안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 06월 19일 새벽, 대한민국 청와대 보안 이메일 파일을 사칭한 APT(지능형지속위협) 공격용 악성파일 변종이 다수 발견되었습니다. 악성파일은 청와대 로고 이미지 아이콘을 가지고 있으며, 변종 악성코드에 따라 제작된 날짜(Time Stamp)가 조금씩 다릅니다. 가장 최근에 제작된 날짜는 한국시간(KST) 기준으로 2020년 06월 19일 12시 44분 47초 입니다. ESRC는 해당 악성파일을 긴급 분석한 결과 특정 정부와 연계된 것으로 알려진 이른바 '탈륨(Thallium) 또는 김수키(Kimsuky)' 조직의 '블루 에스티메이트' 위협 캠페인의 연장선으로 확인했습니다. '블루 에스티메이트' APT 캠페인은 지난 2019년 12..

악성코드 분석 리포트 2020. 6. 19. 08:21

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 스미싱을 통해 주로 유포되는 KRBanker 악성앱이 '간편 대출 이용안내' 키워드를 활용하여 꾸준하게 사용자들을 현혹시키고 있어 주의가 필요합니다. 스미싱 내용에는 실제 존재하는 금융기관의 이름을 활용하며, 사용자로 하여금 의심을 하지 않도록 스미싱 내 URL을 클릭 시, 실제처럼 꾸며진 가짜 은행 사이트로 접속하게 하여 공격자가 원하는 악성 앱을 사용자가 다운로드하도록 유도하고 있습니다. ■ KRBanker 스미싱 악성앱 상세 분석 은행을 사칭하는 스미싱 공격의 특징은 링크로 접속 시 은행의 대출 관련 내용으로 꾸며진 가짜 웹 페이지를 노출시킨다는 점입니다. 때마침 피해자가 대출에 관심이 있다면 악성앱을 다운로드해 설치하게 되며 공격자는 설치..

악성코드 분석 리포트 2020. 6. 18. 18:07

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 공격은 공격자들이 가장 애용하는 모바일 기기 공격 기법일 것입니다. 더불어 코로나19의 창궐로 인한 언택트의 확산으로 급증한 택배 문자가 공격자들에게는 좋은 공격 방법이 되었습니다. 코로나19 사태 초기의 스미싱 공격은 코로나19 관련 이슈가 주를 이루었지만 강력한 사회적 거리 두기의 시행에 따라 택배 문자가 급증하게 되자 공격자들도 이에 편승하여 택배를 사칭하는 스미싱 공격을 시도하고 있습니다. [그림] 악성 앱 설치 및 실행 화면 사용자가 스미싱 공격을 통해 악성 앱을 설치하게 되면 개인 정보가 탈취되고 연락처에 존재하는 지인들에게도 스미싱 공격 문자가 전달되는 피해를 입을 수도 있습니다. 따라서 피해를 입기 전 예방하는 것이 ..

악성코드 분석 리포트 2020. 6. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 하반기 발견된 Nemty 램섬웨어는 최근까지 이력서를 위장하여 기업으로 다량 유포되었습니다. 최근 세계적으로 코로나19 전파되고 있는 가운데 공격자는 이를 이용하여 사용자로 하여금 공격을 유도합니다. 그뿐만 아니라 기존과 다르게 코드를 변화시켜 백신 탐지 우회를 시도하였습니다. [그림] 파일 암호화 완료 후 바탕화면 변경 이 악성코드는 로컬에 존재하는 파일을 암호화시켜 감염자에게 파일 복호화를 대가로 돈을 받는 랜섬웨어의 한 종류입니다. 해당 랜섬웨어는 2019년 하반기부터 유포되었던 Nemty 랜섬웨어의 변종으로써 필요한 데이터와 감염 PC 정보 등을 저장하는 레지스트리가 동일합니다. 추가적으로 뮤텍스 값 등에서 러시아어를 이..

