안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 지난해 말 새로운 Rook 랜섬웨어가 발견되었습니다. 해당 랜섬웨어는 지난해 4월 워싱턴 DC 경찰서를 침투해 파일 암호화 공격을 시행한 바북 락커(Babuk Locker) 코드와 유사합니다. Rook 데이터 유출 사이트에는 현재 두 명의 피해자로 한 은행과 인도 항공이 게시되어 있고 앞으로 기업 네트워크를 침해하고 장치를 암호화 해 많은 돈을 벌 것이라고 밝히고 있습니다. Rook 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. Babuk 랜섬웨어 코드와 유사하나 ADS 사용, 암호화 로직에 차이가 있고 32비트 간격으로 암호화 한다는 특징이 있습니다. 또한 로컬 드라이브와 네트워크 드라이브로 연결된 모든 파..

악성코드 분석 리포트 2022. 1. 20. 09:00

New Fileless Malware Uses Windows Registry as Storage to Evade Detection 소셜 엔지니어링 기법을 사용한 캠페인을 통해 전파되는 새로운 JavaScript 기반 원격 액세스 트로이 목마(RAT)이 "파일리스" 기술을 통해 탐지를 회피하는 것으로 나타났습니다. Prevailion의 연구원들이 ‘DarkWatchman’이라 명명한 이 악성코드는 탄력적 도메인 생성 알고리즘(DGA)을 사용하여 명령 및 제어(C2) 인프라를 식별하고, 윈도우 레지스트리를 활용하여 모든 스토리지 관련 작업을 수행합니다. 따라서 안티바이러스 엔진을 우회하는 것이 가능합니다. 연구원인 Matt Stafford와 Sherman Smith는 이에 대해 아래와 같이 밝혔습니다. "이..

국내외 보안동향 2021. 12. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 구매대행업체의 앱처럼 위장하여 사용자들의 정보를 탈취하고 이를 보이스피싱에 활용하는 앱이 대거 발견되고 있습니다. 해당 앱은 실제 페이지를 그대로 수정해서 사용하며 사용자는 이를 알아차리기 힘듭니다. 앱의 아이콘과 이름, 업체명 등등이 각기 다르며 여러 가지 버전들로 구성되어 있고 페이지의 기본 틀은 비슷하게 표시되어 있습니다. 위와 같은 악성 행위는 하나의 github 주소에서 C2를 가져오기 때문에 계정 정지만 당하지 않는다면 주소를 옮겨가며 앞으로 만들어내는 모든 앱도 지속해서 유지할 수 있습니다. 지금도 꾸준하게 유사한 버전들의 앱을 배포하고 있고 다른 버전도 추가로 만들어내고 있습니다. 감염 시 정보들을 탈취당하고 사이트를 ..

악성코드 분석 리포트 2021. 12. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. TA551(Shathak이라고도 함)은 2019년부터 피싱 이메일을 통해 꾸준히 악성코드를 배포하고 있습니다. TA551 그룹은 지난 몇 년 동안 Ursnif, Valak 및 IcedID 등의 다양한 맬웨어 계열을 유포했으나, 2021년 6월부터는 IcedID 유포를 중단하고 Trickbot을 유포하기 시작했습니다. TA551은 2021년 8월부터는 Trickbot 배포를 중단하고 BazarLoader를 배포하기 시작했습니다. TA551은 여러 해 동안 다양한 악성코드를 배포하였으나, 최근에는 Bazar 악성코드를 배포하기 시작하였으며 Bazar 악성코드는 탐지 회피 및 은폐에 중점을 두고 있는 악성코드입니다. 악성코드 제작자는 코드를 최..

