안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 4월 19일) ESRC에서는 비너스락커(Venus Locker) 그룹이 또다시 입사지원서를 위장한 갠드크랩 v5.2을 유포한 정황을 포착하였습니다. [그림 1] 입사지원서를 위장한 악성 메일 이미지 금일 발견된 입사지원서 사칭 메일 역시 지난 8일 발견된 입사지원서 사칭 메일과 동일하게 .egg 확장자의 알집 파일이 첨부되어 있었습니다. 또한, 발신자 주소로 한국에서 많이 사용하는 네이버를 사용했다는 점도 주목해 볼 만합니다. 최근 비너스락커(Venus Locker) 그룹은 알집 EGG 압축 포맷을 사용하여 변종들을 다량 유포하고 있는 중입니다. 첨부된 압축 파일을 해제하면 악성 파일을 PDF, JPG 1차 확장자로 위장하고 있..

악성코드 분석 리포트 2019. 4. 19. 13:30

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 04월 19일) 다음 커뮤니케이션(Daum Communications)을 사칭한 영문 피싱 메일이 포착되었습니다. [그림 1] 다음 커뮤니케이션을 사칭한 영문 피싱 메일 공격자는 “Final Warning: Your Account Will Be Blocked Soon!”이라는 제목으로 피싱 메일을 유포했습니다. 그리고 메일 도메인으로 hanmail.net을 사용함으로써 다음에서 온 공지사항인 것처럼 보이려고 노력했습니다. 본문에는 메일 계정이 중지된 상태이며, 계정 서비스 종료를 막기 위해 이메일에 첨부된 링크로 들어가 메일 계정을 확인하라고 유도하고 있습니다. 또한, 공격자는 다음 이용 약관을 이야기하며 사용자를 속이려고 시도..

악성코드 분석 리포트 2019. 4. 19. 10:05

Insane in the domain: Sea Turtle hackers pwn DNS orgs to dash web surfers on the rocks of phishing pages 탈로스(Cisco Talos) 연구진이 사이버 범죄 집단이 인터넷 도메인 관리 업체(Registry)를 하이잭 해 특정 웹사이트의 DNS 설정을 변경하고, 웹 방문자들을 실제로는 비밀번호 도용 피싱 페이지로 유도했다고 밝혔습니다. 국가 지원을 받는 범죄 집단이 특정 대상을 피싱하기 위해 국가 코드 수준의 최상위 도메인 관리 조직을 위협한 것은 이번이 처음입니다. 레지스트리(Registry)나 레지스트라(Registrar)를 해킹하면, 해커들은 특정 웹사이트나 서버의 DNS 기록을 변경할 수 있습니다. 그리고 사용자가 정..

국내외 보안동향 2019. 4. 18. 13:56

Scranos: New Rapidly Evolving Rootkit-Enabled Spyware Discovered 루트킷을 지원하는 강력한 스파이웨어가 발견되었습니다. 해커들은 크랙 버전 소프트웨어 또는 동영상 플레이어, 드라이버, 안티바이러스 제품 등의 정상 소프트웨어로 위장한 프로그램을 통해 해당 악성코드를 유포하고 있습니다. ※ 루트킷 (rootkit)이란? 공격자가 시스템에 사용자 몰래 침입하기 위해 설치해 둔 프로그램으로 백도어, 원격 접근 프로그램, 침입 흔적 로그 삭제 프로그램 등으로 구성된다. Scranos로 명명된 이 루트킷 악성코드는 작년 처음 발견되었으며, 아직 개발 중인 것으로 보입니다. 또한, 새로운 컴포넌트를 테스트하고 예전 컴포넌트들을 정기적으로 개선함으로써 더욱 심각한 위협..

국내외 보안동향 2019. 4. 17. 13:35

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. ESRC에서는 한국의 대북관련 분야에 종사하는 인물을 대상으로 4월 11일 기준 스피어 피싱(Spear Phishing) 공격이 수행된 것을 발견했습니다. 이는 지난 04월 03일 【최근 한반도 관련 주요국 동향】, 【3.17 미국의 편타곤 비밀 국가안보회의】 내용으로 전파된 '스텔스 파워(Operation Stealth Power)' 작전의 APT 공격 연장 활동으로 드러났으며, 2014년 한국수력원자력(한수원) 해킹 공격 배후와 동일 조직으로 밝혀졌습니다. [English Version] Analysis of the APT Campaign ‘Smoke Screen’ targeting to Korea and US [그림 1] 한미정상회..

악성코드 분석 리포트 2019. 4. 17. 09:58

Apache Tomcat Patches Important Remote Code Execution Flaw ASF(Apache Software Foundation) 측이 Tomcat 어플리케이션 서버의 중요한 보안 취약점을 수정하고 새로운 버전을 공개했습니다. 원격의 공격자가 이 취약점을 악용하면 취약한 서버에서 악성코드를 실행하고 제어권을 얻을 수 있습니다. ASF가 개발한 Apache Tomcat은 "순수한 Java" HTTP 웹 서버 환경을 제공하기 위해 Java Servlet, JavaServer Pages (JSP), Express Language, 웹 소켓과 같은 Java EE 플랫폼을 사용하는 오픈 소스 웹 서버 및 서블릿 시스템입니다. 원격 코드 실행 취약점(CVE-2019-0232)은 en..

국내외 보안동향 2019. 4. 16. 10:28

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 04월 15일) 대우조선해양으로 사칭한 피싱 메일이 유포되어 사용자들의 주의가 필요합니다. [그림 1] 대우조선해양을 사칭한 피싱 메일 이 피싱 메일에는 “...DSME INQUIRY...” 제목의 대우조선해양 견적참여 요청이라는 내용이 들어있으며, HTML 형태의 파일이 첨부되어 있습니다. [피싱 메일 본문 내용]DSME]대우조선해양에서 견적참여 요청첨부 파일을 열어주세요 견적의뢰번호: KR5564300견적 마감일: 2018.10.22https://icops.dsme.co.kr 사용자가 만약 HTML 파일을 실행하면 다음과 같이 코리아닷컴 페이지를 위장한 피싱 페이지가 열리게 됩니다. [그림 2] 코리아닷컴을 위장한 피싱 페이..

악성코드 분석 리포트 2019. 4. 15. 11:17

RobbinHood Ransomware Claims It's Protecting Your Privacy 현재 활동 중인 새로운 랜섬웨어 RobbinHood가 발견되었습니다. 이 랜섬웨어는 네트워크 전체를 노리며 접근 가능한 모든 컴퓨터를 암호화시킵니다. 이후 감염된 컴퓨터 한 대 또는 감염된 네트워크 전체의 암호화를 해제하는 조건으로 비트코인을 요구합니다. 현재 이 랜섬웨어에 대해 알려진 사실은 많지 않으며, RobbinHood의 샘플 또한 발견되지 않았습니다. 하지만 피해자들로부터 랜섬노트 및 암호화된 파일을 얻어, 이 랜섬웨어가 어떻게 작동하는지 추측할 수 있었습니다. 특이한 점은, 피해자의 프라이버시를 중요하게 생각하여 돈을 지불한 피해자가 누구인지 공개하지 않을 것이라고 강조한다는 점입니다. Ro..

국내외 보안동향 2019. 4. 15. 10:04