악성코드 분석 리포트 2020. 6. 16. 15:15

안녕하세요.이스트시큐리티 ESRC(시큐리티대응센터)입니다. ‘Konni’ 조직의 APT 공격 방식과 매우 유사한 특징을 가진 문서 파일이 포착되었습니다. 특히 이번 문서 파일은 본문 내용에 2020년 초 국내에서 큰 이슈가 되었던 악질적인 디지털 성범죄 이슈였던 'n번방' 관련 이슈를 다루고 있는 것이 특징입니다. (제목 : nth_room_event1.doc) 이번에 확인된 악성문서는 기존 공격방식과 유사하게 문서 실행 시 아래와 같이 매크로 실행을 유도합니다. 이전에 발견된 Konni 악성코드 문서와 동일하게 본문 내용 색깔이 흰색으로 작업되어 있는 것을 확인할 수 있습니다. [그림 1] nth_room_event1.doc 실행 화면 매크로 기능은 %userprofile% 경로에 ‘ok.exe’ 파일..

악성코드 분석 리포트 2020. 6. 15. 17:56

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 코로나19이슈 상황에서 비말 차단용 마스크를 공급하는 유명업체 사이트를 교묘하게 베낀 가짜 사이트로 인해 마스크를 구입하고자 하는 사용자들의 금전적인 피해가 속출되고 있어 주의가 필요합니다. [그림 1] 유명 마스크 판매 사이트와 사기사이트 비교 화면 이번에 발견된 사기 사이트는 정상적인 마스크 판매 사이트 도메인과 한 글자만 변경한 가짜 도메인을 가지고 있으며, 국내 포털사이트 카페 등에서 해당 가짜 도메인이 언급된 내용이 유포되고 있습니다. - 정상 마스크 판매 사이트 도메인 hxxp://welkeepsmall[.]com - 가짜 마스크 판매 사이트 도메인 hxxp://welkeesmall[.]com [그림 2-1] 포털사이트 카페에서 ..

악성코드 분석 리포트 2020. 6. 15. 17:17

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부가 배후에 가담한 것으로 알려져 있는 김수키(Kimsuky) APT 그룹이 최근 탈북민 관련 정보를 담은 문서로 공격한 정황이 포착되었습니다. 이 공격은 지난 05월 29일 자유아시아방송을 통해 알려진 'DC 북인권단체에 북한 추정 사이버 공격 잇따라 포착' 내용과 연결되고 있습니다. ESRC는 이번 사례를 분석하면서 매우 흥미로운 특성을 발견했습니다. 금번 공격에 사용된 악성 MS 워드(.doc) 문서파일이 라자루스(Lazarus) APT 그룹이 과거에 수차례 사용한 바 있는 VBA 매크로 코드 방식을 도입했다는 것입니다. 물론, 이러한 공격에는 자동화된 위협도구가 공유되어 사용될 수도 있지만, 반대로 의도를 가진 거짓표식(False..

악성코드 분석 리포트 2020. 6. 11. 13:46

▶ 변칙적 워터링 홀 공격 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 특정 정부가 연계된 것으로 알려진 '금성121(Geumseong121)' 공격 그룹이 새로운 방식을 도입해 지능형지속위협(APT)공격을 수행하고 있어 각별한 주의가 요구됩니다. ESRC는 지난 2020년 5월 19일, 【금성121 조직, 국회 사무처 사칭으로 APT 공격 수행】 포스팅을 공개한 바 있습니다. 이외에도 【통일 정책분야 연구원으로 사칭한 ‘금성121’ APT 공격 주의】 내용 등으로 이들 그룹의 활발한 위협 인텔리전스 정보를 지속적으로 공유하고 있습니다. 한편 이번에 분석된 사례는 마치 워터링 홀(Watering Hole) 공격처럼 타깃 분야 웹 사이트에 접속한 사람들만 악성파일에 노출되도록 수행 중..

악성코드 분석 리포트 2020. 6. 5. 15:39