안녕하세요.이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지난주(4일), 저희는 '비너스락커 조직, 구직의뢰 내용으로 Nemty 랜섬웨어 2.2 확산 중' 이라는 글을 통해 주의를 당부한 적이 있었습니다. 하지만 그 후 현재까지도 Nemty 랜섬웨어는 꾸준히 유포중에 있으며, 그 피싱 메일은 여전히 구직 의뢰내용을 위장하고 있습니다. [그림1] 구인내용을 위장하고 있는 피싱 메일 비너스락커 조직이 최근 유포하는 피싱 메일의 특징은 이메일 제목에 이름을 넣는다는 점으로, 실제로 구직 이메일의 경우 구직자의 이름을 제목에 넣는 경우가 많기 때문에 기업 사용자들의 각별한 주의가 필요합니다. [그림2] 피싱 메일에 포함되어 있는 첨부파일 피싱 메일의 첨부파일에는 한글파일(.hwp)을 위장한 실행파일(.exe)..

악성코드 분석 리포트 2019. 12. 10. 15:00

안녕하세요이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 최근 피싱 메일을 통해 이모텟(Emotet) 악성코드가 대량으로 유포되고 있습니다. 이모텟(Emotet) 악성코드는 금융정보를 탈취하기 위한 악성코드로 2014년 처음 발견되었습니다. Emotet 악성코드는 주로 이메일을 통해 유포되며 자가복제, 사용자 정보탈취, 다운로더 등 다양한 악성 행위를 수행합니다. 이번에 유포된 이모텟(Emotet)은 업무 지원요청, 청구서, 견적서 등 다양한 형태의 피싱메일로 유포되었으며, 이는 기존에 유포되었던 방식과 매우 유사합니다. 이모텟(Emotet) 악성코드는 올해 초 이메일을 통해 유포되었다가 잠시 휴식기를 가졌으며, 최근 9월달부터 12월 현재까지 꾸준히 유포되고 있습니다. 특히 11월달부터는 유입이 큰 ..

악성코드 분석 리포트 2019. 12. 5. 11:00

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 스미싱 메일을 통해 Nemty 랜섬웨어 2.2 버전이 유포되고 있어 사용자들의 주의가 필요합니다. [그림1] 피싱 메일 Nemty 2.2 랜섬웨어를 유포하는 조직은 유창하게 한글을 구사하고 있으며, 네이버, 한메일 주소를 통하여 이메일을 유포합니다. 특이한 점은 이메일 문장에 마침표를 생략한다는 것입니다. 이러한 특징을 보아 배후에는 비너스락커 조직이 있는 것으로 추정하고 있습니다. [그림2] 악성 메일에 첨부된 파일 이메일에는 압축파일이 첨부되어 있으며, 이 압축파일 안에는 한글 파일을 위장한 .exe 파일이 포함되어 있습니다. [그림3] 알집에서 띄워주는 이중 확장자에 대한 경고창 알집을 사용하는 사용자라면 알집에서 다중 확장자에 대해 주의를..

악성코드 분석 리포트 2019. 12. 4. 14:47

■ 청와대 행사 견적서로 둔갑한 APT 공격 '블루 에스티메이트' 등장 안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 12월 03일, 마치 HWP 한글 문서파일처럼 위장한 악성 EXE 실행파일이 발견되었는데, 한국시간으로 12월 02일 오후 6시경 만들어졌습니다. 파일명 제작날짜 (타임스탬프) MD5 베트남 녹지원 상춘재 행사 견적서.hwp (다수의 공백 포함) .exe 2019-12-02 18:01:05 (KST) 35d60d2723c649c97b414b3cb701df1c 파일명에는 베트남 녹지원 상춘재 행사 견적서라고 되어 있고, 첫번째 확장자는 hwp 문서형식이지만, 다수의 공백을 포함한 2중 확장자로 실제로는 exe 실행파일 형식을 가지고 있습니다. 지난 11월 27..

