개요 코로나19로 인하여 생활의 많은 부분에서 변화가 생겼습니다. 대부분의 국민들은 코로나19 감염을 우려하여 사람이 밀집되는 지역이나 장소를 기피하게 되었으며 오프라인 쇼핑과 외식보다는 온라인 쇼핑과 배달(택배)을 이용하고 있습니다. 스미싱 공격 조직은 이 기회를 최대한 활용하기 위해서 택배 스미싱 공격을 활발하게 진행하고 있으며 탐지 회피를 위해 스미싱 택배 문구도 다변화하는 양상을 보이고 있습니다. 택배 스미싱은 비교적 널리 알려져 있어 쉽게 당하지 않을 것으로 생각하지만 의외로 피해를 입는 경우가 많습니다. 택배 스미싱 문구가 실제 택배 기사님들이나 회사에서 보내는 것으로 보이도록 작성되어 있으며 더러는 피해자의 이름이 명시되어 있는 경우도 있기 때문입니다. 그러나 택배 스미싱 문자를 주의 깊게 ..

악성코드 분석 리포트 2020. 3. 30. 10:35

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내 유명 카드사 계정을 노린 피싱 메일이 발견되어 사용자들의 주의가 필요합니다. 해당 메일은 국내 카드사 계정으로 수신 된 메일로 스토리지 공간이 부족하다는 메시지와 함께 저장 용량을 늘리기 위해 로그인을 유도하는 방식으로 사용되고 있습니다. [그림 1] 국내 카드사 계정으로 수신 된 이메일 화면 계정 피싱 메일을 받은 사용자가 저장 용량을 늘리기 위해 메일 본문에 링크 된 주소를 클릭 할 경우 사용자의 계정과 패스워드를 가로채기 위한 피싱 사이트로 이동하게 됩니다. [그림 2] 이동 된 피싱 사이트 화면 피싱 타깃이 된 사용자가 해당 페이지에 계정과 패스워드를 입력할 경우, 개인 정보 수집 사이트로 입력된 개인 정보가 전송됩니다. 전송된 개인 정보..

악성코드 분석 리포트 2020. 3. 25. 11:15

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례(블루 에스티메이트 캠페인)의 7번째 변종으로 확인되었습니다. ※ 관련글보기 ▶ 이력서로 위장한 김수키(Kimsuky) 조직의 '블루 에스티메이트 Part5' APT 공격 주의 (2020.03.02)▶ 김수키(Kimsuky) 조직, 실제 주민등록등본 파일로 둔갑한 '블루 에스티메이트 Part3' APT 공격 주의 (2020.02.06)▶ 청와대 행사 견적서 사칭 변종, '블루 에스티메이트 Part 2' (20.01.21)▶ 김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격 (19.12.04) 【오..

악성코드 분석 리포트 2020. 3. 23. 17:03

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 코로나 바이러스 이슈를 악용한 김수키(Kimsuky) 조직의 APT 공격이 또 한번 포착되었습니다. 김수키(Kimsuky) 조직은 2월 28일, 이미 '코로나 바이러스 관련 이사장님 지시사항'이라는 이메일 제목으로 스피어피싱 공격을 진행한 적이 있습니다. 이번에 발견된 악성 파일은 'COVID-19 and North Korea.docx' 파일명으로 유포되었으며, TTPs 등을 분석한 결과, 국내 기업/기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고있는 김수키(Kimsuky) 조직의 '스모크 스크린' 캠페인의 일환으로 추정하고 있습니다. ※ 스모크 스크린 캠페인 관련글 ▶ 김수키(Kimsuky)조직, 비건 미국무부 부장관 서신 내용으로 ..

악성코드 분석 리포트 2020. 3. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 “코로나”라는 한글 앱 명을 사용하며 위치 및 카메라 관련 파일을 탈취하고 원격명령을 통해서 추가 악성 행위를 합니다. 특히, 앱의 이름과 수정 날짜를 보면 현재 이슈인 코로나를 이용하여 악성 행위를 하고자 했음을 알 수 있습니다. [그림] 바로 숨겨지는 아이콘과 앱의 수정 날짜 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Spyware.Android.Agent’탐지 명으..

악성코드 분석 리포트 2020. 3. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 신종 코로나 바이러스의 확진자가 지속적으로 발생하면서, 국내뿐 아니라 해외에서도 신종 코로나바이러스에 대한 대중의 관심과 우려가 높아진 가운데 미국 질병통제예방센터(CDC)를 사칭하고 있는 이메일이 발견되었습니다. 파일명은 ‘CDCHAN-00815.iso’로 압축을 풀면 화면보호기 파일로 위장된 파일이 있고 실제로 악성 행위를 하는 실행 파일입니다. [그림] 수신된 이메일 화면 이번에 발견된 공격의 특징은 해외 업체에서 윈도우를 관리하기 위해 개발된 ‘Remcos’ 프로그램을 공격자들이 원격 접근 툴로 악용한다는 점입니다. 위와 같은 악성코드 피해를 예방하기 위해서는 출처가 불분명한 곳에서의 URL 클릭 혹은 파일 다운로드를 지양해야..

악성코드 분석 리포트 2020. 3. 17. 09:00

안녕하세요.ESRC (시큐리티대응센터)입니다. 아직 코로나 바이러스 이슈가 진정될 기미가 보이지 않는 상황에서, 코로나 바이러스 이슈를 노린 Hoax가 또다시 유포된 것이 확인되어 주의가 필요합니다. 해당 Hoax는 코로나19 랜섬웨어처럼 위장하고 있으나 암호화 행위를 하지 않음이 확인되었습니다. 이 Hoax는 2020년 3월 11일에 생성된 것으로 추정되며, COVID-19라는 파일명을 가지고 있습니다. 실제로 사용자들이 해당 Hoax파일을 실행하게 되면, 실제 이 Hoax는 경고창을 띄우고 [그림 1]와 같은 메시지를 보여주게 됩니다. [그림 1] Hoax 실행시 시스템 경고창으로 위장하여 사용자에게 보이는 메시지 영어로 작성되어 있는 해당 문구는 'Just because you're home doe..

악성코드 분석 리포트 2020. 3. 12. 16:12

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 싱가폴 한인 교회 유치원에서 허위로 발주 된 구매주문서로 사용자의 계정을 노리는 피싱 메일이 발견되어 사용자들의 주의가 필요합니다. [그림 1] 구매발주 제목으로 유포 된 이메일 화면 해당 메일은 TT00, TT4.5 구매 주문에 대한 발주서를 첨부 파일로 추가했습니다. 해당 메일에는 'T T00 구매 주문 -009111.zip', 'T T4.5 구매 주문 -009111.zip'라는 ZIP 파일이 첨부되어 있다. 사용자가 해당 첨부파일을 다운로드하여 압축 해제 후, 안에 있는 파일을 실행하면 아래와 같은 htm 파일을 확인할 수 있다. [그림 2] 첨부파일 내부 화면 해당 메일을 받은 사용자가 구매 발주 확인을 위해 첨부파일을 다운로드하고 내부 파일을..

악성코드 분석 리포트 2020. 3. 12. 09:14