안녕하세요. 이스트시큐리티 ESRC(시큐리티 대응센터)입니다. 김수키(Kimsuky) 조직의 '스모크 스크린' 캠페인의 일환으로 추정되는 공격이 또 한번 포착되어 사용자들의 주의가 필요합니다. 이번 공격에 사용된 악성 파일은 '21대 국회의원 선거 관련.docx', '외교문서 관련(이재춘국장).docx' 파일을 위장하고 있습니다. 이번에 발견된 두 개의 악성 워드파일들의 파일명은 다르지만, 동작방식은 동일합니다. 먼저 악성 DOCX 문서가 실행되면, 아래와 같은 내부 'settings.xml.rels' 명령이 작동하고, 악성 매크로 함수실행을 위해 특정 미리네 호스팅 C2 서버로 통신을 시도합니다. DOCX 문서 파일의 작성자는 'seong jin lee' 이름이 등록되어 있으며, 마지막 수정자는 'Ro..

악성코드 분석 리포트 2020. 4. 10. 09:06

WannaRen新型病毒勒索0.05个比特币，已有大量网友中招 새로운 랜섬웨어인 'WannaRen' 랜섬웨어가 유포되고 있습니다. 이 랜섬웨어는 윈도우 시스템의 대부분 파일들을 암호화 하며, 암호화 후 확장자를 .WannaRen으로 변경합니다. 암호화 후에는 0.05비트코인을 랜섬머니로 요구하며, 사용자 PC암호화 후 팝업창을 띄워 랜섬노트와 함께 랜섬머니 지불방식을 알려줍니다. 랜섬노트는 중국어 번체자로 작성되어 있으며, 이메일 주소는 WannaRenemal@goat.si 입니다. 공격자는 랜섬머니 지불기한을 정해놓았는데, "만약 3일 내 랜섬머니를 지불하지 않으면 랜섬머니는 2배로 증가하며, 일주일 내 랜섬머니를 지불하지 않으면 파일은 영원히 복구할 수 없다"고 사용자를 협박합니다. 현재까지 각종 커뮤니티..

국내외 보안동향 2020. 4. 10. 08:07

안녕하세요. ESRC입니다. 오늘(4/9) 오전부터 코로나19 바이러스 관련 '긴급재난자금' 상품권을 사칭한 스미싱이 유포되고 있어 주의가 필요합니다. 최근 코로나19 바이러스 감염으로 인한 직.간접적 피해를 입은 국민들의 삶을 지원하고 경기를 활성화 시키기 위한 정부 긴급재난지원금 지급이 논의되고 있으며 이미 인터넷으로는 3/30부터 신청을 접수중인 상태입니다. 또한, 경기도, 제주도, 경상남도, 충청북도, 부산광역시 등 등 많은 지방자치단체들 역시 시도민들의 삶을 돕기 위해 재난기본소득 지급에 대한 내용과 지급 범위에 대해 연이어 발표하고 있습니다. 특히 재난기본소득에 대한 지급을 최초로 결정했던 경기도의 경우 오늘(2020년 4월 9일) 15시부터 재난기본소득 온라인 신청을 오픈할 예정인데요. 공격..

악성코드 분석 리포트 2020. 4. 9. 15:12

Dark Nexus, a new IoT botnet that targets a broad range of devices 비트디펜더의 사이버 보안 연구원들이 DDoS 공격에 사용되는 새로운 IoT 봇넷인 Dark Nexus를 발견했습니다.이 봇넷은 익스플로잇을 통해 확산되고, 라우터(다산 존, Dlink, ASUS), 영상 레코더, 열 화상 카메라를 포함한 광범위한 IoT 기기에 대해 크리덴셜 스터핑 공격을 실행합니다. “이 스캐너는 Telnet 프로토콜과 후속 감염 단계를 모델링하는 유한 상태 기계로 구현되어 공격자는 이전 명령 출력을 기반으로 명령을 발행합니다.” Dark Nexus라는 이름은 봇넷 배너에 인쇄된 문자열에서 따왔습니다. 전문가들은 일부 봇넷 기능은 직접 작성한 것이지만, 코드에서는 Mi..

