애드웨어 업데이트로 퍼지는 파밍 주의! 개요 인터넷 이용자들이 특정 유틸리티 프로그램을 검색할 때 키워드 광고 목적을 가진 파일이 노출되도록 만든 변칙적 광고프로그램 웹 사이트가 아직도 기승을 부리고 있습니다. 이러한 프로그램은 마치 공식적인 프로그램인양 당당히 위장을 하고 있으나, 대체로 끼워팔기 식으로 또 다른 광고모듈을 동시다발적으로 설치합니다. 이 때문에 많은 인터넷 이용자가 이와 유사한 프로그램들에 각종 불만과 피해를 호소한지 한참 오래된 상황입니다. 이런 유형의 프로그램들은 이용자들이 명확하게 유입과정을 인지하지 못한 사이에 몰래 설치되고, 지속적으로 업데이트서버와 통신해 이용자가 원치 않는 광고행위를 은밀히 수행하게 됩니다. 지금까지 애드웨어는 그 자체로도 큰 불편함과 부작용을 유발했는데, ..

악성코드 분석 리포트 2015. 11. 12. 14:17

MS Office 매크로를 이용하여 키로깅 프로그램을 다운받는 공격활동 분석 MWI-5: Operation HawkEye 개요 MS Office 악성코드는 90년대처럼 유행하지는 않지만, 여전히 주의해야 할 악성코드입니다. 최근 강력한 Office 악성코드 개발툴인 Microsoft Word Intruder(MWI)가 러시아에서 개발되었습니다. WMI는 2015년 파이어아이에 의해 처음으로 공개되었지만, 이 악성코드의 파급력을 인지하지 못한 사용자들의 주목을 끌지 못했습니다. 하지만 파이어아이는 끊임없이 WMI에 관한 연구 보고서를 공개하였습니다. MWI을 이용한 공격 규모는 의도적으로 작은 규모를 유지하였습니다. 공격조직들은 수많은 컴퓨터들을 감염시키기 보다 몇 천대 혹은 몇 십대의 컴퓨터를 감염시켜,..

악성코드 분석 리포트 2015. 10. 22. 17:28

Xcode IDE 악성앱 이슈 관련 Xcode 버전 인증방법Validating Your Version of Xcode 애플사는 최근 위조된 버전의 Xcode를 사용하여 빌드 된 앱들을 앱스토어에서 제거하였습니다. (▶ 자세히보기) 이 앱들은 잠재적으로 고객에게 위험을 초래할 수 있었습니다. Xcode는 반드시 맥 앱스토어 또는 애플 디벨로퍼 웹사이트에서 직접 다운로드 해야 하고, 시스템에 Gatekeeper를 항상 활성화 시켜 변조 된 소프트웨어로부터 시스템을 보호해야 한다고 애플은 밝혔습니다. 맥 앱스토어에서 Xcode를 다운로드 할 때는, OS X는 자동으로 코드의 서명을 확인하고, 애플이 서명한 코드가 맞는지 확인해야 합니다. 애플 디벨로퍼 웹사이트에서 Xcode를 다운로드 할 경우에도 자동으로 코..

악성코드 분석 리포트 2015. 9. 23. 14:55

유명 커뮤니티 해킹 사건 및 유포된 apk 분석 최근 유명 커뮤니티 사이트가 해킹당하여, 해당 커뮤니티에 가입한 회원정보 (회원의 ID, 암호화된 pass word, 생년월일,E-mail, 닉네임, 암호화된 장터password, 가입일, 회원점수) 가 유출되었습니다. 또한 해킹사고 후 홈페이지의 특정 경로를 통하여 모바일 악성앱을 유포하였습니다. 즉 노출 계정을 확인 하기 위해 접근한 커뮤니티 회원들을 대상으로 앱을 유포 한 것으로 추정됩니다. 해당 앱을 분석해본 결과 피해자에게 지속적으로 광고를 노출하는 전형적인 광고앱이지만, 마켓을 통해 배포되는 정상적인 앱들과의 차이점이 3가지 존재합니다. 1) 피해자에게 어떠한 기능도 제공하지 않으면서 지속적으로 광고 노출과 해당 광고에서 선전하는 앱들을 다운로드..

