안녕하세요. ESRC 입니다. 2020년 01월 20일, PDF 문서파일을 위장한 악성 EXE 파일이 발견되었습니다. 이 파일은 한국시간으로 1월 17일 오전 9시경 제작한 것으로 확인되었습니다. 파일명 제작 시점 (KST) MD5 오성사 MC2-500 외형도 P1307033 Model_수정.pdf(다수의 공백포함).exe 2020-01-17 09:33:41 da799d16aed24cf4f8ec62d5048afd1a 파일명에는 '오성사 MC2-500 외형도 P1307033 Model_수정.pdf' 라고 되어 있고, 첫번째 확장자는 pdf 문서형식이지만, 다수의 공백을 포함한 2중 확장자로 실제로는 exe 실행파일 형식을 가지고 있습니다. 지난 12월 4일 ESRC에서는 ‘김수키 조직, 청와대 녹지원/상춘..

악성코드 분석 리포트 2020. 1. 21. 10:18

안녕하세요.이스트시큐리티 ESRC 입니다. '북한 중앙위원회 전원회의', '2020년 동경 패럴림픽' 관련 문서로 위장한 코니(Konni) APT 그룹 스피어피싱 공격이 포착되었습니다. * 코니(Konni) APT 조직 2014년도부터 지금까지 꾸준히 활동을 하고있는 APT 조직으로, 스피어피싱 공격방식을 사용하며, 주로 북한과 관련된 내용이나 현재 사회적으로 화두가 되고 있는 이슈들로 사용자들의 클릭을 유도합니다. 2019년 6월, 이스트시큐리티는 코니(Konni)조직을 추적하는 과정 중 김수키(Kimsuky)조직과 관련된 몇가지 의심스러운 정황들을 포착하였으며, 코니와 김수키 조직이 특별한 관계에 있을 것이라고 추측중에 있습니다. 이번에 발견된 2개의 악성문서는 각각 1월 14일과 15일에 제작된 것..

악성코드 분석 리포트 2020. 1. 16. 16:47

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 안드로이드의 웹 뷰 기능을 통해서 특정 성인 사이트를 로드합니다. 기기의 전화번호 정보를 수집하며 주소록, 통화목록, 문자 관련 개인 정보를 xml 파일로 저장하고 압축 후 C&C 서버로 탈취합니다. [그림] C&C로 탈취되는 정보 해당 악성 앱은 성인 앱으로 속이며 개인 및 기기와 관련된 다양한 정보를 탈취합니다. 따라서 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 악성 앱을 ..

악성코드 분석 리포트 2020. 1. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내 기업에 주문 리스트를 확인해달라는 내용의 메일로 ‘Trojan.PSW.AveMaria’(이하 ‘AveMaria’) 악성코드가 유포되고 있습니다. ‘AveMaria’는 메일에 첨부된 ‘New Order List.doc’ 악성 문서 파일에서 드롭되어 실행됩니다. [그림] 주문 리스트 확인 악성 메일 악성 문서 파일에서 실행되는 ‘AveMaria’는 명령 제어 기능을 수행합니다. C&C에서 공격자 명령에 따라 감염PC 정보 수집, 웹 브라우저 및 전자 메일 프로그램에 저장된 계정 정보 탈취, 키로깅 등의 다양한 악성 기능이 수행될 수 있어서 사용자들의 주의가 필요합니다. 현재 알약에서는 해당 악성 코드를 ‘Trojan.PSW.AveM..

악성코드 분석 리포트 2020. 1. 15. 14:00

안녕하세요 ESRC 입니다. 최근 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종이 자주 발견되고 있어 사용자들의 주의가 필요합니다. 랜섬웨어의 커스텀 변종이란, 기존 랜섬웨어 랜섬노트의 텍스트 일부를 해커가 임의로 수정한 버전을 말합니다. 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종은 기존 소디노키비(Sodinokibi) 랜섬웨어 변종들과 동일한 특징을 갖고 있지만, 일부 랜섬노트의 파일명과 내용을 일부 변경하였습니다. [그림1] 기존 Sodinokibi 랜섬웨어 랜섬노트 [그림2] Sodinokibi 랜섬웨어 커스텀 변종 랜섬노트 이런 랜섬웨어 커스텀 변종들의 경우 주로 특정 타겟에 맞춰 커스터마이징 하는 특징을 갖고 있습니다. 일례로, 연말에 유포된 소디노키비(Sodinokibi)..

악성코드 분석 리포트 2020. 1. 14. 13:14

안녕하세요 ESRC 입니다. 최근 통일외교안보특보 세미나 발표문서처럼 사칭해 특정 관계자 정보를 노린 스피어 피싱(Spear Phishing) 공격이 발견돼 관련 업계 종사자의 각별한 주의가 필요합니다. 이번 공격에 사용된 악성 DOC 문서는 지난 6일(현지시간) 미 워싱턴 DC 국익연구소의 2020년 대북 전망 세미나 관련 질의응답 내용 등을 담고 있습니다. 이스트시큐리티는 2019년 4월, 처음 한ㆍ미를 겨냥한 APT 공격을 발견하였고, 이 공격을 '스모크 스크린(Smoke Screen)'캠페인이라 명명하였습니다. 스모크 스크린(Smoke Screen) 캠페인 스피어피싱 방식으로 특정 공격타겟에게만 은밀히 악성 파일(.hwp 혹은 doc)이 첨부된 이메일을 발송한다.외형적으로 정치, 대북 관련 키워드..

악성코드 분석 리포트 2020. 1. 14. 08:26

안녕하세요이스트시큐리티 ESRC 입니다. 최근 이메일 보안솔루션의 스팸필터 로직 우회를 시도하는 혹스 메일이 발견되어 사용자들의 주의가 필요합니다. [그림1] 이메일 보안솔루션의 스팸필터 로직 우회를 시도하는 혹스 메일 Hěllø! Í åm å håcker whø hås åccess tø yøür øpěråtíng systěm.Í ålsø håvě full åccěss tø yøür åccøüňt. Í'vě běěn wåtchíng yøü før å fěw mønths nøw.Thě fåct ís thåt yøü wěrě ínfěctěd wíth målwårě thrøügh ån ådült sítě thåt yøü vísítěd. Íf yøü årě nøt fåmílíår wíth thís, Í wíll..

악성코드 분석 리포트 2020. 1. 10. 09:36

안녕하세요. 이스트시큐리티 ESRC 입니다. 최근 Apple iPhone 분실 관련 메시지가 iMessage를 이용하여 유포되고 있는 정황이 포착되었습니다. 수신된 iMessage 내용은 아래와 같습니다. [그림 1] iMessage로 발송된 스미싱 메시지 (출처 : 네이버 지식인) ※ 스미싱 상세내용 Apple 고객센터고객님 안녕하세요. 고객님께서 분실하신 아이폰 찾았습니다. 아래의 주소 https://www.apple.com-sr.kr 연결하여 상세한 위치를 확인하고 기기를 활성화하십시오. 고객님의 아이폰 찾기에 협조해드리겠습니다.Apple 지원팀 Apple 고객센터고객님 안녕하세요. 고객님께서 분실하신 iPhone XS Max를 찾았습니다. 고객님께서 https://www.apple.com-sr.k..

악성코드 분석 리포트 2020. 1. 8. 10:29