안녕하세요? 이스트시큐리티입니다. 과거부터 공격자들은 백신 탐지를 우회하고 감염 사실을 은폐하기 위해 다양한 방법을 시도해왔습니다. 그중 프로세스 인젝션 기법을 통한 백신 탐지 우회는 Process Hollowing, SetWindowsHookEx등 방법을 전형적인 방법을 통해 이루어져왔습니다. 하지만 이러한 기법들은 오랜 기간 사용되었기 때문에 백신 회사들로부터 인젝션 탐지 연구가 진행되어 악성코드 탐지율이 높아졌습니다. 이에 따라 최근 기존에 사용되어 왔던 프로세스 인젝션 기법이 아닌 Atombombing , Process Doppelganging, early bird등 새로운 기법들이 등장하였으며 이러한 기법들은 정보 탈취 악성코드, 랜섬웨어 등 다양한 유형의 악성코드에서 발견되고 있습니다. 따라서..

악성코드 분석 리포트 2018. 6. 19. 18:19

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 우여곡절 끝에 북미 정상회담이 이루어졌지만 보이지 않는 사이버 첩보전은 계속되었습니다. 실제로 ESRC는 현재 북한과 미국의 정세를 이용한 “미북 정상회담 전망 및 대비.hwp”제목으로 위장한 악성 파일을 포착하였습니다. 해당 파일은 북미 정상회담이 이루어지기 전인 “2018-05-30”에 제작되어 공격이 시도된 것으로 보여집니다. [그림 1] “미북 정상회담 전망 및 대비.hwp” 화면 공격자는 악성코드의 감염 사실을 사용자로부터 은폐하기 위하여 hwp취약점을 이용하여 정상 프로세스인 iexplore.exe에 악성코드를 인젝션하였습니다. [그림 2] hwp내부 삽입된 Post Script 해당 코드는 C&C서버로부터 악성코드 다운로..

악성코드 분석 리포트 2018. 6. 19. 13:14

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 국내에 지속적으로 상품 관련 내용으로 악성 메일이 유포되고 있어 주의를 당부드립니다. 이번에 발견된 악성 메일은 상품 출고 지연 내용과 함께 선적 서류로 위장한 첨부 파일 실행을 유도하는 내용을 담고 있습니다. [그림 1] 상품 출고 지연 내용의 악성 메일 첨부파일에는 악성 실행 파일 'Shipping Documents.exe'가 있습니다. [그림 2] 첨부파일 'Shipping Documents.rar' 이용자가 파일 이름만 보고 선적 관련 서류라고 생각해서, 파일을 실행할 경우 악성코드가 실행됩니다. 'Shipping Documents.exe'는 .NET로 제작되어 있으며, 자기 자신을 자식 프로세스로 실행한 뒤, 정보 탈취 기능을 수..

악성코드 분석 리포트 2018. 6. 18. 16:36

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근, 국내 시중 은행의 이름을 도용한 PDF 첨부파일 이미지가 포함된 계정 탈취 목적의 악성 메일이 특정 기업에서 발송한 것처럼 사칭해 국내에 유포되고 있어 주의를 당부드립니다. 이번 메일은 '송장 지급 유월 2018 KRW12,450,804' 제목으로 상품 운송장인 것처럼 위장하였습니다. 이번 이메일에서는 제목에 '6월' 대신 한글 '유월'로 적어 한국인이 보낸 것처럼 보이려고 한 점이 특징입니다. [그림 1] 상품 운송장으로 위장한 악성 메일 메일에 첨부 파일은 존재하지 않지만, '첨부 파일 다운로드'로 위장한 이미지로 피싱 사이트 접속을 유도합니다. 다음은 피싱 사이트 접속을 유도하는 이미지 화면입니다. [그림 2] '첨부 파일 다운로드..

