CCleaner Malware Infects Big Tech Companies With Second Backdoor CCleaner의 다운로드 서버를 하이잭해 악성 버전의 소프트웨어를 배포한 해커들이 2단계 페이로드를 통해 최소 20개의 주요 글로벌 기술 기업들을 노리고 있는 것으로 나타났습니다. 이번주 초 CCleaner 해킹 사건(▶ 참고)이 보도 되었을 때, 연구원들은 사용자들에게 2단계 악성코드는 없었기 때문에 악성 소프트웨어를 제거하기 위해서는 버전 업데이트만 진행하면 된다고 말했었습니다. 하지만, 악성 버전의 CCleaner가 연결 된 해커의 C&C 서버를 분석해본 결과 보안 연구원들은 2단계 페이로드 (GeeSetup_x86.dll, 경량 백도어 모듈)이 로컬 도메인 명을 기반으로 특정 컴퓨..

국내외 보안동향 2017. 9. 22. 15:42

안녕하세요. 이스트시큐리티입니다. 과거 다양한 변종으로 전세계에 악명을 떨친 ‘Trojan.Ransom.LockyCrypt(이하 Locky 랜섬웨어)’가 다시 등장하였습니다. 이 Locky 랜섬웨어는 파일 암호화 간 ‘diablo6’ 확장자로 변경하는 점이 특징입니다. 본 분석 보고서에서는 Locky 랜섬웨어를 상세 분석 하고자 합니다. 이번 Locky 랜섬웨어는 불특정 다수를 대상으로 한 스팸 메일에서 유포되었습니다. 메일은 ‘Files attached. Thanks’, 즉 ‘파일을 첨부하였다. 고맙다’의 내용을 담고 있습니다. 이는 메일을 받은 이들의 호기심을 자극하여 첨부된 파일을 실행하도록 하는 의도로 보여집니다. 첨부된 압축 파일 안에 있는 ‘E 2017-08-09 (672).vbs‘는 Lock..

악성코드 분석 리포트 2017. 9. 22. 13:14

US Government website was hosting a JavaScript downloader delivering Cerber ransomware 보안 연구원들이 지난 주 미국 정부 웹사이트가 Cerber 랜섬웨어를 배포하는데 사용 된 JavaScript를 호스팅한 것을 발견했습니다. 연구원들은 “미 정부의 웹사이트에서 호스팅 된 JavaScript 멀웨어는 C&C 서버에 연결하는 powershell을 실행했다.”고 밝혔습니다. 이 웹사이트는 난독화 된 PowerShell을 포함한 JavaScript가 들어있는 .zip 압축 파일을 호스팅 했습니다. 이 PowerShell은 Cerber 실행파일인 gif 파일을 다운로드 합니다. 이 다운로더는 지난 수요일 발견 되었으며, 몇 시간 내에 악성 코드..

국내외 보안동향 2017. 9. 5. 10:14

안녕하세요. 이스트시큐리티입니다. 지난 7월경 Google Play Store 에 바탕화면 이미지를 제공하는 앱으로 위장하여 화면 잠금 기능을 수행하는 악성앱이 업로드 되었고, 약 5,000회에서 10,000회 사이 가량의 다운로드가 이루어졌습니다. 악성앱이 실행되면 다양한 바탕화면 이미지를 제공해주는 정상 앱을 보여줍니다. 하지만 기기 재부팅 시 화면 잠금 행위를 수행하는 리시버가 실행이 되고, 이용자에게 기기에 저장된 사진 및 연락처 등의 유출된 자료를 삭제하는 대가로 50달러 혹은 0.05 비트코인에 해당되는 금전을 지불하도록 유도하는 화면을 띄웁니다. 이번 보고서에서는 'Trojan.Android.SLocker' 악성앱을 상세 분석하고자 합니다. 악성코드 상세 분석 본 악성 앱은 Google Pl..

악성코드 분석 리포트 2017. 8. 30. 11:01

해커들은 DNS 프로토콜을 이용하여 호스트 정보를 전달하며, 서버에서 명령어를 내려받습니다. 이렇게 DNS 프로토콜을 악용하여 통신하는 기술을 DNS Tunneling이라고 부릅니다. DNS 특징 이 세상에는 많은 도메인들이 존재하며 그 변화 속도도 매우 빠르기 때문에, 적은양의 서버로는 수많은 요청에 응답할 수 없습니다. 그렇기 때문에, 지금의 DNS 체계는 분산식으로 구성되어 있으며, 데이터들을 각기 다른 서버에 분산 저장합니다. 분산형 DNS는 다음과 같은 특징을 가지고 있습니다. 1) 클라이언트는 일반적으로 1~2개의 DNS 서버를 할당받으며, 해당 서버들 중에서 모든 DNS 쿼리 결과를 얻을 수 있기 때문에 다른 DNS 서버들과 통신을 할 필요가 없습니다. 이러한 DNS 서버를 DNS resol..

국내외 보안동향 2017. 8. 22. 16:51

The bateleur backdoor is the new weapon in the Carbank gang’s arsenal 최근 보안전문가들은 악명높은 사이버 범죄자 Carbanak의 새로운 사이버 무기인 Jscript 백도어인 Bateleur를 추가한 것을 확인하였습니다. Carbanak 그룹은 카스퍼스키가 2015년 처음 발견한 범죄조직으로, 이 그룹은 약 100곳의 금융 기관으로부터 최소 3억 달러를 훔친 것으로 나타났습니다. 2016년 초, Carbanak 갱은 미국과 중동의 은행 및 금융 기관들을 공격했습니다. 그리고 작년 11월, Trustwave의 연구원들은 이 그룹이 서비스 분야의 조직들을 타겟으로 하는 새로운 캠페인을 실행했다는 사실이 발견되었습니다. 1월, Carbanak 갱은 C&C..

국내외 보안동향 2017. 8. 7. 14:33

You need to pay for us, otherwise we will sell portion of your personal information on black market every 30 minutes. WE GIVE 100% GUARANTEE THAT ALL FILES WILL RESTORE AFTER WE RECEIVE PAYMENT. WE WILL UNLOCK THE MOBILE DEVICE AND DELETE ALL YOUR DATA FROM OUR SERVER! TURNING OFF YOUR PHONE IS MEANINGLESS, ALL YOUR DATA IS ALREADY STORED ON OUR SERVERS! WE STILL CAN SELLING IT FOR SPAM, FAKE, B..

전문가 기고 2017. 7. 31. 14:14

최근 Trickbot 뱅킹 악성코드가 Necus 봇넷의 도움을 받는 새로운 스팸 캠페인을 통하여 미국의 은행을 노리는 것으로 나타났습니다. 이 악성코드는 맞춤 리다이렉션 메쏘드를 도입하여 더욱 강력해졌습니다. 최근 보안연구원들은 새로운 Trickbot의 활동을 발견했습니다.연구원들에 따르면, 금주 초에 보고된 Trickbot 공격의 스팸 캠페인들은 지난 몇 달 동안 활성화 되어있었습니다. Trickbot은 2016년 중반부터 중간자 공격을 담당해 왔으나, 이 악성코드의 webinject 구성은 미국 이외의 금융 기관들만을 타겟으로 했었습니다. 하지만 Necurs 봇넷의 도움을 받아, webinject의 구성을 확장시켜 국제 및 미국의 금융 기관들까지도 타겟으로 하도록 개발되었습니다. 연구원들은 Necur..

국내외 보안동향 2017. 7. 25. 11:29