GandCrab returns with trojans and redundency GandCrab 랜섬웨어가 새로운 트로이목마들과 함께 돌아왔습니다. 이 새로운 툴들은, 공격을 통해 가치 있는 정보를 얻을 확률을 높이기 위해 인포 스틸러인 Vidar와 GandCrab 랜섬웨어의 조합을 사용한지 일주일 후 추가 되었습니다. 가장 최근 공격은 PowerShell을 암호화가 아닌 공격의 첫 단계를 전달하기 위한 입구로 사용했습니다. 이 페이로드는 이동식 실행 파일(PE) Base64 인코딩 바이트 코드이며, 마이크로소프트 윈도우용 무료 자동화 언어인 AutoIt을 통해 만들어졌습니다. “AutoIt으로 만든 PE는 언패커(unpacker) 역할을 하며, 다른 서버로부터 다른 바이너리를 다운로드하고 다양한 보호 ..

국내외 보안동향 2019. 1. 23. 15:55

Critical RCE Flaw in Linux APT Allows Remote Attackers to Hack Systems 보안 연구원들이 Linux APT의 치명적인 원격 코드 실행 취약점에 대한 세부사항을 발표했습니다. 이는 소프트웨어 다운로드 매니저가 통신 시 엄격하게 HTTPS를 사용했을 경우 완화될 수 있었습니다. Max Justicz가 발견한 이 취약점 (CVE-2019-3462)은 데비안, 우분투 및 기타 리눅스 배포판에서 소프트웨어 설치, 업데이트, 제거를 처리하는 널리 사용되는 유틸리티인 APT 패키지 매니저에 존재합니다. Justicz에 따르면, 취약한 APT 버전들은 HTTP 리디렉트 시 특정 파라미터를 적절히 검사하지 않아 원격 MitM 공격자가 악성 컨텐츠를 인젝션하고 시스템이..

국내외 보안동향 2019. 1. 23. 13:32

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 작년 08월 22일 ESRC에서는 '작전명 로켓 맨(Operation Rocket Man)' 공격 분석을 상세하게 공개한 바 있습니다. 이 공격은 당시 한국에 거주하는 일부 탈북민과 대북단체(장) 등이 위협 대상에 포함됐던 것으로 추정됩니다. [그림 1] 2018년 08월 유포된 악성 문서 파일 2018년 당시 '로켓맨' APT(지능형지속위협) 공격은 HWP 문서파일의 취약점을 이용해 진행이 되었습니다. 당시, 한국의 특정 웹 사이트를 해킹해 악성 HWP 문서를 등록해 두었고, 실제 이메일에는 URL 링크 방식의 공격 벡터를 활용했습니다. APT 공격에 사용된 '통지.HWP' 취약점 파일에는 제..

악성코드 분석 리포트 2019. 1. 23. 09:11

안녕하세요? 이스트시큐리티입니다. 기업의 미래경쟁력인 '핵심 기술', 어떻게 보호하고 계신가요? 오늘은 '기술유출 위협'에 국내 중소 기업들이 과연 제대로 대비하고 있는지에 대해 이야기를 나누어 보고자 합니다. 언론, 매체에서 흔히 볼 수 있는 손에 꼽을 수 없이 많은 기술유출 사례들과 정부의 제도나 지원을 통한 중요성 강조가 아니더라도, 기술유출에 대한 방지책이 중소기업에 꼭 필요하단 사실을 대부분 잘 알고 계실 텐데요. 실제로 중소벤처기업부에서 진행한 2017년 중소기업 기술보호 수준 실태조사에 따르면, 대기업 대비 중소기업 기술보호 역량 수치가 2012년 이후 꾸준히 상승하고 있으며, 대기업 기술보호 역량 점수와의 격차도 대폭 줄어 들고 있음을 확인할 수 있습니다. 출처: 2017 중소기업 기술보호..