악성코드 분석 리포트 2018. 6. 15. 09:31

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 국내에 피고 소환장 통지서로 사칭한 악성 이메일을 통해 GandCrab 랜섬웨어가 유포되고 있어 긴급히 주의를 당부드립니다. ※ 관련글 보기 ▶ 국내 대학 대상으로 갠드크랩 랜섬웨어 유포 중 ▶ 입사지원서로 위장하여 유포되는 GandCrab 랜섬웨어 주의 ▶ 악성 메일로 유포되는 GandCrab 2.1 랜섬웨어 주의 ▶ 실존 디자이너 명의를 사칭한 악성 메일로 GandCrab 랜섬웨어 국내 유포 주의 ▶ '저작권 위반 그림 사용 확인 메일'로 위장한 가상화폐 채굴 악성코드 주의 ▶ 가상화폐 모네로(XMR) 채굴기능의 한국 맞춤형 표적공격 증가 ▶ 국가 기관 및 기업 대상으로 랜섬웨어 다량 유포돼… 관계자 주의 필요 ▶ '저작권 위반 그림 사용 ..

악성코드 분석 리포트 2018. 6. 4. 19:05

■ 대북 분야 표적의 APT 공격 '물탱크 작전(Operation Water Tank)' 배경 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 2018년 04월부터 05월까지 한국의 외교·안보·통일 분야의 연구를 수행하는 싱크탱크(Think Tank) 기관 및 대북단체, 군 관련 웹 사이트를 상대로 한 은밀한 워터링 홀(Watering Hole) 공격이 수행되었습니다. ※ 싱크탱크(Think Tank) 고유 전문 분야의 조사·분석·연구를 조직적으로 결집해 수행하고, 그로 인한 개발성과를 제공하는 것에 목적을 가진 연구집단을 의미하며, 주로 국가의 정책이나 기업의 경영전략을 연구한다. ※ 워터링 홀(Watering Hole) 공격 육식동물인 사..

악성코드 분석 리포트 2018. 5. 31. 11:16

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지속적으로 HTML 피싱 파일이 첨부된 악성 메일이 국내에 유포되고 있어 주의를 당부드립니다. ※ 관련글 보기 ▶ HTML 피싱 파일이 첨부된 악성 메일 주의 이번에 발견된 메일은 첨부 파일을 있는 제품 품목의 견적을 확인하고 통보를 해달라는 내용을 담고 있습니다. 특히나 이번 메일에서는 '귀사의 일익 번창함을 기원합니다'와 같은 문구를 사용하여 정상적으로 보낸 의뢰서로 위장하고 있습니다. [그림 1] 견적 의뢰서 위장 메일 첨부파일 'june order (2).zip'에는 'june order.html' HTML 피싱 파일이 있습니다. 사용자가 실제 제품 견적 의뢰서인 것으로 착각하여 html 파일을 실행할 경우 국내 포탈 사이트의 로그인 화..

악성코드 분석 리포트 2018. 5. 30. 17:32

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 국내 대학을 대상으로 갠드크랩 랜섬웨어를 다운로드 할 수 있는 악성 메일이 발송되고 있어 주의를 당부드립니다. ▶ Trojan.Ransom.GandCrab 악성코드 분석 보고서 ▶ 한국어를 구사하는 랜섬웨어 유포자, 이젠 매크로 기반으로 갠드크랩 유포 중 ▶ 갠드크랩(GandCrab) 랜섬웨어 CVE-2017-8570 취약점으로 유포 중 ▶ 유명 취업사이트 채용공고 지원문의로 위장된 랜섬웨어 피해 속출 ▶ 실존 디자이너 명의를 사칭한 악성 메일로 GandCrab 랜섬웨어 국내 유포 주의 ▶ '저작권 위반 그림 사용 확인 메일'로 위장한 가상화폐 채굴 악성코드 주의 이번에 발견된 메일은 ‘Greetings to you an extract !..

악성코드 분석 리포트 2018. 5. 29. 10:15