안녕하세요? 이스트시큐리티입니다. 2014년 독일 및 오스트리아 은행 고객을 대상으로 처음 등장한 EMOTET 악성코드가 최근 다시 등장하고 있습니다. EMOTET 악성코드는 사용자 PC를 감염시키고, C&C 통신을 통해서 시스템 정보와 금융 정보를 탈취하는 등의 악성 행위를 시도합니다. EMOTET 악성코드는 주로 이메일을 통해 유포됩니다. 공격자는 이메일 안에 악의적인 스크립트가 포함된 문서 파일을 첨부하거나, 악성코드가 다운로드되는 URL링크를 삽입하는 방식을 사용합니다. 또한 사용자가 관심 가질만한 거래 및 청구서 관련 내용을 포함하여 의심을 최소화하고 악성코드에 감염되도록 유도합니다. 본 보고서에서는 EMOTET 악성코드를 상세 분석 하고자 합니다. 악성코드 상세 분석 1. EMOTET 악성코드..

악성코드 분석 리포트 2018. 4. 23. 08:32

안녕하세요? 이스트시큐리티입니다. 최근 안드로이드 악성앱이 고도화되면서 백신의 탐지를 회피하기 위한 암호화 및 안티 디버깅 기술이 적용되고 있습니다. 특히, 해당 앱은 악성행위에 사용되는 모든 문자열과 파일들을 암호화하여 저장하고 있다가 실제 사용될 때 이를 복호화 하여 사용합니다. 또한, 기기 및 개인정보의 단순한 탈취를 넘어 사용자의 기기를 완전히 장악한 후 오디오, 사용자의 입력 등 사용자의 활동을 실시간으로 감시하고 확인합니다. 본 분석 보고서에서는 “Spyware.Android.FakeApp”를 상세 분석 하고자 합니다. 악성코드 상세 분석 1) 분석 방해 및 백신 탐지회피가. 암호화 된 문자열악성행위에 사용되는 문자열들을 암호화하여 바이트 형태로 저장하고 있다가 해당 문자가 실제 사용될 때 마..

악성코드 분석 리포트 2018. 4. 18. 16:19

GoScanSSH Malware spread avoiding Government and Military networks 보안 전문가들이 온라인에 노출 된 SSH 서버를 손상시키는 새로운 악성코드인 GoScanSSH를 발견했습니다. 이 악성코드는 악성 프로그램에는 잘 사용 되지 않는 Go 프로그래밍 언어를 사용해 개발되었으며, 정부 및 군사 네트워크는 감염시키지 않는 등의 다양한 기능이 구현되어 있습니다. 공격자들은 감염 된 시스템마다 고유한 악성코드를 생성했습니다. 또한 GoScanSSH의 C&C 인프라는 Tor2Web 프록시 서비스를 사용해 서버 추적을 어렵게 하고 사용이 중단 되더라도 복원이 쉽도록 했습니다. GoScanSSH는 공개적으로 접근 가능하고 패스워드 기반의 SSH 인증이 가능한 SSH 서..

국내외 보안동향 2018. 3. 28. 14:56

안녕하세요? 이스트시큐리티입니다. 최근까지 사용자의 중요 파일을 암호화한 뒤 복호화를 대가로 비트코인을 요구하는 랜섬웨어가 꾸준하게 발견되고 있는 가운데 Saturn으로 불리는 새로운 랜섬웨어가 발견되었습니다. 이번에 발견된 Saturn 랜섬웨어는 파일을 암호화한 뒤 .saturn 확장자를 추가하고, Cerber 랜섬웨어와 마찬가지로 스크립트를 이용해 음성으로 감염 사실을 알리는 것이 특징입니다. 또한, 한글이 포함된 경로에 대해서는 암호화를 진행하지 않습니다. 암호화 대상 확장자는 총 162개로 이 중에는 비트코인 지갑 .wallet를 포함한 금융정보와 관련된 확장자가 포함되어 있습니다. 본 보고서에서는 Saturn 랜섬웨어를 상세 분석 하고자 합니다. 악성코드 상세 분석 1) 프로세스 실행 유무를 위..

