 AtomBombing이라는 이색적인 프로세스 인젝션 기술을 사용하는 새로운 Ursnif 공격이 발견 되었습니다. Ursnif는 가장 활동적인 뱅킹 트로이목마들 중 하나입니다. 이는 GOZI로도 알려져 있습니다. 지난 2014년, 오리지널 GOZI-ISFB 뱅킹 트로이목마의 소스코드가 유출된 바 있으며 이후 몇 년 동안 GOZI의 기능을 개선시켜 왔습니다. Ursnif는 VBA 매크로를 내장해 무기화 된 오피스 문서를 사용하도록 진화 되었습니다. 이 매크로는 드롭퍼로써 동작하며, 진짜 페이로드를 숨기고 백신 탐지를 피하기 위해 매우 난독화 된 다단계 Powershell 스크립트를 사용합니다. ..

국내외 보안동향 2019. 2. 11. 13:46