안녕하세요. ESRC(시큐리티 대응센터)입니다. 피싱메일을 통해 유포중인 Emotet 악성코드가 확인되어 사용자들의 주의가 필요합니다. 올해 초 Europol과 Eurojust가 협력하여 Emotet 인프라를 압수하고 관련자 2명을 체포하였습니다. 또한 4월 25일 Emotet에 감염된 디바이스에서 해당 악성코드를 제거하는 모듈을 제공하기도 했습니다. 그러나 최근, Emotet 악성코드가 또 다시 활동을 시작하였습니다. ▶ Emotet 악성코드, TrickBot을 통해 봇넷 재구축 하도록 돌아와 이번에 ESRC에서 발견한 Emotet은 기존과 같이 피싱메일을 통해 유포되고 있습니다. 해당 피싱메일은 공직자 통합메일(@korea.kr) 사용자에게 전염병대비혁신연합(CEPI)을 위장하여 발송되었습니다. 이메..

악성코드 분석 리포트 2021. 11. 17. 15:53

GitHub addressed two major vulnerabilities in the NPM package manager GitHub이 이미 패치된 NPM 내 주요 취약점 2가지를 공개했습니다. 첫 번째 취약점은 공격자가 적절한 승인 과정 없이도 계정을 통해 모든 npm 패키지의 새 버전을 게시하는 데 악용될 수 있습니다. 이 취약점은 지난 11월 2일 Kajetan Grzybowski(DrBrix)와 Maciej Piechota(haqpl)가 버그 바운티 프로그램을 통해 GitHub 측에 제보했습니다. GitHub 보안 책임자인 Mike Hanley는 아래와 같이 밝혔습니다. "우리는 이 취약점이 npm 레지스트리에 대한 요청을 처리하는 여러 마이크로서비스의 일관성 없는 권한 부여 확인 및 데이터 ..

국내외 보안동향 2021. 11. 17. 14:00

SharkBot — A New Android Trojan Stealing Banking and Cryptocurrency Accounts 지난 월요일 사이버 보안 연구원들이 안드로이드 기기의 접근성 기능을 악용하여 이탈리아, 영국, 미국의 뱅킹 및 가상화폐 서비스의 크리덴셜을 훔치는 새로운 트로이 목마를 공개했습니다. Cleafy가 "SharkBot"이라 명명한 이 악성코드는 최소 2021년 10월 말부터 이탈리아와 영국의 알려지지 않은 국제 은행 22곳, 미국의 가상화폐 앱 5개를 포함하여 타깃 총 27개를 공격하도록 설계되었습니다. 이는 아직까지 개발 초기 단계에 있으며, 알려진 악성코드 패밀리와 겹치는 부분이 없는 것으로 나타났습니다. 연구원들은 보고서에서 아래와 같이 밝혔습니다. "SharkBot..

국내외 보안동향 2021. 11. 17. 09:00

North Korea-linked Lazarus group targets cybersecurity experts with Trojanized IDA Pro ESET 연구원들이 북한과 관련 있는 APT 그룹인 Lazarus가 인기 있는 IDA Pro 리버스 엔지니어링 소프트웨어를 트로이목마화 시켜 사이버 보안 커뮤니티를 노리고 있다고 밝혔습니다. 공격자는 IDA Pro 7.5 소프트웨어에 악성 컴포넌트 2가지를 묶었습니다. ESET은 트위터를 통해 아래와 같이 밝혔습니다. “공격자들은 IDA Pro 설치 시 실행되는 내부 컴포넌트인 win_fw.dll을 악성 DLL로 바꿔치기했습니다. 악성 win_fw.dll은 IDA 플러그인 폴더에서 두 번째 악성 컴포넌트인 idahelper.dll을 시작하는 윈도우 예..

국내외 보안동향 2021. 11. 16. 14:00

Hadoop Yarn RPC 무단접근 취약점이 발견되었습니다. 해당 취약점을 악용하면 Hadoop Yarn의 기본적으로 외부로 개방된 RPC 서버에서 임의 명령실행이 가능하여 서버를 장악할 수 있습니다. Hadoop Yarn은 Hadoop의 핵심 모듈중 하나로, 다양한 응용 프로그램을 실행하기 위해 다양한 클러스터에 리소스를 할당하고 다른 클러스터 노드에서 작업 실행을 예약합니다. CVE번호 미정 취약한 버전 Apache Hadoop 모든 버전 패치방법 현재 패치 공개되지 않음 임시조치방법 Kerberos 인증 기능 활성화를 통한 미인증 사용자 접근 차단 만일 외부접근이 필요없을 경우, 외부와 연결된 Hadoop RPC 서버관련 포트 차단 / 혹은 신뢰할 수 있는 주소만 접근 허용 참고 : https:/..

국내외 보안동향 2021. 11. 16. 13:50

Emotet malware is back and rebuilding its botnet via TrickBot Emotet 악성코드는 스팸 캠페인과 악성파일 첨부를 통하여 악성코드를 유포합니다. 그 후 감염된 장치를 이용하여 다른 스팸 캠페인을 수행하고 QakBot(Qbot) 및 Trickbot 악성코드와 같은 다른 페이로드를 설치합니다. 이러한 페이로드는 공격자에게 초기 액세스를 제공하여 Ryuk, Conti, ProLock, Egregor 및 기타 여러 랜섬웨어를 배포하는데 사용됩니다. 올해 초, Europol과 Eurojust는 Emotet 인프라를 인수하고 2명을 체포하였습니다. 그리고 4월 25일, 감염된 장치에서 Emotet을 삭제하는 모듈을 제공했습니다. 그리고 최근 보안연구원들은 Trick..

국내외 보안동향 2021. 11. 16. 10:41

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. ESRC에서는 자체 운영 중인 이메일 모니터링 시스템의 데이터를 통해 이메일 중심의 공격이 어떻게 이루어지고 있는지 공유하고 있습니다. 다음은 10월 31일~11월 06일까지의 주간 통계 정보입니다. 1. 이메일 유입량 지난주 이메일 유입량은 총 163건이고 그중 악성은 54건으로 33.13%의 비율을 보였습니다. 악성 이메일의 경우 그 전주 51건 대비 54건으로 3건이 증가했습니다. 일일 유입량은 하루 최저 3건(악성 1건)에서 최대 39건(악성 12건)으로 일별 편차를 확인할 수 있습니다. 2. 이메일 유형 악성 이메일을 유형별로 살펴보면 54건 중 Attach-Malware형이 46.3%로 가장 많았고 뒤이어 Attach-Phishing..

악성코드 분석 리포트 2021. 11. 16. 09:30

7 million Robinhood user email addresses for sale on hacker forum 최근 데이터 유출 사고가 발생해 도난당한 Robinhood 사용자 약 700만명의 데이터가 유명 해킹 포럼 및 마켓에서 판매되고 있었던 것으로 나타났습니다. 지난 주 Robinhood는 직원 중 한 명이 해킹을 당한 후 데이터 유출이 발생했다고 밝혔으며, 고객은 해당 계정을 통해 고객 지원 시스템에 접근해 약 700만 고객의 정보에 접근한 것으로 드러났습니다. 공격 중에 도난당한 데이터에는 아래와 같은 Robinhood 사용자의 개인 정보가 포함됩니다. - 500만 고객의 이메일 주소 - 또 다른 고객 200만명의 성명 - 300명의 이름, 생년월일, 우편번호 - 10명의 자세한 계정 관..

국내외 보안동향 2021. 11. 16. 09:00