Backdoor.BlackEnergy 해커들이 강력한 파괴력을 가진 멀웨어를 이용하여 우크라이나의 최소 3군대의 지역 전력기관을 감염시켜 지난 12월 23일 우크라이나의 이바노프란키우시크 지역에 정전을 일으킨 것으로 밝혀졌습니다. 우크라이나 자원부는 조사를 통하여 이번 정전사태는 지역 에너지 공급처인 Prykarpattyaoblenergo가 사이버 공격을 당했기 때문이라고 발표하였으며, 실제로 우크라이나의 다수 전력기관들이 "BlackEnergy" 멀웨어에 감염되어 있었던 것으로 밝혀졌습니다. BlackEnergy 멀웨어는 2007년 처음 발견되었으며, 발견 당시 DDoS 공격을 실행하기 위한 단순한 툴이였지만, 2년전부터 감염된 컴퓨터들을 부팅할 수 없도록 만드는 등의 새로운 기능들이 추가되었습니다. ..

악성코드 분석 리포트 2016. 2. 24. 10:00

12월 중순 경부터, 한국영화 '열정같은 소리하고 있네'의 불법공유파일이 악성CHM파일과 함께 토렌트 커뮤니티를 중심으로 유포되고 있습니다. 해당 악성코드의 경우, 실제로 재생이 가능한 영화파일과 함께 다운로드되는 악성CHM파일이며 꼭 필독하라는 내용의 파일명을 통해 사용자들의 클릭을 유도하고 있습니다. 토렌트 커뮤니티의 특성상 기존에 한번 공유된 파일들이 다른 커뮤니티에서도 동시에 공유되는 경우가 많기 때문에 많은 사용자들이 악성코드 감염 위협에 노출되고 있는 상황입니다. 공유되는 불법토렌트 파일을 통해 영화 다운로드를 진행하면, 아래와 같이 영화파일과 함께 같은 폴더내에 악성CHM파일이 함께 다운로드 됩니다. 해당 파일은 '꼭 필독...♥'이라는 파일명을 통해 사용자의 클릭을 유도하고 있습니다. 악성..

악성코드 분석 리포트 2015. 12. 24. 18:45

안녕하세요 알약입니다. 최근 대한통운 택배를 사칭한 지능 타깃형 스미싱 공격이 지속적으로 등장하고 있어 사용자들의 주의가 필요합니다. 이 스미싱은 기존 스미싱과는 다르게 스미싱 문자를 받은 사람의 전화번호를 입력해야 본격적으로 악성 행위가 동작하기 때문에, 악성코드 분석가가 단순히 스미싱 사이트에 접속한다고 해서 해당 악성앱을 확인할 수는 없습니다. 공격 과정 공격자는 먼저 사전에 확보한 전화번호로 택배 관련 스미싱 문자를 공격대상에게 발송합니다. 이때 스미싱 문자를 발송하는 전화번호 리스트는 공격자의 서버에 저장되어 있습니다. 그 후 스미싱 문자를 수신한 이용자가 스미싱 URL을 클릭하면 스미싱 사이트로 연결이 되며, 해당 사이트에서 자신의 전화번호를 입력합니다. 이용자가 입력한 전화번호와 서버 DB에..

악성코드 분석 리포트 2015. 11. 18. 12:51

애드웨어 업데이트로 퍼지는 파밍 주의! 개요 인터넷 이용자들이 특정 유틸리티 프로그램을 검색할 때 키워드 광고 목적을 가진 파일이 노출되도록 만든 변칙적 광고프로그램 웹 사이트가 아직도 기승을 부리고 있습니다. 이러한 프로그램은 마치 공식적인 프로그램인양 당당히 위장을 하고 있으나, 대체로 끼워팔기 식으로 또 다른 광고모듈을 동시다발적으로 설치합니다. 이 때문에 많은 인터넷 이용자가 이와 유사한 프로그램들에 각종 불만과 피해를 호소한지 한참 오래된 상황입니다. 이런 유형의 프로그램들은 이용자들이 명확하게 유입과정을 인지하지 못한 사이에 몰래 설치되고, 지속적으로 업데이트서버와 통신해 이용자가 원치 않는 광고행위를 은밀히 수행하게 됩니다. 지금까지 애드웨어는 그 자체로도 큰 불편함과 부작용을 유발했는데, ..