국내외 보안동향 2020. 4. 9. 13:47

Hackers are scanning for vulnerable VPNs in order to launch attacks against remote workers 사이버 범죄 그룹과 정부의 지원을 받는 해킹 작전이 코로나바이러스 팬데믹 상황을 악용하려 시도하고 있습니다. 이를 악용한 사이버 공격 시도가 점점 증가하고 있는 것으로 나타났습니다. 영국의 국립 사이버 보안 센터 (NCSC)와 미 국토안보부 (DHS), 사이버보안 및 인프라 보안국(CISA)에서 공동으로 권고를 발표해 개인 및 조직을 노리는 코로나바이러스를 주제로 한 사기, 피싱 공격, 악성코드 작전, 랜섬웨어 캠페인에 대해 경고했습니다. 사이버 공격자와 사기꾼들은 코로나바이러스 발생 직후부터 피해자를 속이는데 이를 악용해 왔으며 점점 과격해지..

국내외 보안동향 2020. 4. 9. 10:13

Email provider got hacked, data of 600,000 users now sold on the dark web Email.it 유저 60만 명 이상의 데이터가 다크웹에 판매되고 있는 것으로 나타났습니다. 이탈리아의 이메일 서비스 업체인 Email.it는 ZDNet 측에 보낸 성명서를 통해 “해커의 공격을 받았다”고 확인했습니다. 협박 시도 실패해 Email.it 해킹 사건은 지난 일요일 해커가 트위터에 회사의 정보를 판매하고 있던 다크웹 상의 한 웹사이트를 홍보하면서 발견되었습니다. ‘NN(No Name) 해킹 그룹’이라는 이름을 사용하는 이 해커는 실제 침입 날짜가 2년 전인 2018년 1월이라고 주장했습니다. 이들은 웹사이트를 통해 아래와 같이 주장했습니다: 2년 전 Email...

국내외 보안동향 2020. 4. 8. 16:15

안녕하세요. ESRC입니다. 코로나19(Covid-19) 바이러스 키워드를 활용하여 작성된 악성 이메일들이 국내로 지속적으로 유입되고 있습니다. 4월 초에도 인천광역시 감염병 관리지원단을 사칭하여 한글로 작성된 이메일이 유포되었으며, 코로나 19 바이러스가 워낙 글로벌한 이슈이다보니 영문으로 작성된 코로나 19 바이러스 관련 이메일들은 매우 자주 발견되고 있는 상황입니다. ※ 관련 글 보기 ▶ '인천광역시 코로나바이러스 대응' 제목으로 유포중인 악성 메일 주의! (20.04.07) ▶ 김수키(Kimsuky)조직, 코로나 바이러스 이슈를 악용하여 MacOS MS오피스 사용자를 타겟으로 진행중인 APT 공격 주의! (20.03.21) ▶ 한글로 작성된 코로나바이러스 이슈 악용 Hoax 주의! (20.03.1..

악성코드 분석 리포트 2020. 4. 8. 14:22

Unveiled: How xHelper Android Malware Re-Installs Even After Factory Reset xHelper를 기억하시나요? 사용자가 삭제하거나 기기를 공장 초기화할 경우에도 자신을 스스로 재설치하여 제거가 사실상 불가능한 미스터리한 안드로이드 악성코드입니다. xHelper는 지난 해 45,000대 이상의 기기를 감염시킨 것으로 알려졌으며, 그 이후 사이버 보안 연구원들은 어떻게 이 악성코드가 공장 초기화에서도 살아남을 수 있는지, 어떻게 그 많은 기기를 감염시켰는지 밝혀내기 위한 연구를 진행해 왔습니다. 카스퍼스키의 악성코드 분석가인 Igor Golovin이 공개한 보고서에 따르면, 이 악성코드가 사용하는 지속성 메커니즘에 대한 기술적 세부 사항이 마침내 밝혀져 ..

국내외 보안동향 2020. 4. 8. 13:34