쇼핑몰 및 배송 업체를 사칭해 상품 파손에 따른 보상이나 민원 처리를 빌미로 악성코드를 유포하는 피싱 공격이 지속적으로 확인되고 있어 사용자들의 각별한 주의가 필요합니다. 앞서 포스팅한 「상품 파손 사칭 메일로 유포되는 다단계 정보탈취 악성코드 주의」에서도 살펴본 바와 같이, 공격자들은 상품 파손이나 분쟁 해결과 같은 일상적인 상황을 악용해 수신자의 불안감과 확인 욕구를 자극하는 사회공학적 기법을 활용하고 있습니다. 상품 파손 사칭 메일로 유포되는 다단계 정보탈취 악성코드 주의국내 정부기관 담당자를 대상으로 상품 파손 클레임을 사칭한 스피어피싱 메일이 확인되었습니다. 해당 메일은 악성코드를 직접 첨부하는 대신 외부 파일 공유 서비스 링크를 통해 압축 파일을blog.alyac.co.kr 최근에도 이러한 ..

악성코드 분석 리포트 2026. 10. 30. 10:00

2026년 들어 소프트웨어 공급망 공격이 더욱 거세지고 있습니다. npm, PyPI 등 오픈소스 패키지 저장소를 악용한 공격은 이제 단순한 타이포스쿼팅(typosquatting)을 넘어, 정교한 다단계 C2 체인과 인포스틸러 기능을 갖춘 본격적인 위협으로 진화하고 있습니다. 이러한 공격이 위험한 이유는 명확합니다. 개발자가 npm install이라는 익숙한 명령어 하나로 악성코드를 실행하게 되고, 감염은 개발 환경을 넘어 CI/CD 파이프라인, 클라우드 인프라, 심지어 기업의 데이터 처리 플랫폼까지 확산되고 있습니다. 이 모든 과정이 AI를 통해 손쉽게 만들어지기 때문에 소프트웨어 공급망 공격이 대량으로 진행되고 있습니다. ESRC는 최근 npm 사용자 biz44가 업로드한 9개의 악성 패키지를 발견하고..

악성코드 분석 리포트 2026. 9. 29. 10:25

최근 국내 의료기관을 대상으로 RDP(원격 데스크톱 프로토콜)를 악용한 랜섬웨어 감염 사례가 확인되었습니다. 공격자는 RDP의 드라이브 리다이렉션(tsclient) 기능을 통해 공격 도구를 내부 네트워크에 전달하고, ProcessHacker, PCHunter 와 같은 도구로 보안 제품을 무력화 후 Beast(GodDamn) 랜섬웨어를 실행하였습니다. 본 글에서는 이번 공격에서 확인된 RDP 악용 방식과 Beast 랜섬웨어의 분석 결과를 정리합니다. 1. RDP 드라이브 리다이렉션을 통한 공격 도구 전달이번 사례에서는 다음과 같은 경로가 확인되었습니다.\\tsclient\C\******\Ph_press.exe PCHunter (AV 무력화 도구)\\tsclient\C\******\Python\python..

악성코드 분석 리포트 2026. 9. 14. 16:13

명령 전달과 감염 알림, 정보 유출을 서로 다른 정상 서비스에 분산시킨 악성 LNK(바로가기) 파일이 국내 금융 문서로 위장해 유포된 정황이 확인되었습니다. 해당 파일은 PDF 아이콘과 문서 속성 정보를 사용해 정상 문서로 위장하고 있으며, 실행 시 배치 스크립트를 단계적으로 전개해 감염 PC의 정보를 수집하고 외부로 전송합니다. 이번 공격의 가장 큰 특징은 명령제어(C2) 채널의 구성입니다. 그동안 확인된 LNK 기반 공격은 하나의 저장소 또는 하나의 서버가 명령 전달과 정보 수신을 모두 담당하는 형태가 일반적이었으나 이번 공격에서는 명령 배포, 감염 알림, 정보 유출을 서로 다른 세 개의 정상 서비스에 나누어 처리하며, 각 채널은 자신이 맡은 기능만 수행하고 나머지 기능은 갖고 있지 않습니다. LNK..