악성코드 분석 리포트 2018. 3. 22. 16:30

Pre-Installed Malware Found On 5 Million Popular Android Phones 보안 연구원들이 이미 전 세계 5백만대에 가까운 모바일 기기들을 감염 시킨 대규모 악성코드 캠페인을 발견했습니다. RottenSys라 명명 된 이 악성앱는 ‘System Wi-Fi Service’앱으로 위장하고 있으며 Honor, Huawei, Xiaomi, OPPO, Vivo, Samsung, GIONE에서 생산 된 새 스마트폰 수 백만 대에 공급 망 어딘가에서 선 탑재 되어 출고되고 있었습니다. 이에 영향을 받은 모든 기기들이 중국 항저우의 모바일 기기 배포업체인 Tian Pai를 통해 배송 되었지만, 연구원들은 이 회사가 직접적으로 이 캠페인에 참여했는지 여부는 정확히 알 수 없었다고 ..

국내외 보안동향 2018. 3. 16. 16:37

Trojanized BitTorrent Software Update Hijacked 400,000 PCs Last Week 지난 주 대규모 악성코드 배포 사건으로 인해 약 50만대의 컴퓨터들이 단 몇 시간 안에 가상화폐 마이닝 악성코드에 감염 되었습니다. 이는 인기있는 BitTorrent 클라이언트인 MediaGet의 백도어가 포함 된 버전 때문이었던 것으로 밝혀졌습니다. Dofoil(Smoke Loader라고도 알려짐)이라 명명 된 이 악성코드는 감염 된 윈도우 컴퓨터에 피해자의 CPU 사이클을 이용해 공격자의 일렉트로니움 디지털 코인을 채굴하는 가상화폐 마이닝 프로그램을 페이로드로써 드롭하는 것으로 나타났습니다. (Dofoil에 대한 자세한 내용은 3월 7일 MS 보고서에 포함 되어 있습니다.) 지난..

국내외 보안동향 2018. 3. 15. 15:01

안녕하세요? 이스트시큐리티입니다. 가상화폐 시세의 급등과 함께 채굴 기능이 있는 앱들이 등장하고 있습니다. 이러한 채굴 기능은 안드로이드 공식 마켓인 구글 플레이스토어의 정상 앱에서 발견되고 있으며, 해당 개발자가 정상 앱의 새로운 버전을 배포할 때 마이너를 추가하여 배포한다. 문제는 이를 사용자들에게 고지하지 않는 것입니다. 기기의 웹 브라우저를 활용한 마이너와 so 파일을 활용한 마이너가 주를 이루고 있습니다. 특히, so 파일을 활용하는 마이너는 "피닉스 코인"을 채굴하며 기기의 화면이 꺼져 있고 충전 중일 때만 채굴을 하여 사용자가 쉽게 알아차리기 어렵습니다. 본 분석 보고서에서는 so 파일을 활용한 마이너를 상세 분석 하고자 합니다. 악성코드 상세 분석 [그림 1] 정상앱 속의 채굴 해당 악성코..

악성코드 분석 리포트 2018. 2. 23. 09:00

안녕하세요? 이스트시큐리티입니다. 이번에 등장한 랜섬웨어는 ‘Hermes’ 2.0 버전으로 기존 ‘Hermes’ 랜섬웨어의 변종입니다. 랜섬웨어 특성에 따라 악성코드 제작자는 사용자의 중요 파일을 암호화한 뒤 복호화 대가로 비트코인 결제를 유도하여 금전적인 이득을 취합니다. 기존 버전에서 파일 암호화가 진행된 이후‘.hermes’확장자를 추가하던 것과 달리 별도의 확장자를 추가하지 않는 것이 특징입니다. 또한 암호화 대상 확장자에는 ‘.hwp’가 포함되어 있어 국내 사용자들의 피해가 우려됩니다. 본 분석 보고서에서는 ‘Heremes’ 2.0 랜섬웨어를 상세 분석 하고자 합니다. 악성코드 상세 분석 1) 안티 디버깅 Hermes 랜섬웨어는 정상적인 디버깅을 방해하기 위하여 프로세스 실행 시간을 이용한 안티..

악성코드 분석 리포트 2018. 2. 21. 15:28