안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 모듈식 트로이 목마로 알려진 Emotet은 2014년 중반에 처음 발견된 이후로 지속적인 진화와 업데이트를 통하여 아직까지 그 명성을 떨치고 있으며, 사이버 보안 뉴스에서도 자주 기사화되어 거론되고 있습니다. Emotet은 피싱 이메일과 같은 사회 공학적 기법을 사용하여 수신자가 메일에 첨부된 문서 파일(Word, Excel, PDF 등 포함)을 열도록 유도하여, 최신 Emotet 변종 모듈을 피해자의 PC에 다운로드한 다음 실행하는 방법을 주로 사용합니다. Emotet 악성코드는 감염자의 민감한 개인정보 탈취는 물론 감염자의 이메일에서 수집한 정보를 바탕으로 해서 사회공학적 기법의 피싱메일을 발송하므로 감염자의 주변 관계인들에까지 피해를..

악성코드 분석 리포트 2022. 8. 23. 09:00

Emotet malware now steals credit cards from Google Chrome users Emotet 봇넷이 구글 크롬의 사용자 프로필에 저장된 신용 카드 정보를 수집하도록 설계된 신용 카드 도용 모듈을 통해 잠재적 피해자를 감염시키려 시도하는 것으로 나타났습니다. 이 악성코드는 신용 카드 정보(이름, 만료 연월, 카드 번호)를 훔친 후 해당 정보를 Emotet 카드 도용 모듈과는 다른 명령 및 제어(C2) 서버로 전송합니다. Proofpoint Threat Insights 팀은 아래와 같이 설명했습니다. "6월 6일, Proofpoint는 E4 봇넷이 새로운 #Emotet 모듈을 드롭하는 것을 관찰했습니다.” "이는 놀랍게도 크롬 브라우저만을 노린 신용 카드 스틸러였습니다. 카..

국내외 보안동향 2022. 6. 9. 14:00

Emotet malware now installs via PowerShell in Windows shortcut files Emotet 봇넷이 피해자를 감염시키기 위해 더 이상 기본적으로 비활성화된 Microsoft Office 매크로를 사용하지 않고, PowerShell 명령이 포함된 윈도우 바로 가기 파일(.LNK)을 사용하기 시작했습니다. Emotet은 페이로드를 다운로드하는 명령을 빌드하기 위해 VBS(Visual Basic Script) 코드와 함께 .LNK 파일을 사용했기 때문에, 이는 새로운 전략은 아닙니다. 하지만 윈도우의 바로가기를 통해 직접 PowerShell 명령어를 실행한 것은 이번이 처음입니다. 캠페인 실패 이후 새로운 기술 도입해 지난 금요일, Emotet의 운영자는 악성 .LN..

국내외 보안동향 2022. 4. 27. 09:00

New Emotet botnet is rapidly growing, with +130K unique bots spread across 179 countries Emotet 봇넷이 2021년 11월 활동을 재개한 이후 계속해서 성장하고 있으며, 호스트 약 13만개를 감염시킨 것으로 나타났습니다. 지난 2021년 초, 전 세계의 법 집행 기관 및 사법 당국은 Operation Ladybird라는 공동 작전을 수행해 EMOTET 봇넷을 중단시켰습니다. 당시 수사관들은 국제적인 협력을 통해 그들의 인프라에 대한 제어권을 획득했습니다. 이 작전은 네덜란드, 독일, 미국, 영국, 프랑스, ​​리투아니아, 캐나다, 우크라이나 당국이 공동으로 참여했으며, Europol 및 Eurojust에서 조정했습니다. 이 법 집행..

국내외 보안동향 2022. 3. 11. 14:00

Emotet Malware Destroys Itself From All Infected Computers 여러 봇넷 기반 스팸 캠페인 및 랜섬웨어 공격을 실행하기로 악명 높은 이메일 기반 윈도우 악성코드인 Emotet이 유럽의 법 집행부의 작전에 따라 대규모로 감염시킨 모든 컴퓨터에서 자동으로 삭제되었습니다. 이 작업은 3개월 전에 Emotet을 중단시키기 위해 악성코드의 C2 서버의 제어권을 압수하기 위해 실행됐던 "Ladybird" 작전의 일환으로 이루어졌습니다. 이 조직화된 작전을 통해 서버 최소 700개가 내부에서 중성화되어 추가적인 악용을 막을 수 있었습니다. 이 국제적인 작전에는 네덜란드, 독일, 미국, 영국, 프랑스, ​​리투아니아, 캐나다, 우크라이나의 법 집행 기관이 참여했습니다. 이전에..

국내외 보안동향 2021. 4. 27. 09:00

The Emotet botnet is back and hits 100K recipients per day 2개월의 공백 끝에 크리스마스 이브에 맞춰 Emotet이 돌아왔습니다. 공격자들은 악명높은 Trickbot 트로이목마를 배포하기 위해 스팸 메시지를 보내고 있습니다. 최근 실행된 Emotet 캠페인은 업데이트된 페이로드를 사용하며 매일 10만 명 이상의 수신자를 노렸습니다. Cofense는 이에 대해 아래와 같이 보도했습니다. “약 2달 가량 활동이 잠잠했던 Emotet이 업데이트된 페이로드와 함께 돌아왔습니다. 이는 피해자와 네트워크 방어 장치의 탐지를 피하기 위한 것으로 보입니다.” “이러한 업데이트 외에도, 캠페인의 타깃, 전략, 보조 페이로드는 이전과 동일했습니다." Emotet은 최소 201..

국내외 보안동향 2020. 12. 28. 14:00

Epic Fail: Emotet malware uses fake ‘Windows 10 Mobile’ attachments Emotet 악성코드가 2020년 1월 운영이 종료된 윈도우 10 모바일 OS로 작성한 것으로 위장한 악성 이메일 첨부파일을 사용하고 있는 것으로 나타났습니다. Emotet 봇넷은 악성 워드 문서를 포함한 스팸 메일을 통해 확산됩니다. 이러한 워드 문서는 활성화될 경우 피해자의 컴퓨터에 Emotet을 다운로드 및 실행하는 악성 매크로를 포함하고 있습니다. Emotet은 실행 직후 이후 스팸 캠페인에 활용할 목적으로 피해자의 이메일을 훔치려 시도합니다. 그 후 보통 네트워크로 확산되는 랜섬웨어 공격으로 이어지는 TrickBot, QBot과 같은 다른 악성코드를 다운로드 및 실행합니다. ..

국내외 보안동향 2020. 9. 3. 14:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 최근 이모텟 악성코드가 국내 외로 유포되고 있어 이용자들의 주의 부탁드립니다. 공격자는 불특정 다수를 대상으로 이메일, 메시지를 통하여 이모텟 악성코드를 유포중입니다. 실제 악성 행위 수행하는 파일 유포 방법은 스크립트가 삽입된 악성 문서 파일을 첨부하거나 특정 URL로 클릭을 유도하여 최종 페이로드 다운로드를 유도합니다. [그림 1] 첨부파일이 포함된 이모텟 유포 악성 메일 [그림 2] 링크가 포함된 이모텟 악성 메일 유형 악성 문서 파일을 첨부하여 유포된 경우, 아래와 같은 3가지 케이스로 위장하여 유포되며 파워셸을 통하여 악성코드를 다운로드하는 스크립트가 첨부되어 있습니다. [그림 3] 악성 문서 템플릿 1 [그림 4] 악성 문서 템플릿 ..

악성코드 분석 리포트 2020. 9. 1. 17:02