악성코드 분석 리포트 2026. 9. 9. 17:03

국내 정부기관 담당자를 대상으로 상품 파손 클레임을 사칭한 스피어피싱 메일이 확인되었습니다. 해당 메일은 악성코드를 직접 첨부하는 대신 외부 파일 공유 서비스 링크를 통해 압축 파일을 내려받도록 유도하며, 내부에는 정상 서명된 Microsoft Excel 실행 파일과 악성 DLL파일이 함께 존재합니다. 감염이 완료되면 브라우저 자격 증명과 암호화폐 지갑 정보가 공격자 서버로 전송됩니다. 공격 개요 이번 피싱 메일은 온라인 거래 과정에서 흔히 발생하는 상품 파손 분쟁을 소재로 삼았습니다. 공격자는 주문한 제품에서 심각한 손상이 발견되었다고 주장하면서, 개봉 과정과 파손 부위를 촬영한 자료를 준비했으니 확인해 달라고 요청합니다. 파일 용량이 크다는 이유를 들어 첨부 대신 외부 링크를 안내한 점이 특징이며, ..

악성코드 분석 리포트 2026. 8. 4. 16:44

이스트시큐리티 대응센터(ESRC)에서 운영 중인 TDS(Threat Detection System) 이메일 모니터링 시스템을 통해, 국세 당국의 세무 위반 통지를 사칭한 피싱 메일이 확인되었습니다. 본 메일은 본문에 삽입된 링크로 악성 실행 파일을 다운로드 및 실행하도록 유도하며, 감염 시 대상 시스템에 대한 원격제어 권한이 공격자에게 이전됩니다. 이번 공격은 "세무 위반 및 제재 통지"를 제목으로 수신자에게 제출 기한을 압박한 뒤, 첨부가 아닌 외부 파일 공유 서비스 링크를 통해 악성 실행 파일을 배포하는 방식으로 전개되었습니다. 악성코드를 메일에 직접 첨부하지 않고 정상 서비스를 경유 하도록 구성함으로써 메일 게이트웨이의 첨부파일 검사를 회피한 점이 특징입니다. ESRC는 수집된 피싱 메일과 이를 ..

악성코드 분석 리포트 2026. 7. 13. 18:05

이스트시큐리티 대응센터(ESRC)는 공급망 위협 모니터링을 통해 유명 테스트 프레임워크인 Chai.js의 플러그인으로 위장한 악성 npm 패키지(chai-as-init)가 v1.4.5 ~ v1.4.7까지 총 3개 버전으로 배포된 사실을 확인했습니다.이 패키지는 설치 또는 코드에서 불러오는 즉시 외부 서버에서 악성 코드를 내려받아 실행하며, 시스템의 자격증명을 탈취하는 인포스틸러와 원격 명령을 수행하는 RAT 기능을 함께 갖추고 있습니다. 패키지 개요 chai-as-init 패키지는 인기 패키지인 chai 및 chai-as-promised 패키지명을 모방한 타이포스쿼팅 (Typosquatting)기법을 사용했으나 내부 코드는 전혀 다릅니다. 공격자는 정상 Node.js 로깅 라이브러리인 pino의 ..

악성코드 분석 리포트 2026. 6. 16. 18:16

이스트시큐리티 대응센터(ESRC)는 Solana 블록체인 공식 SDK인 @solana/web3.js를 사칭한 악성 npm 패키지 9종을 발견했습니다. 9개 패키지는 모두 동일한 공격자가 동일한 악성 페이로드를 삽입한 것으로, Telegram Bot API를 명령제어(C2) 채널로 활용하는 원격 제어 도구(RAT)를 포함하고 있습니다. 이 악성코드는 단순 정보 탈취를 넘어, Telegram 채팅 기반의 양방향 C2(Command & Control) 기능을 통해 공격자가 피해 시스템에서 임의의 운영체제(OS) 명령을 실행할 수 있어 심각한 위협이 될 수 있습니다. 기존 Telegram Bot API 악용 사례와의 차이점 Telegram Bot API를 C2 채널로 사용하는 악성 패키지 사례는 기존에도 다수 ..

악성코드 분석 리포트 2026. 6. 11. 17:16