안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내 유명 은행 보안메일을 사칭한 악성 이메일이 발견되어 사용자들의 주의가 필요합니다. 이번에 발견된 메일은 "보안메일"이라는 제목을 사용하며, 실제 해당 은행에서 보내는 보안메일과 유사하게 제작되었습니다. 보안메일 프로그램처럼 보이는 첨부 파일은 “PDF 문서 아이콘”으로 위장하여 사용자가 다운로드하여 실행 시 악성 행위를 시작합니다. 악성파일은 Remcos Rat 1.7 Pro 버전으로 확인되었으며 진단을 우회하기 위해 .NET을 이용하였으나, 내부 악성 모듈을 추출하면 버전 정보가 하드코딩되어 있습니다. Remcos 악성코드는 명령제어 악성코드로, C&C 통신 이후 공격자 명령에 따라 다음과 같은 기능을 수행합니다. 명령어 설 명 filemgr,..

악성코드 분석 리포트 2021. 6. 3. 14:18

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 3월부터 스미싱 공격이 한풀 꺾이는 양상을 보이고 있습니다. 4월은 3월과 비슷한 수준의 공격이 이루어졌으며 전체 공격의 감소세에 따라 스미싱 키워드별 비율도 소폭 변동이 있었습니다. 4월 스미싱 트렌드를 살펴보겠습니다 4월 스미싱 트렌드 ESRC에서 수집 한 4월의 스미싱 공격을 데이터와 통계를 통해 살펴보도록 하겠습니다. 4월 한 달간 수집된 스미싱을 키워드로 분류하면 다음 표와 같습니다. 키워드 SMS 내용 택배 택배 도착 등의 문구로 구성 건강검진 건강 검진 결과 등의 문구로 구성 금융 대출과 연관된 문구로 구성 암호화폐 암호화폐 거래소 사칭. 피싱 사이트 접속 유도 문구로 구성 [표 1] 수집 스미싱 문자들의 키워드 기반 분류 다..

악성코드 분석 리포트 2021. 6. 1. 16:44

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 북한 당국과 연계된 것으로 알려진 ‘탈륨’ 해킹 조직의 표적 공격이 급증하고 있어 각별한 주의가 필요합니다. 해당 그룹은 이메일 수신 대상자의 금융거래 심리를 교묘히 활용해, 마치 국내 시중은행의 공식 안내 메일처럼 위장하거나 설문지 응답 또는 세미나 참석에 따른 소정의 사례비 명목으로 수신자를 현혹하고 있습니다. 특히, 지난 2021년 한미정상 회담 기간 중에도 외교·안보·통일 및 대북 분야 전문가를 상대로 해킹 시도 정황이 진행된 것으로 드러났습니다. 공격 유형으로 여전히 악성 MS 워드(DOC) 문서가 성행하는 편이지만, 최근 금융 회사 이메일로 사칭한 공격에는 악성 엑셀(XLSX) 문서가 사용되었습니다. 이들은 평소 보안 경계..

악성코드 분석 리포트 2021. 5. 26. 11:03

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 은행을 사칭하는 스미싱 공격의 특징은 링크로 접속 시 은행의 대출 관련 내용으로 꾸며진 가짜 웹페이지를 노출시킵니다는 점입니다. 때마침 피해자가 대출에 관심이 있다면 악성 앱을 다운로드해 설치하게 되며 공격자는 설치된 악성 앱을 통해 피해자의 개인 정보를 탈취하여 2차 공격인 보이스피싱을 수행하게 됩니다. Trojan.Andorid.KRBanker 공격은 2차 공격을 통한 금전 갈취가 주요 목적입니다. 스미싱 공격의 표적이 되어 금전 갈취를 당하게 된다면 피해자는 경제적으로 심각한 타격을 입을 수도 있을 것입니다. 따라서 스미싱 공격을 예방하기 위한 노력이 필요합니다. 이런 스미싱 공격들의 피해 예방은 보기보다 간단합니다. 수신 문자의 내..

