▶ 위협 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 미국 마이크로소프트(MS)사는 작년 12월 말, 해킹 그룹인 ‘탈륨(Thallium)’을 고소하고, 그들이 악용한 웹 사이트 도메인을 통제했다고 전한 바 있습니다. Microsoft takes court action against fourth nation-state cybercrime grouphttps://blogs.microsoft.com/on-the-issues/2019/12/30/microsoft-court-action-against-nation-state-cybercrime/ 특정 정부와 연계된 것으로 알려진 탈륨이라는 해킹 그룹명은 김수키라는 조직명으로도 널리 알려져 있습니다. 이들 조직은 최근까지도 'Windows ..

악성코드 분석 리포트 2020. 6. 30. 09:09

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 들어 기업 담당자의 계정을 노리는 피싱 메일들이 다양한 형태로 변화되고 있으며, 개인정보 수집(로그인 정보)을 목표로 하고 있기 때문에 기업 사용자들의 주의가 필요합니다. 기업 담당자의 계정을 노리는 피싱 메일들은 발주, 견적, 구매 등 업무와 관련된 내용 또는 메일의 용량 초과, 비밀번호 변경, 계정 차단, 비로그인 활동 등의 경고성 메일로 구분할 수 있습니다. [그림 1] 발주, 견적, 구매 등 업무 관련 피싱 이메일 [그림 2] 용량 초과, 계정 차단 등 경고 관련 피싱 이메일 다양한 피싱 메일들은 기업 담당자들의 계정 탈취가 목적이기 때문에 본문에 기재된 링크나 첨부 파일 실행 시, 계정과 패스워드를 입력하는 로그인 페이지로 이동합..

악성코드 분석 리포트 2020. 6. 26. 13:52

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 6/24 오전부터 이력서로 위장한 랜섬웨어 이메일이 대량으로 유포되고 있어 주의가 필요합니다. 이번에 확인된 이력서 위장 랜섬웨어 이메일은 국내 대형 포털 이메일 서비스를 활용하고 있으며, 분석결과 몇년 전부터 꾸준히 이력서 및 지원서 관련 소재로 악성 이메일을 유포하고 있는 비너스락커 조직의 소행으로 판단됩니다. [그림 1] 이력서로 위장한 Makop 랜섬웨어 이메일 화면 비너스락커 조직의 경우, 2020년만 한정해도 1월부터 6월까지 쉬지 않고 주기적인 악성 이메일 공격을 진행해왔으며, 3월부터는 이메일에 Nemty 랜섬웨어가 아닌 Makop 랜섬웨어를 첨부하여 공격을 수행하고 있습니다. 바로 몇주 전인 2020년 6월 초에도 비너스락커 조..

악성코드 분석 리포트 2020. 6. 24. 15:26

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 06월 19일 새벽, 대한민국 청와대 보안 이메일 파일을 사칭한 APT(지능형지속위협) 공격용 악성파일 변종이 다수 발견되었습니다. 악성파일은 청와대 로고 이미지 아이콘을 가지고 있으며, 변종 악성코드에 따라 제작된 날짜(Time Stamp)가 조금씩 다릅니다. 가장 최근에 제작된 날짜는 한국시간(KST) 기준으로 2020년 06월 19일 12시 44분 47초 입니다. ESRC는 해당 악성파일을 긴급 분석한 결과 특정 정부와 연계된 것으로 알려진 이른바 '탈륨(Thallium) 또는 김수키(Kimsuky)' 조직의 '블루 에스티메이트' 위협 캠페인의 연장선으로 확인했습니다. '블루 에스티메이트' APT 캠페인은 지난 2019년 12..

악성코드 분석 리포트 2020. 6. 19. 08:21

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 스미싱을 통해 주로 유포되는 KRBanker 악성앱이 '간편 대출 이용안내' 키워드를 활용하여 꾸준하게 사용자들을 현혹시키고 있어 주의가 필요합니다. 스미싱 내용에는 실제 존재하는 금융기관의 이름을 활용하며, 사용자로 하여금 의심을 하지 않도록 스미싱 내 URL을 클릭 시, 실제처럼 꾸며진 가짜 은행 사이트로 접속하게 하여 공격자가 원하는 악성 앱을 사용자가 다운로드하도록 유도하고 있습니다. ■ KRBanker 스미싱 악성앱 상세 분석 은행을 사칭하는 스미싱 공격의 특징은 링크로 접속 시 은행의 대출 관련 내용으로 꾸며진 가짜 웹 페이지를 노출시킨다는 점입니다. 때마침 피해자가 대출에 관심이 있다면 악성앱을 다운로드해 설치하게 되며 공격자는 설치..

악성코드 분석 리포트 2020. 6. 18. 18:07

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 공격은 공격자들이 가장 애용하는 모바일 기기 공격 기법일 것입니다. 더불어 코로나19의 창궐로 인한 언택트의 확산으로 급증한 택배 문자가 공격자들에게는 좋은 공격 방법이 되었습니다. 코로나19 사태 초기의 스미싱 공격은 코로나19 관련 이슈가 주를 이루었지만 강력한 사회적 거리 두기의 시행에 따라 택배 문자가 급증하게 되자 공격자들도 이에 편승하여 택배를 사칭하는 스미싱 공격을 시도하고 있습니다. [그림] 악성 앱 설치 및 실행 화면 사용자가 스미싱 공격을 통해 악성 앱을 설치하게 되면 개인 정보가 탈취되고 연락처에 존재하는 지인들에게도 스미싱 공격 문자가 전달되는 피해를 입을 수도 있습니다. 따라서 피해를 입기 전 예방하는 것이 ..

악성코드 분석 리포트 2020. 6. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 하반기 발견된 Nemty 램섬웨어는 최근까지 이력서를 위장하여 기업으로 다량 유포되었습니다. 최근 세계적으로 코로나19 전파되고 있는 가운데 공격자는 이를 이용하여 사용자로 하여금 공격을 유도합니다. 그뿐만 아니라 기존과 다르게 코드를 변화시켜 백신 탐지 우회를 시도하였습니다. [그림] 파일 암호화 완료 후 바탕화면 변경 이 악성코드는 로컬에 존재하는 파일을 암호화시켜 감염자에게 파일 복호화를 대가로 돈을 받는 랜섬웨어의 한 종류입니다. 해당 랜섬웨어는 2019년 하반기부터 유포되었던 Nemty 랜섬웨어의 변종으로써 필요한 데이터와 감염 PC 정보 등을 저장하는 레지스트리가 동일합니다. 추가적으로 뮤텍스 값 등에서 러시아어를 이..

악성코드 분석 리포트 2020. 6. 16. 15:15

안녕하세요.이스트시큐리티 ESRC(시큐리티대응센터)입니다. ‘Konni’ 조직의 APT 공격 방식과 매우 유사한 특징을 가진 문서 파일이 포착되었습니다. 특히 이번 문서 파일은 본문 내용에 2020년 초 국내에서 큰 이슈가 되었던 악질적인 디지털 성범죄 이슈였던 'n번방' 관련 이슈를 다루고 있는 것이 특징입니다. (제목 : nth_room_event1.doc) 이번에 확인된 악성문서는 기존 공격방식과 유사하게 문서 실행 시 아래와 같이 매크로 실행을 유도합니다. 이전에 발견된 Konni 악성코드 문서와 동일하게 본문 내용 색깔이 흰색으로 작업되어 있는 것을 확인할 수 있습니다. [그림 1] nth_room_event1.doc 실행 화면 매크로 기능은 %userprofile% 경로에 ‘ok.exe’ 파일..

악성코드 분석 리포트 2020. 6. 15. 17:56