전문가 기고 2019. 1. 23. 08:30

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 갠드크랩(GandCrab) 랜섬웨어를 유포하던 조직이 기존과 유사한 방식으로 구직시즌에 맞춰 입사지원서 등을 위장하여 갠드크랩(GandCrab) 랜섬웨어 v5.1을 새롭게 유포하는 정황이 포착되어 사용자들의 주의가 필요합니다. 해당 이력서에 첨부된 압축파일을 풀어보면, 압축파일 내에는 다음과 같은 파일들이 포함되어 있습니다. (메일 첨부파일마다 조금씩 상이할 수 있습니다.) 첨부파일을 열어본 사용자가 지원서.doc.lnk파일을 클릭하는 경우 jpeg로 위장한 악성코드(.exe)가 실행되면서 갠드크랩(GandCrab) 랜섬웨어가 동작하게 되며 사용자를 속이기 위해 함께 첨부된 정상 doc파일을 실행해서 화면에 보여주게 됩니다. 정상 doc파일이 ..

악성코드 분석 리포트 2019. 1. 21. 14:35

ES File Explorer vulnerabilities potentially impact 100 Million Users 보안 연구원인 Robert Baptiste(Elliot Alderson)이 ES 파일탐색기에서 수억 명 이상의 사용자에 영향을 미칠 수 있는 취약점 (CVE-2019-6447)을 발견했습니다. ES 파일탐색기는 1억 회 이상 다운로드 되었으며, 사용자가 5억명 이상인 안드로이드 파일 관리 프로그램입니다. Baptiste는 이 프로그램이 open Port 59777에서 수신 대기하는 로컬 HTTP 서버를 사용하는 것을 발견했습니다.또한 그는 앱이 종료된 상태일 때도, 사용자가 ES 파일탐색기의 백그라운드 서비스를 종료시킬 때까지 서버는 계속 실행되고 있다는 것을 발견했습니다. 공격자..

국내외 보안동향 2019. 1. 21. 14:25

안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 2019년 01월 07일 월요일 새벽 1시 경 통일부 등을 출입하는 언론사 기자(단)들의 이메일 대상으로 대규모 스피어 피싱(Spear Phishing) 공격이 수행된 바 있고, ESRC에서는 '작전명 코브라 베놈(Operation Cobra Venom)'으로 위협정보를 공개한 바 있습니다. 이런 가운데 2019년 01월 20일 일요일에 새로운 변종이 발견되었습니다. 해당 변종은 한국시간(KST)으로 01월 21일 새벽 6시 경에 코드가 제작된 것으로 설정되어 있었습니다. 또한, 마치 이스트시큐리티의 알약(ALYac) 보안 모듈처럼 위장하는 공격벡터를 도입했습니다. 이에 ESRC는 가짜로 조작된..

악성코드 분석 리포트 2019. 1. 20. 15:50

안녕하세요? 이스트시큐리티입니다. 이스트시큐리티의 대학생 서포터즈, 알약크루 1기가 약 3개월 반 동안의 열띤 활동을 마무리하는 해단식을 가졌습니다. 알약크루의 첫 기수로 활동한 20여 명의 알약크루들과 가진 마지막 모임, 알약크루 해단식 현장을 지금부터 함께 보실까요? 알약크루 1기, 아쉽고 벅찼던 해단식 현장! 알약크루 해단식은 이스트시큐리티 본사 지하 1층에 위치한 세미나실에서 진행되었습니다. 삼삼오오 모여드는 알약크루들은 여느 때와 같이 반갑게 인사를 나누면서도, 얼굴엔 벌써 아쉬움이 묻어나오는 듯했습니다. 하얀 크루 가운을 차려입은 알약크루 1기 알약크루 해단식은 정상원 대표이사의 수료 기념사와 함께 시작되었습니다. 정상원 대표이사는 보안산업의 현재와 미래에 대한 폭넓은 인사이트와 함께, 그 미..

알약人 이야기 2019. 1. 18. 13:19