악성코드 분석 리포트 2021. 5. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. '콜로니얼 파이프라인'이 지난 7일 동유럽 해킹 집단 '다크사이드'의 랜섬웨어 공격을 받아 버지니아, 사우스캐롤라이나 등 미국에서 주유 난이 시작되었습니다. 해당 집단은 지난달에도 이탈리아 최대 협동조합 신용 은행을 공격하여 시스템을 마비시켰습니다. DarkSide 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. 서비스형 랜섬웨어(RaaS)로 사용자 PC에 악성 행위 로그를 남기는 것이 특징입니다. 또한 로컬 드라이브와 네트워크 드라이브로 연결된 모든 파일을 암호화 대상에 포함하고 C&C 연결을 하지 않아도 암호화되기 때문에 보안을 위해 폐쇄망을 사용하는 기업들도 랜섬웨어 공격에 더 큰 주의를 기울여야 합니다...

악성코드 분석 리포트 2021. 5. 20. 09:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. ESRC에서는 자체 운영 중인 이메일 모니터링 시스템의 데이터를 통해 이메일 중심의 공격이 어떻게 이루어지고 있는지 공유하고 있습니다. 다음은 05월 09일~05월 15일까지의 주간 통계 정보입니다. 1. 이메일 유입량 지난주 이메일 유입량은 총 131건이고 그중 악성은 63건으로 48.09%의 비율을 보였습니다. 악성 이메일의 경우 그 전주 32건 대비 63건으로 31건이 증가했습니다. 일일 유입량은 하루 최저 1건(악성 1건)에서 최대 29건(악성 15건)으로 일별 편차를 확인할 수 있습니다. 2. 이메일 유형 악성 이메일을 유형별로 살펴보면 63건 중 Attach-Malware형이 42.9%로 가장 많았고 뒤이어 Attach-Phishin..

악성코드 분석 리포트 2021. 5. 18. 09:30

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내 유명 대학교 교직원 장학금 신청 관련 내용으로 피싱 메일이 다량 유포되고 있어 관련자들의 각별한 주의가 필요합니다. 5월 13일 오후 11시 43분 경에 수신된 것으로 확인되는 메일들은 'Re: 00대학교 교직원 장학금 장학생 모집 신청서 예술공학부', 'Re: 00대학교 교직원 장학금 신청서 (20163100 김한빈)', 'Re: 00대학교 교직원 장학금 신청서-20196231 양란아'와 같은 제목을 사용하며, 본문에는 학생의 이름, 전공과 학번 등을 포함해 장학금을 신청한다는 내용을 담고 있습니다. 본문은 영어와 한글 버전이 모두 작성되어 있어, 수신자의 국적에 관계 없이 첨부파일을 열어보도록 유도했습니다. 메일에 사용된 발신 주소 도메인은 ..

악성코드 분석 리포트 2021. 5. 14. 14:43

안녕하세요. ESRC(시큐리티 대응센터)입니다. 오는 21일 열리는 한미정상회담을 계기로 북미대화 재개 가능성이 조심스럽게 나오는 가운데, 북한 배후 해킹 그룹 ‘탈륨(Thallium)’이 활발하게 활동중인 정황이 발견돼 대북 관련 전문가와 관계자의 각별한 주의가 요구됩니다. 최근 탈륨 조직의 ‘제헌절 국제학술포럼’, ‘북한비핵화컨트롤타워구축(안)’ 등으로 위장한 피싱 공격이 탐지되었습니다. 제헌절 국제학술포럼은 7월 27일 진행 일정의 포럼 내용을 담고 있으며, 개회식 내용에 통일부와 외교부장관 이름이 포함돼 있고, ‘한반도 평화·통일 교두보-북중러접경 국제공항 및 배후단지 조성방안’이라는 내용이 담겨 있습니다. 이러한 유형은 신뢰할만한 문서 내용처럼 수신자를 현혹하는 전형적인 스피어피싱 공격으로, ‘..

악성코드 분석 리포트 2021. 5. 12. 15:57