안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 영수증이나 배송관련 메일로 위장하여 유포되고 있는 피싱 메일들이 끊임없이 발견되고 있는 가운데, 최근 독특한 스타일의 피싱메일이 발견되었습니다. ※ 관련글 보기 ▶ 계정 보안으로 위장한 국내 포털 피싱 메일 주의!!▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의▶ 해외 배송장으로 위장한 국내 포털 피싱 메일 주의!!▶ 매크로를 이용한 송장 관련 악성 메일 유포 주의▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 피싱 메일은 영수증 메일을 위장하고 있습니다. 해당 ..

악성코드 분석 리포트 2018. 12. 12. 14:26

암호를 입력해야만 작동하는 악성 매크로가 국내에 다수 유포되고 있어 사용자들의 주의가 필요합니다. 사용자가 악성 매크로가 포함된 DOC 파일을 클릭하면, 암호를 입력하라는 창이 뜹니다. [그림 1] 암호 입력 창 이스트시큐리티에서는 샘플만 수집하였기 때문에 아직 어떠한 형태로 유포되는지는 정확하게 확인되지 않았지만, 이메일을 통해 유포될 것으로 추정되며 암호는 이메일 내용에 포함되어 있을 것으로 추측됩니다. 해당 파일에 암호를 건 이유는 스팸 솔루션을 우회하려고 시도한 것이 아닌가 추측됩니다. 사용자가 암호를 입력하면 아래와 같이 워드파일의 본문 내용이 보여지며 매크로를 실행하라는 문구를 보여줍니다. [그림 2] 매크로 실행을 유도하는 DOC 파일 만약 사용자가 [콘텐츠 사용]을 클릭하면 워드 파일에 포..

악성코드 분석 리포트 2018. 12. 11. 11:26

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC) 입니다. 과거 비너스락커(VenusLocker) 랜섬웨어를 유포했던 위협조직이 최근 대규모로 악성 이메일을 국내에 유포하는 정황이 지속적으로 포착되고 있어 이용자 분들의 각별한 주의가 필요해 보입니다. 이들 조직은 한글로 '입사지원서', '이미지 무단사용 내용의 저작권법 안내' 등으로 이용자들을 현혹하고, 악성 매크로 코드가 포함된 DOC 워드파일을 첨부해 집중적으로 유포하고 있으며, 주로 갠드크랩(GandCrab) 랜섬웨어를 전파시키고 있습니다. 아울러 최근에는 '임금체불관련 출석요구서', '바로가기(LNK) 파일을 새로 제작', '입사지원서 사칭 유포' 한 내용들을 알약 공식 블로그를 통해 신속하게..

악성코드 분석 리포트 2018. 12. 10. 22:48

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 악성 매크로가 포함된 수수료 관련 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ 매크로를 이용한 송장 관련 악성 메일 유포 주의▶ Trojan.Agent.Emotet 악성코드 분석 보고서▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 악성메일은 수수료에 관련된 내용으로, project-agreement 제목의 악성 매크로가 포함된 doc 파일이 첨부되어 있습니다. 사용자가 해당 파일을 실행하면 매크로 활성화를 유도하며, 사용자가 매크로 기능을 활성화 ..

악성코드 분석 리포트 2018. 12. 7. 15:16

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 프린터에서 영문으로 된 이상한 인쇄물들이 출력되어 프린터 해킹이 의심 된다는 제보가 이어지고 있습니다. 인쇄 페이지에는 Printeradvertising.com이라고 불리는 새로운 서비스가 출시되었으며, 이 서비스는 전 세계에 모든 연결된 프린터들에 바이럴 광고가 가능하다고 홍보하고 있습니다. 보안회사 CEO인 Morris는 허니팟을 통해 194.36.173.50 IP 주소에서 적어도 60개 이상의 악의적인 인쇄작업 요청을 감지했다고 밝혔습니다. Bad Packets Report와 Pishing AI‏는 이 IP 주소가 피싱 키트, C2 서버, Lokibot와 같은 악성 프로그램 등의 악성 활동으로 알려진 서브넷에 속한다고 명시하고 있습니..

악성코드 분석 리포트 2018. 12. 6. 17:02

중국 보안업체360은 11월 29일, 2건의 새로운 Flash 0day 취약점 악성파일을 발견하였습니다. 이번 APT 공격은 러시아 또는 우크라이나를 타겟으로 진행된 것으로 추정되고 있습니다. 악성 DOCX 문서파일이 바이러스토탈에 업로드된 곳은 우크라이나 지역이었습니다. [그림 1] 우크라이나에서 보고된 악성 문서파일 실행화면 공격자는 Flash 0-day 취약점이 포함된 Word 파일을 사용자에게 발송하며, 사용자가 해당 파일을 클릭할 경우, 백도어가 실행되며 공격자가 사용자 PC에 원격코드실행이 가능합니다. 악성 워드문서 내부에는 'activeX1.bin' 플래시 파일이 포함되어 있으며, 액션스크립트 바이트 코드 내부에 바이너리 데이터가 포함되어 있습니다. [그림 1-1] 'activeX1.bin'..

악성코드 분석 리포트 2018. 12. 6. 09:08

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. GandCrab 5.0.9 버전이 등장하여 사용자들의 주의가 필요합니다. ※ 관련 글 보기▶ 복호화 툴로 복구 불가능한 갠드크랩(GandCrab) 5.0.5 변종 발견!▶ 멀버타이징 기법으로 유포 중인 갠드크랩(GandCrab) v5.0.3 주의!!▶ 비너스락커 조직이 유포중인 갠드크랩(GandCrab) v5.0.3 주의!▶ 갠드크랩(GandCrab) 랜섬웨어 5.0.1, 5.0.2 변종 지속적으로 유포 중! GandCrab 5.0.9 버전은 기존의 GandCrab 랜섬웨어와 다르게 "We will become back very soon! ;)" 이라는 팝업창을 띄웁니다. 사용자가 확인 버튼을 클릭한다면 기존의 갠드크랩들과 동일하게 파일들을 ..

악성코드 분석 리포트 2018. 12. 5. 11:40

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 갠드크랩 랜섬웨어가 이번에는 내부 ‘바로가기’ 파일(LNK)을 새로 변경하여 유포되고 있어 사용자들의 각별한 주의가 필요합니다. ※ 관련 글 보기 ▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의 ▶ 비너스락커 랜섬웨어 조직, 베리즈 웹쉐어를 통해 갠드크랩 국내 다량 유포 ▶ 비너스락커 위협조직, 입사지원서로 위장해 갠드크랩 랜섬웨어 한국에 급속 유포 중 갠드크랩 랜섬웨어는 “이미지 무단 사용 안내메일”로 위장하고 있으며, 압축 파일이 첨부되어 있습니다. [그림 1] 수신된 메일 첨부파일 ‘이미지무단사용내용정리.alz’에는 2개의 jpg 파일’1.원본이미지, 2원본이미지’,’내용정리(링크포함)과 GandCrab 랜섬웨어인 ‘ma..

악성코드 분석 리포트 2018. 12. 3. 17:53