악성코드 분석 리포트 2019. 12. 4. 00:38

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 부동산 임대료 관련한 이메일을 위장한 악성 메일이 유포되고 있어 사용자들의 주의가 필요합니다. [그림1] 부동산 관련 메일을 사칭한 악성메일 이번에 유포된 악성 이메일은 어눌한 한국어로 작성되어 있으며, 내용은 임대료 납부가 지연되었으며 3일 이내에 임대료를 납부하지 않는다면 여러 방면의 책임을 져야한다고 적혀 있습니다. [그림2] 악성메일 첨부파일 이메일 첨부파일에는 .exe 파일이 첨부되어 있으며, 만약 수신자가 첨부파일 내에 있는 .exe 파일을 실행하면 소디노키비 랜섬웨어에 감염되게 됩니다. [그림3] 소디노키비 랜섬웨어 감염화면 해당 랜섬웨어를 분석해본 결과, 기존 리플라이 오퍼레이터(Reply Operator) 그룹이 유포한 이메일과 ..

악성코드 분석 리포트 2019. 12. 3. 13:24

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 11월 20일부터 금일(26일)까지 불특정다수의 기업을 상대로 구매주문, 명세서, 견적서 등 다양한 제목으로 위장한 피싱 메일이 대량으로 유포중에 있어 사용자들의 주의가 필요합니다. 이 피싱메일들은 별다른 내용을 포함하고 있지 않으며, htm 파일이 첨부되어 있는 이메일을 사용자에게 발송합니다. [그림1] 유포 중인 피싱 메일 사용자가 첨부되어 있는 htm 파일을 클릭하면, 네이버 로그인 화면을 위장한 페이지가 뜨게 됩니다. [그림2] 네이버 로그인 화면을 위장하고 있는 htm 파일 만약 해당 로그인창을 진짜 네이버 로그인창으로 오인하여 계정정보를 입력할 경우, 입력한 계정정보는 모두 공격자의 서버로 전송되며, 전송 후에는 자동으로 네이버 메일 ..

악성코드 분석 리포트 2019. 11. 27. 14:10

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 계정정보 유출을 목적으로 하는 피싱 메일이 유포되고 있으며, 이 피싱메일은 개인계정이 아닌 홈페이지 등에 공개되어 있는 기업들의 그룹 계정들을 타겟으로 하고 있어 기업사용자들의 주의가 필요합니다. [그림1] 계정탈취 피싱메일 해당 메일은 비밀번호가 만료된다는 내용과 함께 링크가 포함되어 사용자에게 발송됩니다. 이 메일을 수신한 사용자가 만약 이메일에 포함되어 있는 "동일한 비밀번호를 유지하십시오" 링크를 클릭한다면, 비밀번호를 입력하는 창이 뜨게됩니다. [그림2] 메일에 포함되어 있는 링크를 클릭했을 때 보이는 페이지 사용자가 이 창을 끄게 되면 아무런 피해를 입지 않지만, 만약 사용자가 비밀번호 입력란에 비밀번호를 입력하게 되면 계정정보가 유출..

악성코드 분석 리포트 2019. 11. 26. 16:26

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱을 통한 악성 앱의 종류가 점점 더 다양해지고 있습니다. 해당 악성 앱은 택배 앱으로 속이고 있으며 기기 정보와 문자 정보를 탈취한 후 아이콘을 숨겨 사용자가 알아차리기 어렵게 하고 원격 명령을 통해서 감염 기기로 문자 전송도 가능합니다. 또한, 몇몇 앱들을 감시하는데 그 중 국내 은행 앱이 있으면 추가 다운로드한 악성 앱으로 바꿔치기하고 모바일 백신이 존재하면 해당 앱의 삭제를 유도합니다. [그림] 백신 삭제 유도 코드 중 일부 해당 악성 앱은 택배 앱으로 속입니다. 기기와 관련된 다양한 정보를 탈취하고 특정 앱을 바꿔치기하고 삭제를 유도합니다. 또한, 원격 명령을 통해서 문자 메시지 전송이 가능하며 앱의 분석을 어렵게 하도록 ji..

악성코드 분석 리포트 2019. 11. 21. 09:00