인텔 CPU 취약점(Meltdown&Spectre) 분석 및 이스트시큐리티 대응상황 2018년 1월 4일, Jann Horn 등 보안연구원들은 ”Meltdown”(CVE-2017-5754)과 ”Spectre”(CVE-2017-5753 & CVE-2017-5715) 라고 명명된 2개의 CPU 취약점을 공개하였습니다. 해당 취약점들을 악용하면 공격자들이 사용자의 정보들을 유출시킬 수 있으므로 패치등의 조치를 취하시는 것이 안전합니다. 이스트시큐리티에서는 관련 취약점에 대한 분석을 진행중이며, 1차적으로 현재까지 확인된 내용을 공유드립니다. 추가 분석이 완료되는대로 추가포스팅을 올리거나 현재 글에 내용을 업데이트 할 예정입니다. 1월 10일 이스트시큐리티에서 상세분석한 내용을 별도포스팅으로 새로 업로드하였습니..

악성코드 분석 리포트 2018. 1. 5. 19:20

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 며칠 전 국내 특정 기관에서 공지한 '북한 2018년 신년사 분석' 내용으로 사칭한 HWP 취약점 기반 악성파일이 발견되었습니다. 수년 전부터 유사한 형태의 스피어 피싱(Spear Phishing) 추정 공격이 지속적으로 발견되고 있으므로, 이용자분들의 각별한 주의가 요망됩니다. [그림 1] 북한 2018년 신년사 분석으로 위장한 악성파일 실행 화면 해당 문서파일 포맷 내부에는 밀봉형 포스트스크립트(Encapsulated PostScript)인 'BIN0004.eps' 데이터가 포함되어 있습니다. 기본적으로 HWP 문서파일은 zlib 공개 압축 라이브러리를 사용하고 있는데, 압축된 부분을 해제하면 아래 비교화면과 같이 내부의 코드를 확인할 수 ..

악성코드 분석 리포트 2018. 1. 4. 17:09

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 한국 포털(사) 이메일 계정을 사용하는 불특정다수를 대상으로 다량의 악성 프로그램이 전파되고 있어 각별한 주의가 필요합니다. 공격자는 초기에 구글 지메일을 이용했지만, 근래에는 한메일을 이용하고 있습니다. 지난 주에는 주로 특정인의 노출 사진인 것처럼 위장해 이용자들을 현혹시켰습니다. 그런 가운데 최근 사망한 한국의 유명 아이돌 가수의 마지막 영상 유출 내용으로 악성파일을 유포하고 있습니다. 특히, 수백명에 가까운 이메일 주소를 몰래 삽입에 동시다발적으로 유포를 수행하고 있는 상태입니다. [그림 1] 악성 프로그램을 유포한 화면과 공격자 이메일 정보 이메일을 발송한 계정을 조사해 보면 실제 '꽃사슴' 필명으로 블로그가 존재하며, 주로 해외..

악성코드 분석 리포트 2017. 12. 22. 15:31

안녕하세요. 이스트시큐리티입니다. 작년 7월 4일 사용자의 마스터 부트 레코드(MBR)를 암호화 하여 PC 실행을 막는 Satana 랜섬웨어가 처음 등장하였습니다. 이는 MBR을 망가뜨리는 Petya 랜섬웨어와 클래식 랜섬웨어를 결합한 새로운 형태의 랜섬웨어였습니다. 그러나 모든 파일은 동일 특정 키로 암호화 된다거나, 디버그 스트링을 남기는 등 결점을 포함하고 있어 개발 초기 단계의 버전으로 보였습니다. (참고▶http://blog.alyac.co.kr/691) 그러나 올해 등장한 Satana 랜섬웨어는 Ransomware as a Service(RaaS) 형태로 진화했으며 다양한 안티 디버깅 기법과 프로세스 인젝션 등 클래식 랜섬웨어 기능에 분석을 어렵게 하기 위한 다양한 기법들을 포함하고 있습니다...

