안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 미국 추수감사절(Thanksgiving Day) 내용으로 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의 ▶ 해외 배송장으로 위장한 국내 포털 피싱 메일 주의!! ▶ 매크로를 이용한 송장 관련 악성 메일 유포 주의 ▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요 ▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의 ▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 악성 메일은 ‘Thanksgiving Greeting Card’라는 제목으로 메일 본문에는 ‘Happy Thanksgiving ..

악성코드 분석 리포트 2018. 11. 23. 16:33

안녕하세요? 이스트시큐리티입니다. 스미싱과 보이스피싱 등을 결합한 형태로 악성 앱들이 유포되고 있습니다. 해당 앱들은 주로 1 금융 관련 앱을 사칭하였으나 최근에는 국가기관, 2 금융 사칭 등으로 다양한 형태로 나타나고 있습니다. 기기 및 개인정보를 탈취하고 금융 정보 탈취를 목적으로 기기의 통화 상태를 감시합니다. 특히, 해당 앱은 분석을 어렵게 하기 위해서 중국 Qihoo 360사의 패킹 기술을 적용하였습니다. 본 분석 보고서에서는 “Trojan.Android.KRBanker”를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 패킹 특징 중국 Qihoo 360사의 패킹 된 앱은 일반 앱과는 다른 부분이 존재합니다. 앱의 권한과 컴포넌트 관련 정보를 볼 수 있는 매니페스트를 보면 일반 안드로이드 앱에..

악성코드 분석 리포트 2018. 11. 22. 13:00

안녕하세요? 이스트시큐리티입니다. 최근 사용자 PC를 감염시켜 사용자 정보를 탈취하는 Infostealer유형의 악성코드가 꾸준히 발견되고 있습니다. 이번에 발견된 악성코드는 분석 시스템 또는 분석가를 통한 분석을 회피하기 위한 기술들이 다수 적용되어 있습니다. 감염 PC의 분석 환경 구성 여부를 확인하여 악성 행위를 수행할 것인지 결정하는 것이 특징입니다. 이번 보고서에서는 해당 악성코드에 적용된 기술들과 악성 행위에 대해서 상세하게 알아보고자 합니다. 악성코드 상세 분석 1. 가상 환경 탐지 및 분석 회피 공격자는 악성코드 분석 시스템 또는 분석가를 통한 분석을 방해하기 위하여 가상 환경 탐지, 안티디버깅 등을 사용합니다. 이를 통해 분석 환경이 탐지되면 악성 행위를 수행하지 않고 종료합니다. 1) ..

악성코드 분석 리포트 2018. 11. 21. 13:00

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC) 입니다. 지난 주부터 비너스락커(VenusLocker) 랜섬웨어 조직이 다시 활동을 본격화하고 있습니다. 이들은 최근에 RaaS(Ransomware-as-a-Service) 기반의 러시아 서비스형 갠드크랩(GandCrab) 랜섬웨어를 한국에 집중 유포시키고 있습니다. '11월 15일에는 장윤성 입사지원서를 위장'해 DOC 워드 문서의 매크로 기능을 이용해 유포한 바 있고, '19일에는 박혜윤 이력서 내용과 이메일 본문에 악성 EXE 파일 링크'로 유포했습니다. [그림 1] 갠드크랩 랜섬웨어 유포에 이용된 악성 이메일 실제 화면 MS Word 매크로 기법과 악성 EXE 파일의 직접적인 유포를 사용하던 범..

악성코드 분석 리포트 2018. 11. 20. 19:13

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC) 입니다. 과거 비너스락커(VenusLocker) 랜섬웨어를 뿌렸던 조직이 지난 11월 15일 입사지원서를 사칭해 갠드크랩(GandCrab) v5.0.4 랜섬웨어를 한국에 대량으로 유포하고 있는 내용을 공개한 바 있습니다. 동일한 조직이 지난 주말부터 한국에서 개발된 'Berryz WebShare (베리즈 웹쉐어)' 파일공유 서버를 구축해 또 다른 갠드크랩 v5.0.4 변종을 유포하고 있어 각별한 주의가 요망됩니다. [그림 1] 베리즈 웹쉐어 서버로 유포 중인 갠드크랩 랜섬웨어 화면 ESRC에서는 해당 위협조직이 지난 주 이미 해당 서버를 구축하고 있다는 사실을 확인해, 지속적으로 공격자를 추적 감시하고..

악성코드 분석 리포트 2018. 11. 19. 13:41

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 상품 배송 관련으로 위장한 악성 피싱 메일이 발견되어 주의를 당부드립니다. 본 메일은 “Shipment B/L” 제목으로 전파되고 있으며, 특히 첨부파일에 송장과 물건 리스트가 있는 것처럼 사용자들을 속여 사용자들의 클릭을 유도 하고 있습니다. [그림 1] 피싱 사이트가 포한 된 메일 본문 사용자가 첨부파일을 확인하기 위해 클릭 하는 순간 피싱 사이트로 연결됩니다. [그림 2] 다음 메일 피싱 사이트 사용자가 송장 리스트를 확인하기 위해 해당 페이지에 계정정보를 입력한다면, 입력한 개인정보는 모두 제작자에게 넘어가게 됩니다. [그림 3] 사용자 계정정보 전송 화면 본 메일에 기재 된 사이트를 분석 중 제작자의 피싱 사이트 리스트를 확인 하..

악성코드 분석 리포트 2018. 11. 19. 11:45

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 매크로를 이용한 송장 관련 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ Trojan.Agent.Emotet 악성코드 분석 보고서 ▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요 ▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의 ▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 악성 메일은 ‘INVOICE #00U9404’ 라는 제목으로 메일 본문에는 ‘Please find attached copy of your latest invoice’ 라는 내용으로 첨부된 파일의 실행을 유도합니다. [그림 1] 수신된 메일 이용자가 첨부 파일 ‘Invoic..

악성코드 분석 리포트 2018. 11. 16. 17:04

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 특정 정부가 배후에 있는 것으로 알려져 있는 위협그룹 중에 '금성121(Geumseong121)' 조직은 글로벌 보안회사들이 다양한 이름으로 명명하고 있습니다. 그중 대표적 그룹명을 알파벳 순으로 나열하면 'APT37', 'Group123', 'RedEyes', 'ScarCruft' 등이 있습니다. 지난 02월 저희는 이 위협그룹이 카카오톡 메신저로 'Flash Player Zero-day (CVE-2018-4878)' 취약점 공격을 수행한 사례를 소개한 바 있으며, 그 이후에도 스피어 피싱(Spear Phishing)을 통해 한국에 집중 표적공격을 수행하고 있다는 것을 확인했습니다. 그리고 0..

악성코드 분석 리포트 2018. 11. 16. 15:45