Netwalker ransomware actors go fileless to make attacks untraceable 공격자들이 흔적을 남기지 않고 피해자를 Netwalker 랜섬웨어에 감염 시키기 위해 파일리스 악성코드 기술인 반사 DLL 인젝션(Reflected DLL injection)을 사용해온 것으로 나타났습니다. DLL 인젝션(DLL injection) 이란? 다른 프로세스의 주소 공간 내에서 DLL을 강제로 로드시킴으로써 코드를 실행시키는 기술로 공격자는 임의적인 코드를 삽입하여 시스템 함수 후출을 후킹하거나 보통 방식으로 읽을 수 없는 패스워드 텍스트 박스의 내용을 읽을 수 있다. 반사 DLL 인젝션(Reflected DLL injection) 이란?DLL 인젝션(DLL injectio..

국내외 보안동향 2020. 5. 19. 14:00

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 4월 초부터 5월 중순까지 꾸준히 Nemty 랜섬웨어 시리즈를 유포중인 비너스락커 조직의 공격이 여전히 지속되고 있습니다. 4월 초에 '공정거래위원회'를 사칭하거나 혹은 '이력서'로 위장하여 Nemty 3.1 랜섬웨어를 유포했던 공격자는 5월 초부터는 '이미지 무단사용 경고' 키워드를 활용하거나 4월 초와 유사하게 '이력서'를 사칭한 Nemty Special Edition 랜섬웨어를 유포했습니다. 특히 공격자는 5월 초에는 Nemty 랜섬웨어를 유포하는 동시에 정보탈취 악성코드까지 유포를 시도했습니다. 5월 18일에도 또 다시 '이력서'를 사칭하여 지난 5월 중순과 동일하게 Nemty Special Edition을 유포중인 것이 확인되어 주의가 ..

악성코드 분석 리포트 2020. 5. 19. 13:07

FBI warns of ProLock ransomware decryptor not working properly 많은 랜섬웨어가 코로나바이러스 팬데믹 상황을 엄청나게 바빠진 의료 부문을 공격할 완벽한 기회로 삼고 있습니다. 그리고 ProLock 또한 이 대열에 합류했습니다. FBI는 이달 초 미국의 의료 기관, 정부, 금융 기관, 소매업 등을 노리는 새로운 공격 조직에 대한 경고를 발행했습니다. 제대로 작동하지 않는 복호화 툴 FBI는 랜섬웨어 공격자의 요구에 응하지 말 것을 권장합니다. 그들의 요구에 응할 경우, 더 많은 공격을 실행하도록 북돋아주는 꼴이 되기 때문입니다. ProLock의 복호화 툴이 제대로 동작하지 않아 복호화 툴 사용 시, 데이터가 손실되는 것으로 나타났습니다. 64MB보다 큰 파일..

국내외 보안동향 2020. 5. 19. 09:11

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 N번 방 동영상 이슈를 활용한 스미싱을 통해서 유포되었습니다. 동영상 이슈를 활용하는 만큼 ‘Nplayer’라는 앱 명을 사용합니다. 특히, 처음 실행 시 특정 성인 사이트를 로드하여 팝업함으로써 사용자를 속임과 동시에 기기 및 문자 정보를 탈취합니다. [그림] 앱 특징 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Trojan.Android.SmsSpy’ 탐지 명으로 진단..

악성코드 분석 리포트 2020. 5. 19. 09:00

WordPress malware finds WooCommerce sites for Magecart attacks 웹사이트 보안 기업 Sucuri 연구원들이 새로운 WordPress 악성코드를 발견했습니다. 해커들은 다수의 고객을 보유한 WooCommerce 온라인 쇼핑몰을 찾아 추후 Magecart 공격에 이 새로운 악성코드를 이용할 것입니다. 5백만 건 이상 설치된 WooCommerce는 장소와 품목에 구애받지 않고 전자 상거래 사이트가 쉽게 실행되도록 고안된 오픈소스 WordPress 플러그인입니다. 이전에도 다수 발견된 바 있는 WooCommerce 온라인 스토어 공격에서 해커들은 신용카드 정보 탈취(Magecart 공격으로도 알려짐)를 목적으로 관리자 비밀번호 브루트포싱을 통해 사이트 해킹을 시도..

국내외 보안동향 2020. 5. 18. 16:07

QNodeService Trojan spreads via fake COVID-19 tax relief 연구원들이 코로나19 관련 주제를 사용하는 피싱 캠페인에서 새로운 악성코드인 QNodeService를 발견했습니다. 이들은 미끼를 통해 세금 감면을 해주겠다고 사용자를 속였습니다. 이 피싱 메시지는 트로이목마를 포함하는 “Company PLP_Tax relief due to Covid-19 outbreak CI+PL.jar”파일을 사용했습니다. 트렌드마이크로는 QNodeService 트로이목마가 Node.js로 작성되었으며 .jar 파일에 내장된 Java 다운로더를 통해 배포된다고 경고했습니다. Node.js는 주로 웹 서버 개발용으로 설계되었으며 공격 대상이 될 기기에 미리 설치되지 않을 것이기 때문에..

국내외 보안동향 2020. 5. 18. 14:30

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내 기업에 이력서 확인 메일로 ‘Trojan.Ransom.Makop’(이하 Makop 랜섬웨어)가 유포되고 있습니다. 공격자는 아래의 메일을 통해 이용자에게 ‘이력서.tar’ 첨부파일 실행을 유도합니다. Makop 랜섬웨어는 파일 암호화 기능을 수행하는 악성코드입니다. [그림] 이력서 위장 메일 랜섬웨어를 예방하기 위해서는 기본 보안 수칙을 준수하고, 윈도우, 애플리케이션을 최신으로 업데이트해야 합니다. 또한 중요한 자료는 정기적으로 외장 매체나 클라우드 서비스 등에 백업해서 피해를 최소화할 수 있도록 해야 합니다. 현재 알약에서는 해당 악성 코드를 ‘Trojan.Ransom.Makop’ 탐지 명으로 진단하고 있으며, 관련 상세 분..

악성코드 분석 리포트 2020. 5. 18. 09:00

RATicate drops info stealing malware and RATs on industrial targets Sophos의 보안 연구원들이 기업들을 노리며 NSIS 인스톨러를 악용하여 원격 접속 툴(RAT) 및 인포스틸러 악성코드를 배포하는 한 해킹 그룹을 발견했습니다. 연구원들은 RATicate 공격자들이 2019년 11월 ~ 2020년 1월 사이에 공격을 5차례 실행해 유럽, 중동, 대한민국의 산업 기업을 노렸다고 밝혔습니다. 또한 과거 발생한 다른 유사 캠페인과 관련이 있을 것으로 의심했습니다. - 루마니아 전기 장비 제조 기업- 쿠웨이트 건설 서비스 및 엔지니어링 기업- 한국 인터넷 기업- 한국 투자 관련 기업- 영국 건축 자재 제조 기업- 한국 의학 뉴스 언론사- 한국 통신 및 전기..

국내외 보안동향 2020. 5. 18. 08:45