안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일 (2019년 05월 29일), '정리 해고 및 감면 목록'이라는 자극적인 메일 제목으로, 악성 파일을 포함한 피싱 메일이 유포되고 있어, 사용자들의 각별한 주의가 필요합니다. [그림 1] 해고 안내를 위장한 악성 피싱 메일 ESRC에서는 리플라이 오퍼레이터 조직이 해당 피싱 메일을 유포한 것으로 추정하고 있으며, 리플라이 오퍼레이터 조직은 지난 5월 28일에도 비슷한 유형의 악성 파일을 유포했습니다. [그림 2] 리플라이 오퍼레이터 조직이 유포한 피싱 메일 비교 이번에 발견된 피싱 메일에는 기존에 유포했던 피싱 메일에 사용한 동일한 도메인이 사용되었으며, 피싱 메일에 첨부된 압축 파일 해제 용도의 비밀번호를 본문에 첨부한 점이 동일합니다...

악성코드 분석 리포트 2019. 5. 29. 11:17

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 금일 오전 경찰청 사이버 안전국을 사칭한 스피어 피싱(Spear Phishing) 공격이 포착되었고, 이번 APT 공격도 김수키(Kimsuky) 조직이 연루된 것으로 분석됐습니다. ESRC는 이 공격을 조사하는 과정중에 굉장히 흥미로운 점을 확인할 수 있었습니다. [그림 1] 사이버 안전국 사칭한 해킹 이메일 화면 이 APT 공격이 금일 공개한 '[긴급] 김수키 조직, 한국 암호화폐 거래소 이벤트 사칭 APT 공격 발생' 블로그 포스팅의 연장선에 있다는 것이 확인되었기 때문입니다. 2018-02-12 오퍼레이션 김수키(Kimsuky)의 은밀한 활동, 한국 맞춤형 APT 공격은 현재 진행형 2018-05-28 판문점 선언 관련 내용의 문서..

악성코드 분석 리포트 2019. 5. 28. 16:43

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일 (2019년 05월 28일), 국세청을 사칭하고 '피고인 심문에 대한 소한 안건'이라는 메일 제목으로, 악성 파일을 포함한 메일이 유포되고 있습니다. ESRC에서는 해당 피싱 메일이 TA505 조직이 유포한 것으로 추정하고 있으며, TA505 조직은 지난 5월 21일에도 대량으로 비슷한 악성 파일을 유포했습니다. [그림 1] 한국 국세청을 사칭한 악성 피싱 메일 이번에 포착한 악성 메일을 분석한 결과, 지난 3월 리플라이 오퍼레이터 조직이 유포한 메일의 본문 내용을 그대로 참고한 것을 알 수 있었습니다. [그림 2] 리플라이 오퍼레이터 vs TA505 국세청 사칭 메일 이번에 발견된 메일에도 기존과 동일하게 악성 Excel 파일이 첨부되어..

악성코드 분석 리포트 2019. 5. 28. 15:22

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 2019년 05월 28일 한국의 유명 암호화폐 거래소의 이벤트 경품 수령 안내로 사칭한 APT 공격이 포착되었습니다. ESRC는 이 공격의 배후에 이른바 김수키(Kimsuky) 조직이 있는 것으로 확신하고 있습니다. 최근 비트코인이 원화로 약 1,000만원 선을 돌파했습니다. 이런 가운데 특정 정부의 지원을 받는 위협조직들의 활동이 증가하고 있어 각별한 주의가 요망됩니다. 아래 화면은 실제 공격에 사용된 이메일의 화면 중 일부로, 특정 암호화폐 거래소에서 발송한 것처럼 교묘하게 위장하고 있습니다. 이들 공격조직은 얼마전까지 한국의 통일부를 사칭해 APT 공격을 수행하고 있었습니다. 이메일 제목은 '[안내]업비트 보디엑스(VDX) 상장 이..

