안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 'asasin'으로 확장자를 변경하는 Locky 랜섬웨어 변종이 악성 메일 등을 통하여 국내외로 다수 유포되고 있는 정황이 포착되어 이용자들의 주의를 당부드립니다. ※ 관련 글 - 이메일 VBS 첨부파일을 통해 Locky 랜섬웨어 귀환 ▶ 자세히 보기 이번에 Locky 랜섬웨어 유포에 활용된 이메일은 'Invoice INV0000809' 제목과 함께 'Send from my iPhone' 내용을 포함하고 있습니다. 이는 iPhone에서 보낸 송장(Invoice)으로 위장하기 위함으로 보여집니다. [그림 1] Locky 랜섬웨어 유포에 사용된 악성 메일 이용자가 이메일에 첨부된 압축 파일 'Invoice INV0000809.7z'에는 'In..

악성코드 분석 리포트 2017. 10. 11. 14:41

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2017년 09월 26일부터 올크라이(AllCry)라는 이름의 랜섬웨어가 국내에 다수 전파되고 있어 각별한 주의가 필요합니다. 한국의 특정 ① 웹하드 설치 프로그램, ② 잠재적으로 불필요한 프로그램 (PUP:Potentially Unwanted Program) 등을 변조해 사용자 몰래 유포된 상태입니다. 따라서 해당 웹하드 프로그램의 서비스를 이용하고 있거나 불필요한 제휴/스폰서 프로그램이 설치된 경우 올크라이 랜섬웨어에 노출될 위험이 있습니다. 올크라이 랜섬웨어는 닷넷(.NET) 프로그래밍 기반으로 제작되어 있으며, 분석 및 탐지 회피 등을 위해 ".NET Reactor" 코드 프로텍터로 Packing 된 상태입니다. [그림 1] 올크라이 랜..

악성코드 분석 리포트 2017. 9. 30. 16:39

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지난 달 국내 이용자들을 대상으로 ‘클래시 오브 클랜' 게임 앱 청구서로 위장한 애플 피싱 메일이 유포되어 주의를 당부 드립니다. 발견된 피싱 메일은 Apple Store에서 ‘Clans of Clans’라는 게임을 구입하였으니 첨부파일에서 청구서를 확인하라는 내용과 함께 PDF 파일이 첨부되어 있습니다. [그림 1] 앱 결제 내역서로 위장한 애플 피싱 메일 메일에 첨부된 PDF 파일은 마치 스토어에서 Clash Of Clans 게임을 구매한 청구서로 보여줍니다. 하지만 실제로는 링크 클릭을 통해 이용자가 피싱 사이트에 접속하도록 유도합니다. 한편, 공격자는 ‘앱 구매를 승인하지 않았을 경우, 링크를 통해 애플 사이트에 방문하여 구매 취소할 수..

악성코드 분석 리포트 2017. 9. 28. 18:16

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 페이스북 이용자 사이에서 퍼지고 있는 '문화상품권(문상) 룰렛 이벤트 사이트' 등에서 페이스북 토큰 정보를 수집하는 사이트가 확인되어 주의를 당부드립니다. [그림 1] SNS 이용자들 사이에 퍼지고 있는 문상 룰렛 이벤트 게시글 사이트에 접속하면 최초 룰렛 1회를 돌릴 기회를 제공하고, 이용자가 룰렛을 1회 돌릴 경우 '페이스북으로 로그인하여 5회 무료기회 받으세요'라는 메세지가 나타납니다. [그림2] 문상 룰렛 이벤트 사이트 화면 [그림 3] 페이스북 로그인 유도 화면 이용자가 'Log in with Facebook' 버튼을 누를 경우, 다음과 같이 UOAUOA 앱에서 수신하는 정보가 나오고, 계속 진행할 경우 아이디 및 비밀번호를 입력..