악성코드 분석 리포트 2015. 11. 12. 14:17

MS Office 매크로를 이용하여 키로깅 프로그램을 다운받는 공격활동 분석 MWI-5: Operation HawkEye 개요 MS Office 악성코드는 90년대처럼 유행하지는 않지만, 여전히 주의해야 할 악성코드입니다. 최근 강력한 Office 악성코드 개발툴인 Microsoft Word Intruder(MWI)가 러시아에서 개발되었습니다. WMI는 2015년 파이어아이에 의해 처음으로 공개되었지만, 이 악성코드의 파급력을 인지하지 못한 사용자들의 주목을 끌지 못했습니다. 하지만 파이어아이는 끊임없이 WMI에 관한 연구 보고서를 공개하였습니다. MWI을 이용한 공격 규모는 의도적으로 작은 규모를 유지하였습니다. 공격조직들은 수많은 컴퓨터들을 감염시키기 보다 몇 천대 혹은 몇 십대의 컴퓨터를 감염시켜,..

악성코드 분석 리포트 2015. 10. 22. 17:28

Xcode IDE 악성앱 이슈 관련 Xcode 버전 인증방법Validating Your Version of Xcode 애플사는 최근 위조된 버전의 Xcode를 사용하여 빌드 된 앱들을 앱스토어에서 제거하였습니다. (▶ 자세히보기) 이 앱들은 잠재적으로 고객에게 위험을 초래할 수 있었습니다. Xcode는 반드시 맥 앱스토어 또는 애플 디벨로퍼 웹사이트에서 직접 다운로드 해야 하고, 시스템에 Gatekeeper를 항상 활성화 시켜 변조 된 소프트웨어로부터 시스템을 보호해야 한다고 애플은 밝혔습니다. 맥 앱스토어에서 Xcode를 다운로드 할 때는, OS X는 자동으로 코드의 서명을 확인하고, 애플이 서명한 코드가 맞는지 확인해야 합니다. 애플 디벨로퍼 웹사이트에서 Xcode를 다운로드 할 경우에도 자동으로 코..

악성코드 분석 리포트 2015. 9. 23. 14:55

유명 커뮤니티 해킹 사건 및 유포된 apk 분석 최근 유명 커뮤니티 사이트가 해킹당하여, 해당 커뮤니티에 가입한 회원정보 (회원의 ID, 암호화된 pass word, 생년월일,E-mail, 닉네임, 암호화된 장터password, 가입일, 회원점수) 가 유출되었습니다. 또한 해킹사고 후 홈페이지의 특정 경로를 통하여 모바일 악성앱을 유포하였습니다. 즉 노출 계정을 확인 하기 위해 접근한 커뮤니티 회원들을 대상으로 앱을 유포 한 것으로 추정됩니다. 해당 앱을 분석해본 결과 피해자에게 지속적으로 광고를 노출하는 전형적인 광고앱이지만, 마켓을 통해 배포되는 정상적인 앱들과의 차이점이 3가지 존재합니다. 1) 피해자에게 어떠한 기능도 제공하지 않으면서 지속적으로 광고 노출과 해당 광고에서 선전하는 앱들을 다운로드..

악성코드 분석 리포트 2015. 9. 16. 09:00

한글자막이 포함된 원피스 최신동영상으로 위장한 악성코드 주의! 유명 애니메이션 '원피스(One Piece)' 최신 동영상파일로 위장한 악성코드가 발견되어 주의가 필요합니다.이번에 발견된 악성코드는 곰플레이어의 동영상 아이콘으로 위장하고 있으며, '원피스 704화'라고 구체적인 내용을 설명하는 파일명을 가지고 있습니다. (참고로 원피스 704화는 2015년 8월 초에 나온 최신에 가까운 내용입니다.) 사용자가 해당 파일을 더블클릭하면 실제로 한글자막이 입혀진 원피스 애니메이션 동영상 파일이 실행되면서 동시에 한편으로는 악성코드가 실행되게 됩니다. 해당 악성코드는 일단 실행되면, 감염시스템에 백도어를 설치하고 특정 C&C서버로 접속을 시도하게 됩니다. 특히, 사용자 입장에서는 정상적으로 동영상이 실행되기 때..

악성코드 분석 리포트 2015. 8. 18. 18:48