악성코드 분석 리포트 2019. 5. 28. 14:06

Hackers are scanning for MySQL servers to deploy GandCrab ransomware 중국 해킹 그룹이 사용자 기기를 갠드크랩(GandCrab) 랜섬웨어에 감염시키기 위해 인터넷에서 MySQL 데이터베이스를 실행 중인 윈도우 서버를 스캐닝 중인 것으로 나타났습니다. Sophos의 수석 연구원인 Andrew Brandt는 허니팟 로그에서 이러한 새로운 공격을 발했습니다. 해커들, 얻을 것이 많은 노출된 MySQL DB 노려 해커들은 인터넷에서 접근 가능한 SQL 명령을 허용하는 MySQL 데이터베이스를 스캔한 후, 서버가 윈도우 환경에서 실행되는지 확인합니다. 그런 다음, 악성 SQL 명령을 사용하여 노출된 서버에 갠드크랩 랜섬웨어를 실행시키는 악성 파일을 심습니다. ..

국내외 보안동향 2019. 5. 28. 13:40

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 05월 28일), '형사 사건번호'라는 제목으로 헌법 재판소를 사칭한 피싱 메일이 유포되고 있어, 사용자들의 주의가 필요합니다. 이번에 포착된 피싱 메일에는 'VegaLocker' 변종을 감염자 PC에 다운로드하고 실행시키는 것으로 조사되었으며, "리플라이 오퍼레이터(Reply Operator)" 그룹이 유포한 것으로 확인되었습니다. [그림 1] 헌법 재판소를 사칭한 피싱 메일 화면 피싱 메일에는 'Documents.zip'라는 압축 파일(.zip)이 첨부되어 있습니다. 특이한 점은 이전에 발견된 메일과 달리 보관 '파일의 비밀번호'라는 내용이 추가된 점입니다. 해당 메일을 받은 사용자가 사건과 관련된 서류로 착각해 압축을 해제..

악성코드 분석 리포트 2019. 5. 28. 10:16

Shade Ransomware Expands to U.S. Targets 러시아 사용자들을 노리는 것으로 알려진 Shade 랜섬웨어가 미국, 일본을 포함한 새로운 지역을 노리는 것으로 최근 여러 캠페인에서 발견되었습니다. 카스퍼스키랩 연구소가 2014년 후반에 처음으로 발견한 이 랜섬웨어는 러시아 사용자들만을 노리는 것으로 알려졌었습니다. 하지만 최근 발견된 사이버 공격에서 Shade 랜섬웨어는 러시아가 아닌 다른 국가의 사용자를 노리고 있었습니다. Palo Alto Networks Unit 42그룹의 연구원인 Brad Duncan은 Shade 랜섬웨어에 영향을 받은 상위 국가 5곳은 러시아나 구 소련 국가가 아니라고 밝혔습니다. 그러면서 Shade 랜섬웨어에 영향을 받은 상위 TOP 5 국가는 미국, ..

국내외 보안동향 2019. 5. 27. 10:07

CVE-2019-0708 RDP 취약점 이슈 악용 백도어 발견 마이크로소프트가 지난 5월 15일 발표한 월별 보안 업데이트 내용에 포함되어 있는 RDP취약점 (CVE-2019-0708)과 관련해서 패치가 되지 않은 상황에서의 파급력과 관련하여 많은 우려를 낳고 있습니다. 때문에 마이크로소프트에서는 패치대상인 Windows7, Windows2008 R2, Windows2008 OS뿐만 아니라 이미 업데이트 지원이 끝난지 몇해가 지난 WindowsXP와 Windows2003 OS에 대해서도 수정사항을 별도 릴리즈하기도 했습니다. ※ 관련글 바로가기 ▶ Microsoft, 웜 결함 및 기타 78개의 문제에 대한 패치 진행 (2019.05.15) 또한 많은 분석가들과 연구원들이 관련 POC를 인터넷상에 공개하고..

국내외 보안동향 2019. 5. 24. 17:38