안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 N번 방 동영상 이슈를 활용한 스미싱을 통해서 유포되었습니다. 동영상 이슈를 활용하는 만큼 ‘Nplayer’라는 앱 명을 사용합니다. 특히, 처음 실행 시 특정 성인 사이트를 로드하여 팝업함으로써 사용자를 속임과 동시에 기기 및 문자 정보를 탈취합니다. [그림] 앱 특징 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Trojan.Android.SmsSpy’ 탐지 명으로 진단..

악성코드 분석 리포트 2020. 5. 19. 09:00

WordPress malware finds WooCommerce sites for Magecart attacks 웹사이트 보안 기업 Sucuri 연구원들이 새로운 WordPress 악성코드를 발견했습니다. 해커들은 다수의 고객을 보유한 WooCommerce 온라인 쇼핑몰을 찾아 추후 Magecart 공격에 이 새로운 악성코드를 이용할 것입니다. 5백만 건 이상 설치된 WooCommerce는 장소와 품목에 구애받지 않고 전자 상거래 사이트가 쉽게 실행되도록 고안된 오픈소스 WordPress 플러그인입니다. 이전에도 다수 발견된 바 있는 WooCommerce 온라인 스토어 공격에서 해커들은 신용카드 정보 탈취(Magecart 공격으로도 알려짐)를 목적으로 관리자 비밀번호 브루트포싱을 통해 사이트 해킹을 시도..

국내외 보안동향 2020. 5. 18. 16:07

QNodeService Trojan spreads via fake COVID-19 tax relief 연구원들이 코로나19 관련 주제를 사용하는 피싱 캠페인에서 새로운 악성코드인 QNodeService를 발견했습니다. 이들은 미끼를 통해 세금 감면을 해주겠다고 사용자를 속였습니다. 이 피싱 메시지는 트로이목마를 포함하는 “Company PLP_Tax relief due to Covid-19 outbreak CI+PL.jar”파일을 사용했습니다. 트렌드마이크로는 QNodeService 트로이목마가 Node.js로 작성되었으며 .jar 파일에 내장된 Java 다운로더를 통해 배포된다고 경고했습니다. Node.js는 주로 웹 서버 개발용으로 설계되었으며 공격 대상이 될 기기에 미리 설치되지 않을 것이기 때문에..

국내외 보안동향 2020. 5. 18. 14:30

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내 기업에 이력서 확인 메일로 ‘Trojan.Ransom.Makop’(이하 Makop 랜섬웨어)가 유포되고 있습니다. 공격자는 아래의 메일을 통해 이용자에게 ‘이력서.tar’ 첨부파일 실행을 유도합니다. Makop 랜섬웨어는 파일 암호화 기능을 수행하는 악성코드입니다. [그림] 이력서 위장 메일 랜섬웨어를 예방하기 위해서는 기본 보안 수칙을 준수하고, 윈도우, 애플리케이션을 최신으로 업데이트해야 합니다. 또한 중요한 자료는 정기적으로 외장 매체나 클라우드 서비스 등에 백업해서 피해를 최소화할 수 있도록 해야 합니다. 현재 알약에서는 해당 악성 코드를 ‘Trojan.Ransom.Makop’ 탐지 명으로 진단하고 있으며, 관련 상세 분..

악성코드 분석 리포트 2020. 5. 18. 09:00

RATicate drops info stealing malware and RATs on industrial targets Sophos의 보안 연구원들이 기업들을 노리며 NSIS 인스톨러를 악용하여 원격 접속 툴(RAT) 및 인포스틸러 악성코드를 배포하는 한 해킹 그룹을 발견했습니다. 연구원들은 RATicate 공격자들이 2019년 11월 ~ 2020년 1월 사이에 공격을 5차례 실행해 유럽, 중동, 대한민국의 산업 기업을 노렸다고 밝혔습니다. 또한 과거 발생한 다른 유사 캠페인과 관련이 있을 것으로 의심했습니다. - 루마니아 전기 장비 제조 기업- 쿠웨이트 건설 서비스 및 엔지니어링 기업- 한국 인터넷 기업- 한국 투자 관련 기업- 영국 건축 자재 제조 기업- 한국 의학 뉴스 언론사- 한국 통신 및 전기..

국내외 보안동향 2020. 5. 18. 08:45

[5월 둘째주] 알약 스미싱 알림 본 포스트는 알약M 사용자 분들이 '신고하기' 기능을 통해 알약으로 신고해 주신 스미싱 내역 중 '특이 문자'를 자체 수집, 집계하여 제공해 드리는 정보성 포스트입니다. 특이 문자 No.문자 내용 1[Web발신] 전국민코로나19위기극복을위한 긴급재난지원금 조회 및 안내 서비스2[ㅇㅇ택 배]ㅇㅇㅇ고객 배송 완료 현관 1박스 물품.사진 :3[Web발신] n번방동영상4송장번호 [558*******7] 미확인입니다 반송처리 하오니 주소 확인 :5방금 전화드린 강민석입니다. 접수증 받아보실주소 http://xxx.xxx.xxx.xxx 입니다 출처 : 알약M기간 : 2020년 5월 11일 ~ 2020년 5월 15일

안전한 PC&모바일 세상/스미싱 알림 2020. 5. 15. 18:52

안녕하세요.이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 이메일을 통해 '국내 암호화폐 거래소 신입사원 인력양식'이라는 파일명으로 악성코드가 유포중임이 확인되었습니다. 공격자는 ‘OOOOO신입 사원 입력 양식’이라는 제목의 악성문서를 통해 사용자의 문서 열람&실행을 유도합니다. 이 악성문서가 실행되면, 정상적인 MS오피스 다운로드 주소처럼 속인 가짜 경로로부터 악성 매크로가 담긴 ‘dotm’ 문서 파일을 추가 다운로드 및 실행합니다. 이 형태는 지난 4월에 직원 상여금 발급청구서로 위장하여 유포되었던 케이스와 거의 유사합니다. ※ 관련글 보기 ▶ 직원 활동 상여금 발급청구서를 위장하여 유포되고 있는 악성코드 주의! (20.04.07) [그림 1] ‘upbit 신입 사원 입력 양식.docx’ 실행 ..

악성코드 분석 리포트 2020. 5. 15. 18:39

ProLock Ransomware teams up with QakBot trojan for network access ProLock은 비교적 새로운 악성코드지만, 기업 및 지방 정부를 대상으로 파일 복호화에 엄청난 금액을 요구함으로써 빠르게 주목 받고 있습니다. 가장 최근 이 악성코드의 피해를 입은 기업은 ATM 제공 업체로 알려진 Diebold Nixdorf입니다. 공격은 암호화 단계 이전에 발각되었으며 시스템에 아무런 영향을 미치지 못했습니다. 하지만 기업 네트워크에는 영향을 미쳐 일부 시스템 장애가 있었습니다. 평균 가격 이 랜섬웨어 패밀리는 PwndLocker로 시작되었지만 지난 3월 파일을 무료로 복호화할 수 있었던 취약점를 수정한 후 ProLocker로 리브랜딩 되었습니다. BleepingCo..

국내외 보안동향 2020. 5. 15. 15:00