악성코드 분석 리포트 2021. 12. 16. 09:00

Hackers deploy Linux malware, web skimmer on e-commerce servers 보안 연구원들이 공격자가 온라인 상점 웹사이트에 신용 카드 스키머를 삽입 후 해킹된 온라인 상점의 서버에 리눅스 백도어를 배포하는 것을 발견했습니다. 이 PHP로 코딩된 웹 스키머(고객의 결제 및 개인 정보를 도용 및 유출하도록 설계된 스크립트)는 추가된 후/app/design/frontend/ 폴더에 .JPG 이미지 파일로 위장합니다. 공격자는 이 스크립트를 통해 해킹된 온라인 상점에서 고객에게 표시되는 결제 페이지에 가짜 결제 양식을 다운로드해 삽입합니다. Sansec의 위협 연구 팀은 아래와 같이 밝혔습니다. "공격자가 온라인 상점 공격을 자동화하여 널리 사용되는 온라인 상점 플랫폼의 ..

국내외 보안동향 2021. 11. 19. 14:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 한국의 콘텐츠인 ‘오징어게임’이 전 세계적인 흥행에 성공하고 있습니다. 그리고 이런 기회를 적극적으로 이용하려는 공격자들은 ‘오징어게임’과 연관되어 있는 듯한 악성 앱들을 발빠르게 제작하여 유포하고 있습니다. 지난 10월 발견된 이 악성 앱은 ‘오징어게임’ 월 페이퍼 앱으로 위장하여 유포되었습니다. 이 악성 앱을 설치하면 추가적인 라이브러리와 플러그인 패키지를 다운받아 피해자가 원하지 않는 광고를 구독하게 됩니다. 물론 피해자는 광고 관련 페이지를 볼 수 없도록 제작되었기에 실제 피해를 체감하지는 못합니다. 이런 악성 앱들은 피해자들의 데이터와 스마트폰 자원을 활용하여 수익 실현을 하지만 피해자들은 구체적인 피해 상황이 드러나지 않기..

악성코드 분석 리포트 2021. 11. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘Spyware.CryptBot’(이하 ‘CryptBot’) 정보 탈취 악성코드가 가짜 소프트웨어 사이트 등을 통해 유포되고 있는 것으로 알려져 있습니다. 이 악성코드에 감염이 되는 경우, 정보 탈취 및 클립보드를 공격자 지갑 주소로 변경하는 추가 페이로드 다운로드 기능을 수행하게 되어 금전적으로 상당한 피해가 발생할 수 있습니다. ‘CryptBot’는 감염PC 정보, 웹 브라우저 크리덴셜, 암호화폐 애플리케이션 정보를 탈취하여 C&C 전송, 추가 페이로드 다운로드 기능을 수행합니다. 그리고 다운로드되어 실행되는 ‘ClipBanker’는 사용자의 클립보드에 암호화폐 지갑 문자열이 존재하는 경우, 이를 공격자 지갑으로 변조하는 기능을 ..

악성코드 분석 리포트 2021. 11. 18. 09:00

안녕하세요? 이스트시큐리티입니다. 북한 정부가 배후로 추정되는 해킹 조직의 전방위적인 사이버 공격이 계속되고 있습니다. 국내에서도 북한 관련 기관과 대북 분야 종사자를 노린 공격이 연이어 발견되는 가운데, 국가 차원의 통합 사이버 안보 대응 체계가 구축될 것인지 귀추가 주목됩니다. 이에 이스트시큐리티 시큐리티대응센터(ESRC) 문종현 센터장과 한 언론매체가 대한민국 사이버 안보의 현주소에 대해 심층깊은 토론을 나누어보았는데요. 지금 바로 소개해드립니다. Q. 사이버 안보 분야에서 20년 넘게 연구를 이어오고 있다. 연구를 시작하게 된 계기는 무엇인가? 바이러스와 개발자에 대한 첫 호기심이 생긴 건 1996년 컴퓨터가 바이러스에 감염되면서부터다. 이후 2001년, 온라인 채팅에서 본인을 북한 인민무력부 8..

이스트시큐리티 소식/알약人 이야기 2021. 11. 2. 13:37