악성코드 분석 리포트 2015. 9. 16. 09:00

한글자막이 포함된 원피스 최신동영상으로 위장한 악성코드 주의! 유명 애니메이션 '원피스(One Piece)' 최신 동영상파일로 위장한 악성코드가 발견되어 주의가 필요합니다.이번에 발견된 악성코드는 곰플레이어의 동영상 아이콘으로 위장하고 있으며, '원피스 704화'라고 구체적인 내용을 설명하는 파일명을 가지고 있습니다. (참고로 원피스 704화는 2015년 8월 초에 나온 최신에 가까운 내용입니다.) 사용자가 해당 파일을 더블클릭하면 실제로 한글자막이 입혀진 원피스 애니메이션 동영상 파일이 실행되면서 동시에 한편으로는 악성코드가 실행되게 됩니다. 해당 악성코드는 일단 실행되면, 감염시스템에 백도어를 설치하고 특정 C&C서버로 접속을 시도하게 됩니다. 특히, 사용자 입장에서는 정상적으로 동영상이 실행되기 때..

악성코드 분석 리포트 2015. 8. 18. 18:48

Trojan.Android.Downloader.KRBanker 최근 알약 안드로이드와 같은 백신앱들의 치료행위를 무력화시키는 기능을 하는 악성 앱들의 유포가 많아 지고 있습니다. 해당 악성앱들은 스미싱으로 유포되고 있으며, 주로 뱅킹앱 재설치 후 사용자의 금융정보를 탈취하는 기능을 수행합니다. 이런 악성행위는 기존의 Trojan.Android.Downloader.KRBanker 악성앱들이 수행하고 있는 행위들이라 특이할 것은 없지만, 기존의 악성행위와 더불어 백신들의 치료 행위에 대한 방어 기능이 추가로 포함되어 있습니다. 이번에 분석한 악성앱은 기존의 악성행위와 더불어 백신들의 치료 행위에 대한 방어 기능이 추가로 포함되어 있습니다. 이런 방어코드는 악성앱의 생존율을 높이기 위한 수단으로 보입니다. 이..

악성코드 분석 리포트 2015. 8. 13. 14:40

Spyware.Infostealer.AuNet 이번에 분석할 악성코드는 구매 내역 관련 내용이 기재된 메일 혹은 이와 유사한 방식의 금융권에서 발송되는 메일을 가장하고 있으며 주로 이메일을 통해 유포되고 있습니다. 송금정보 등의 단순한 스팸 메일이 아닌, 실제로 자신이 인터넷 상에서 이용한 구매 내역 혹은 결제 관련 내용을 포함하여 사용자들이 해당 메일을 정상 메일로 착각하게 만든 후 악성코드를 실행하도록 유도합니다. 이번 악성코드 분석리포트에서는 이와 같이 구매 내역 관련 메일로 위장하여 배포되는 악성코드에 대해서 살펴보았습니다. 첨부된 PO INQUIRY.PDF.ZIP 파일은 압축실행 형태인 PO INQUIRY.PDF.exe 파일을 포함하고 있습니다. 악성코드 순서도 악성코드 상세 분석 ※ 악성파일 ..

악성코드 분석 리포트 2015. 8. 6. 14:32

악성파일이 숨겨진 VMware크랙 버전, 토렌트를 통해 유포 중 2015년 06월 15일, 회원제로 운영 중인 국내 특정 토렌트 사이트에서 최신버전의 VMware Workstation 파일로 위장한 악성파일이 업로드되어 사용자들의 각별한 주의가 필요합니다. 현재 해당 게시물은 불특정 다수의 이용자에게 계속해서 노출되고 있습니다. 토렌트를 통해 유포 중인 악성 VMware 공격 절차 토렌트 파일에는 설치용 등록번호를 포함해 불법 이용자들을 현혹시키고 있습니다. 일반적으로 토렌트 관련 커뮤니티 간에 토렌트 파일이 공유되는 경우가 많아 다운로드 연결은 지속적으로 증가할 것으로 예상됩니다. 이와 같이 토렌트 등 불법으로 무단 배포되는 상용 프로그램에는 악의적인 의도로 은밀하게 숨겨진 보안위협들이 존재할 가능성이..

악성코드 분석 리포트 2015. 6. 17. 10:35