GhostDNS: New DNS Changer Botnet Hijacked Over 100,000 Routers 악성페이지를 통해 사용자들을 해킹하기 위해 이미 10만대 이상의 홈 라우터들을 하이잭하고, 이들의 DNS 세팅을 변경시킨 현재 진행 중인 악성코드 캠페인을 중국의 사이버 보안 연구원들이 발견했습니다. GhostDNS라 명명 된 이 캠페인은 악명 높은 DNSChanger 악성코드와 꽤 유사합니다. 공격자들은 감염 된 기기에서 DNS 서버 설정을 변경하여 사용자의 인터넷 트래픽을 악성 서버로 라우팅 하고 민감 정보를 훔칩니다. Qihoo 360의 NetLab에서 발행한 새로운 보고서에 따르면, 일반적인 DNSChanger 캠페인과 같이 GhostDNS도 취약한 패스워드를 사용하거나 패스워드가 걸려..

국내외 보안동향 2018. 10. 2. 16:47

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 암호화된 doc 파일이 포함된 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ 퍼블리셔(PUB) 파일이 첨부된 악성메일 주의▶ 사용자 정보 탈취 목적의 악성 파일이 첨부된 메일 주의▶ 계정 탈취 목적의 계약 체결 위장 악성 메일 주의 이번에 발견된 악성 메일은 ‘Application’ 이라는 제목으로 메일 본문에는 Vicky Resume.doc파일을 열기 위한 패스워드가 있습니다. [그림 1] 수신된 메일 첨부된 doc 파일을 클릭하면 아래와 같이 패스워드 입력을 요구하는 창이 뜹니다. [그림 2] 패스워드 입력을 요구하는 창 패스워드를 입력한 후 본문 내용을 확인하면 아래와 같이 매크로 활성화를 유도합니다. ..

악성코드 분석 리포트 2018. 10. 1. 19:53

갠드크랩(GandCrab) v5.0이 발견된지 몇 일 되지 않아 또 다시 갠드크랩(GandCrab) v5.0.1 및 v5.0.2가 발견되었습니다. GandCrab v5.0.1은 다른 정상 프로세스에 인젝션 되어 실행되는데, 특정 조건에 따라 인젝션 대상이 달라집니다. 예를 들어 Flag값이 1일 경우 ‘%System32%svchost.exe’, 2일 경우는 ‘%System32%wermgr.exe’를 대상으로 합니다. [그림 1] 조건에 따른 인젝션 대상 프로세스 다음은 CreatePorcessInternalW 함수로 ‘wermgr.exe’ 프로세스에 인젝션 하는 코드의 일부입니다. [그림 2] ‘wermgr.exe’ 인젝션 코드 일부 인젝션 완료 후에는 NtResumeThread 함수를 이용하여 인젝션한..

악성코드 분석 리포트 2018. 10. 1. 18:58

Hackers Stole 50 Million Facebook Users' Access Tokens Using Zero-Day Flaw 페이스북이 익명의 해커들이 페이스북 플랫폼의 제로데이 취약점을 악용해 5천만 계정의 비밀 액세스 토큰을 훔쳤다고 밝혔습니다. 페이스북은 지난 금요일 블로그 게시물을 통해 3일 전(9/25) 보안팀이 이 공격을 탐지했으며, 아직까지 조사중이라 밝혔습니다. 이 취약점의 세부 사항은 아직 밝혀지지 않았으며, 페이스북은 이를 이미 패치했습니다. 이 취약점은 다른 페이스북 사용자들이 해당 사용자의 페이지에 방문하면 어떻게 보이는지 확인하기 위해 사용하는 “View As” 기능에 존재했습니다. 이 취약점으로 인해, 해커는 비밀 액세스 토큰을 훔쳐 계정의 비밀번호나 이중인증 코드 없이..

국내외 보안동향 2018. 10. 1. 16:57

안녕하세요? 이스트시큐리티입니다. 여러분은 '알약' 하면 무엇이 떠오르시나요? 아마도 많은 분들이 알약을 '무료 백신'으로 먼저 떠올리실 것 같은데요, 그 외에 '윈도우 필수 프로그램', '랜섬웨어 차단 백신', '바이러스 백신'과 같은 키워드가 생각나셨다면 알약이 자기의 역할을 잘 해왔다고 볼 수 있을 것 같습니다. 그렇다면 혹시, 이런 생각을 한 번쯤 해보신 적은 있으신가요?'내가 알아서 조심하면 되지, 백신을 왜 깔아야 해?' '다른 백신도 많은데 알약을 써야 하는 이유가 뭐야?' 오늘은 '알약'과 '백신 프로그램'에 자주 뒤따르는 위 질문들을 주제로 이야기해보도록 하겠습니다. 1. 백신 프로그램, 내 컴퓨터에 꼭 설치해야 하는 이유 백신 프로그램의 정의는 '컴퓨터 바이러스를 찾아내고 손상된 파일을..

안전한 PC&모바일 세상/PC&모바일 TIP 2018. 10. 1. 16:03

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 퍼블리셔(PUB) 파일이 첨부된 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ 악성코드가 첨부된 무역 관련 악성 메일 주의 ▶ 사용자 정보 탈취 목적의 악성 파일이 첨부된 메일 주의 ▶ 스팸메일로 위장한 크립토재킹 공격 주의! ▶ 최신 공정위 로고를 사용한 공정위 사칭 악성 메일 주의 이번에 발견된 악성 메일은 ‘NEW PURCHASE ORDER’ 라는 제목으로 본문에는 매크로를 활성화 해달라고 영문으로 작성되어 있습니다. [그림 1] 수신된 메일 첨부 파일 ‘SKMT-83987488344-21.09.2018.pub’을 실행하면 아래와 같이 매크로 활성화를 유도합니다. MS Office에서 실행되는 퍼블리셔(..

악성코드 분석 리포트 2018. 9. 28. 17:32

[9월 다섯째주] 알약 스미싱 알림 본 포스트는 알약M 사용자 분들이 '신고하기' 기능을 통해 알약으로 신고해 주신 스미싱 내역 중 '특이 문자'를 자체 수집, 집계하여 제공해 드리는 정보성 포스트입니다. 특이 문자 No.문자 내용 1 [Web발신] ♡꽃처럼예쁘게♡잘살겠습니다일시:10월6일 오후2시장소:더브릴리에청첩장 2 [Web발신] [CJ대한통운]임상빈8월21일택배송달할수없으니주소를변경요망 출처 : 알약M기간 : 2018년 9월 24일 ~ 9월 28일

안전한 PC&모바일 세상/스미싱 알림 2018. 9. 28. 16:05

New Iot Botnet Torii Uses Six Methods for Persistence, Has No Clear Purpose 보안 연구원들이 Mirai 변종보다 우월한 수준의 새로운 IoT 봇넷을 발견했습니다. 이 봇넷의 개발자들은 CPU 아키텍쳐 다수용 바이너리를 제작하여 스텔스 및 지속성을 위해 악성코드를 조정했습니다. C&C 서버와의 통신은 암호화 되었으며, 추출 및 명령 실행 등의 기능을 포함하고 있습니다. Avast의 연구원들에 따르면, 이 악성코드는 지난 2017년 12월부터 활동해왔으며 MIPS, ARM, x86, x64, PowerPC, SuperH 등의 CPU 아키텍쳐 기기들을 노립니다. Mirai 기반의 위협들 사이에서 멀티 플랫폼 지원은 흔한 것이지만, 연구원들은 Torii..

국내외 보안동향 2018. 9. 28. 15:49