CISA analyzed stealthy malware found on compromised Pulse Secure devices 미국의 사이버 보안 및 인프라 보안국(CISA)이 해킹된 Pulse Secure 기기에서 발견된 악성코드 샘플 13개에 대한 보안 경고를 발표했으며, 이 중 대부분은 안티바이러스 제품에서 탐지되지 않았다고 밝혔습니다. 전문가들은 CISA에서 분석한 악성코드 샘플 중 하나만 VirusTotal에 업로드 되어 있었으며, 탐지율은 매우 낮은 상태라 전했습니다. CISA에서는 각 악성코드에 대한 분석 보고서(MAR)를 발표했으며, 이 보고서에는 공격자가 사용한 기술, 전술, 절차(TTPs), 침해 지표(IOCs)도 포함되어 있습니다. “CISA는 Pulse Secure 해킹 사고와 ..

국내외 보안동향 2021. 7. 23. 09:26

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해외에서도 스미싱 공격이 유행입니다. 최근에 발견된 Flubot 악성 앱도 문자메시지를 통해 전파되며 피해자의 금융 정보 탈취를 목적으로 제작된 악성 앱입니다. 문자메시지는 Fedex와 같은 택배 회사를 사칭하고 있으며 한국과 비슷하게 택배 수령 날짜 등의 정보를 확인이 필요하다는 내용으로 구성되어 있습니다. 피해자가 문자메시지의 내용에 속아 메시지 내의 링크를 클릭하면 악성 앱 설치를 유도하는 웹 페이지를 방문하게 되고 웹 페이지의 안내에 따라 악성 앱을 설치하게 되는 식입니다. 스미싱 공격은 사용자의 예방 노력이 무엇보다 중요합니다. 링크 등을 통한 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며 ..

악성코드 분석 리포트 2021. 7. 20. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. Trojan.PSW.Ficker(이하 ‘Ficker Stealer’)는 MaaS(Malware as a Service)로 제공되는 정보 유출 악성코드로, 음원 관련 특정 애플리케이션의 사칭이나 Hancitor 다운로더 등에 의해 유포가 되는 것으로 알려져 있습니다. 이 악성코드는 감염 PC 정보와 웹 브라우저 등의 애플리케이션 크리덴셜 정보 탈취와 더불어 추가 페이로드 다운로드 실행 기능을 수행합니다. 'Ficker Stealer’는 감염 PC 정보, 애플리케이션 크리덴셜 정보 탈취 기능과 추가 페이로드 다운로드 기능을 가진 악성코드입니다. 로컬 정보를 확인하여 동구권 국가인 경우 프로그램 종료하는 점, 정보 탈취 목적과 더불어 추가 페이..

악성코드 분석 리포트 2021. 7. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. Trojan.Ransom.Conti’(이하 ‘Conti’) 랜섬웨어는 2019년 12월에 처음 배포된 것으로 확인되었습니다. 최근 400개 이상의 조직이 Conti 랜섬웨어 공격의 표적이 되었으며, 16건의 공격은 의료 기관 시스템에서 알려졌습니다. Conti 랜섬웨어는 파일 암호화 기능을 수행하는 랜섬웨어입니다. 랜섬노트에서 안내되는 다크넷에서 추가로 대화가 입력되면서 이용자에게 금전을 탈취하는 점이 특징입니다. 랜섬웨어의 특성 상, 기업체나 일반 이용자 입장에서 사용자 정보가 담긴 파일을 암호화할 수 있기 때문에 금전, 정보 유출 등의 피해가 발생될 수 있어 주의가 필요합니다. 따라서, 악성코드 감염을 방지하기 위해 출처가 불분명한 이..

악성코드 분석 리포트 2021. 6. 21. 09:00

A malware attack hit the Alaska Health Department 알래스카의 보건국의 웹사이트가 악성코드의 공격을 받아 운영이 중단되었습니다. 지역 당국은 현재 이 공격을 조사 중이지만, 아직까지 사고에 대한 자세한 정보는 공개되지 않은 상태입니다. 해커가 알래스카 보건국의 네트워크에 침입해 악성코드를 심는데 성공할 수 있었던 수법은 아직까지 명확히 알려지지 않았습니다. 전문가들은 이 공격에 랜섬웨어 계열 악성코드가 사용된 것으로 추측하고 있으며, 개인정보나 기밀 정보가 유출되었는지 여부를 확인하고 있습니다. 이에 대해 AP 통신은 아래와 같이 보도했습니다. “지난 화요일, 보건부는 조사로 인해 월요일 웹사이트의 운영이 중단되었다고 밝혔습니다. 성명문에서는 이 사이버 공격이 언제 ..

국내외 보안동향 2021. 5. 24. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. '콜로니얼 파이프라인'이 지난 7일 동유럽 해킹 집단 '다크사이드'의 랜섬웨어 공격을 받아 버지니아, 사우스캐롤라이나 등 미국에서 주유 난이 시작되었습니다. 해당 집단은 지난달에도 이탈리아 최대 협동조합 신용 은행을 공격하여 시스템을 마비시켰습니다. DarkSide 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. 서비스형 랜섬웨어(RaaS)로 사용자 PC에 악성 행위 로그를 남기는 것이 특징입니다. 또한 로컬 드라이브와 네트워크 드라이브로 연결된 모든 파일을 암호화 대상에 포함하고 C&C 연결을 하지 않아도 암호화되기 때문에 보안을 위해 폐쇄망을 사용하는 기업들도 랜섬웨어 공격에 더 큰 주의를 기울여야 합니다...

악성코드 분석 리포트 2021. 5. 20. 09:00

Minnesota University Apologizes for Contributing Malicious Code to the Linux Project 지난 토요일, 미네소타 대학(University of Minnesota)의 연구원들이 리눅스 커널 프로젝트의 관리자들에게 프로젝트의 코드에 의도적으로 취약점을 포함시킨것에 대해 사과했습니다. 이로 인해 해당 대학은 향후 오픈소스 프로젝트에 기여하는 것이 금지되었습니다. 조교인 Kangjie Lu, 대학원생인 Qiushi Wu 및 Aditya Pakki는 이메일을 통해 “우리의 목표는 리눅스의 보안을 개선하는 것이었지만, 이 연구 주제가 리눅스 커뮤니티에 악영향을 끼친다는 것을 깨달았다”고 밝혔습니다. 이러한 사과는 지난 2월 공개된 이 “위선적인 커밋”에..

국내외 보안동향 2021. 4. 27. 14:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. Lokibot은 인포스틸러 악성코드로서 웹 브라우저, 메일 클라이언트, FTP 클라이언트 등 감염 PC에 설치된 다양한 프로그램들에서 크리덴셜 정보를 탈취하는 기능을 가지고 있습니다. 수 년 전부터 꾸준히 유포되고 있는 악성코드이지만 현재까지도 꾸준히 배포되고 있습니다. Lokibot은 대부분 피싱메일을 통해 유포되고 있으며, 진단을 우회하기 위해 요즘은 주로 닷넷(.NET) 프로그램의 형태로 유포되고 있습니다. Lokibot 악성코드는 주로 견적 요청과 같은 피싱메일로 유포되며, 닷넷(.NET) 패커로 제작되어 있으며, Lokibot 페이로드를 자식프로세스에 인젝션하여 동작하며, 여러 종류의 수집 대상 프로그램에서 저장하고 있는 크리덴셜..

악성코드 분석 리포트 2021. 4. 19. 09:00