악성코드 분석 리포트 2017. 9. 28. 13:37

안녕하세요. 이스트시큐리티입니다. 과거 다양한 변종으로 전세계에 악명을 떨친 ‘Trojan.Ransom.LockyCrypt(이하 Locky 랜섬웨어)’가 다시 등장하였습니다. 이 Locky 랜섬웨어는 파일 암호화 간 ‘diablo6’ 확장자로 변경하는 점이 특징입니다. 본 분석 보고서에서는 Locky 랜섬웨어를 상세 분석 하고자 합니다. 이번 Locky 랜섬웨어는 불특정 다수를 대상으로 한 스팸 메일에서 유포되었습니다. 메일은 ‘Files attached. Thanks’, 즉 ‘파일을 첨부하였다. 고맙다’의 내용을 담고 있습니다. 이는 메일을 받은 이들의 호기심을 자극하여 첨부된 파일을 실행하도록 하는 의도로 보여집니다. 첨부된 압축 파일 안에 있는 ‘E 2017-08-09 (672).vbs‘는 Lock..

악성코드 분석 리포트 2017. 9. 22. 13:14

최근 국내인들을 대상으로 비트코인 정보를 탈취하는 메일이 유포되고 있는 정황이 이스트시큐리티 시큐리티대응센터(ESRC) 모니터링에 포착되어 이용자들의 주의를 당부 드립니다. 이번 메일은 윈도우 7, 8, 10 운영체제를 대상으로 보안 패치를 공개하였고, 첨부된 파일을 실행하여 시스템을 최신으로 유지하라는 내용으로 되어 있습니다. [그림 1] 윈도우 보안 업데이트 안내로 위장한 메일 첨부된 악성코드는 VB(Visual Basic) 언어로 제작되어 있으며, 보안 패치와 무관하게 “%AppData%\Bitcoin\” 경로에 비트코인 지갑 정보가 담긴 wallet.dat 파일 내용을 C&C(80.208.230.159)로 전송하는 기능을 수행합니다. [그림 2] 비트코인 지갑 파일 [그림 3] 비트코인 지갑 파일..

악성코드 분석 리포트 2017. 9. 18. 16:51

안녕하세요. 이스트시큐리티입니다. 지난 7월경 Google Play Store 에 바탕화면 이미지를 제공하는 앱으로 위장하여 화면 잠금 기능을 수행하는 악성앱이 업로드 되었고, 약 5,000회에서 10,000회 사이 가량의 다운로드가 이루어졌습니다. 악성앱이 실행되면 다양한 바탕화면 이미지를 제공해주는 정상 앱을 보여줍니다. 하지만 기기 재부팅 시 화면 잠금 행위를 수행하는 리시버가 실행이 되고, 이용자에게 기기에 저장된 사진 및 연락처 등의 유출된 자료를 삭제하는 대가로 50달러 혹은 0.05 비트코인에 해당되는 금전을 지불하도록 유도하는 화면을 띄웁니다. 이번 보고서에서는 'Trojan.Android.SLocker' 악성앱을 상세 분석하고자 합니다. 악성코드 상세 분석 본 악성 앱은 Google Pl..

악성코드 분석 리포트 2017. 8. 30. 11:01

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 국내 애드웨어 서버의 업데이트 파일을 은밀히 변조(해킹)해 지속적으로 최신 파밍 악성코드가 유포 중인 것이 시큐리티대응센터 보안관제 중 포착되었습니다. 특히나 해당 애드웨어의 경우 정상 프로그램과 함께 제휴 프로그램을 함께 설치하는 형태로 배포하고 있어 부지불식간에 이용자 피해가 발생할 수 있어 주의가 필요합니다. [그림 1] 특정 제휴 프로그램 다운로더 화면 이번 애드웨어 업데이트 파일 변조 역시 지난 ‘게임 최적화 프로그램’ 사례와 마찬가지로 업데이트 서버내에 존재하는 URL 값을 파밍 악성코드로 변경하였습니다. [그림 2] 애드웨어 업데이트 웹 페이지에서 URL 명령 값 변조 따라서 이용자가 다운로더를 통해 설치를 진행할 경우 은밀하게 파..

악성코드 분석 리포트 2017. 8. 22. 14:44