악성코드 분석 리포트 2017. 12. 21. 13:00

■ 금융 소프트웨어 위장 작전명 코인 매니저 (Coin Manager) 안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지난 2009년 7.7 DDoS 공격부터 2013년 3.20 금융사/언론사 전산망 대란, 2017년 한국 특정 가상화폐 거래소 공격까지 한국에서 발생하고 있는 주요 사이버 보안위협에는 다양한 공통점이 존재합니다. 해외의 보안업체들은 이 공격그룹에 대해 이른바 라자루스(Lazarus) 등의 고유 그룹명을 지정해 사용하고 있기도 합니다. 이들은 한국의 주요 정부기관, 언론사, 금융사, 대북단체, 민간기업 등 매우 다양한 분야에 걸쳐 수년 넘게 사이버 침투 활동을 유지하고 있으며, 지금도 현재 진행형이라 해도 절대 과언이 아닙니다. [그림 1] 과거 주요 사이버 위협 사례 201..

악성코드 분석 리포트 2017. 12. 19. 02:08

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지난 주말부터 동영상 파일로 위장한 악성프로그램이 페이스북(Facebook) SNS 메시지를 통해 다수 전파되고 있어 각별한 주의가 필요합니다. ▶ 페이스북 메신저로 받은 악성 단축 URL 클릭 주의 ▶ [주의] 가상화폐 채굴 공격으로 귀환한 비너스락커 랜섬웨어 제작자 이번에 발견된 악성파일은 주로 페이스북 친구들에게 전파되었으며, 'video_(임의의 숫자 조합).zip' 형태가 사용되었습니다. [그림 1] 페이스북 메신저로 유포된 악성파일 주의 내용 만약 페이스북 이용자가 메신저로 해당 파일을 다운로드해 압축을 해제한 후 실행할 경우 감염이 이뤄지게 됩니다. 악성파일은 비디오 동영상 파일처럼 위장하고 있지만, 실제로는 2중 확장자의 Vide..

악성코드 분석 리포트 2017. 12. 18. 11:11

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 여러분들도 잘 아시다시피 한국에서는 다양한 보안위협과 침해사고가 이어지고 있습니다. 이러한 사이버 위협에는 항상 배후가 존재하지만, 사이버 세상의 특성상 공격자와 거점을 특정하고 실체를 규명하는 것은 매우 어려운 일입니다. 하지만 어떠한 현상이나 사건에는 누구도 의식하지 못한 사이 특정 코드가 기록되거나, 평상시 습관에 의해 고유한 흔적을 남겨 결정적 증거나 단서로 사용됩니다. 사이버 공격자가 제작한 코드를 분석하거나 공격에 활용된 시스템, 네트워크, 사용 언어 등 다양한 환경과 프로세스를 분석해 공통점을 찾아가는 과정은 많은 시간과 노력이 필요하지요. ■ 공격자의 관심사와 공격의도를 고민하자! 각 분야별 침해 위협을 분석하고 대응하는 입장에서..

악성코드 분석 리포트 2017. 12. 15. 17:58

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 특정 기업의 채용 구인 공고를 보고 연락한 내용처럼 위장한 해킹(스피어 피싱) 이메일이 국내에서 여럿 발견되고 있어 채용 및 구직관련 담당자 분들의 각별한 보안 주의가 필요합니다. ESRC에서는 이 공격자들이 기존 비너스락커 조직과는 다른 그룹으로 분류하고 있습니다. 보통 비너스락커 공격 그룹은 'EGG' 압축포맷을 주로 사용하는 반면, 이 공격자들은 'ALZ' 압축포맷을 활용하는 점이 다르며, 한국내 조직으로 분류되어 추적을 이어가고 있습니다. 한편, 공격자 추적을 위해 수사당국과도 긴밀하게 협력하고 있습니다. 공격자는 한글로 작성한 이메일에 마치 구직자 이름의 채용서류 파일처럼 만든 악성파일을 압축해 첨부하고 있습니다. [그림 1] 채..

악성코드 분석 리포트 2017. 12. 11. 14:04