안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘Spyware.CryptBot’(이하 ‘CryptBot’) 정보 탈취 악성코드가 가짜 소프트웨어 사이트 등을 통해 유포되고 있는 것으로 알려져 있습니다. 이 악성코드에 감염이 되는 경우, 정보 탈취 및 클립보드를 공격자 지갑 주소로 변경하는 추가 페이로드 다운로드 기능을 수행하게 되어 금전적으로 상당한 피해가 발생할 수 있습니다. ‘CryptBot’는 감염PC 정보, 웹 브라우저 크리덴셜, 암호화폐 애플리케이션 정보를 탈취하여 C&C 전송, 추가 페이로드 다운로드 기능을 수행합니다. 그리고 다운로드되어 실행되는 ‘ClipBanker’는 사용자의 클립보드에 암호화폐 지갑 문자열이 존재하는 경우, 이를 공격자 지갑으로 변조하는 기능을 ..

악성코드 분석 리포트 2021. 11. 18. 09:00

Hackers Targeting Myanmar Use Domain Fronting to Hide Malicious Activities ‘도메인 프론팅’이라는 기술을 활용하여 탐지를 회피하기 위해 공격자가 제어하는 ​​서버로 통신을 라우팅하기 위해 미얀마 정부가 소유한 합법적인 도메인을 활용해 명령 및 제어 트래픽을 숨기기는 악성 캠페인이 발견되었습니다. 2021년 9월 발견된 이 공격은 추가 공격을 시작하기 위한 디딤돌로 Cobalt Strike 페이로드를 배포했으며, 국영 디지털 신문인 Myanmar Digital News 네트워크와 연결된 도메인을 그들 비콘의 전선으로 사용했습니다. Cisco Talos의 연구원인 Chetan Raghuprasad, Vanja Svajcer, Asheer Malhot..

국내외 보안동향 2021. 11. 18. 09:00

안녕하세요. ESRC(시큐리티 대응센터)입니다. 피싱메일을 통해 유포중인 Emotet 악성코드가 확인되어 사용자들의 주의가 필요합니다. 올해 초 Europol과 Eurojust가 협력하여 Emotet 인프라를 압수하고 관련자 2명을 체포하였습니다. 또한 4월 25일 Emotet에 감염된 디바이스에서 해당 악성코드를 제거하는 모듈을 제공하기도 했습니다. 그러나 최근, Emotet 악성코드가 또 다시 활동을 시작하였습니다. ▶ Emotet 악성코드, TrickBot을 통해 봇넷 재구축 하도록 돌아와 이번에 ESRC에서 발견한 Emotet은 기존과 같이 피싱메일을 통해 유포되고 있습니다. 해당 피싱메일은 공직자 통합메일(@korea.kr) 사용자에게 전염병대비혁신연합(CEPI)을 위장하여 발송되었습니다. 이메..

악성코드 분석 리포트 2021. 11. 17. 15:53

GitHub addressed two major vulnerabilities in the NPM package manager GitHub이 이미 패치된 NPM 내 주요 취약점 2가지를 공개했습니다. 첫 번째 취약점은 공격자가 적절한 승인 과정 없이도 계정을 통해 모든 npm 패키지의 새 버전을 게시하는 데 악용될 수 있습니다. 이 취약점은 지난 11월 2일 Kajetan Grzybowski(DrBrix)와 Maciej Piechota(haqpl)가 버그 바운티 프로그램을 통해 GitHub 측에 제보했습니다. GitHub 보안 책임자인 Mike Hanley는 아래와 같이 밝혔습니다. "우리는 이 취약점이 npm 레지스트리에 대한 요청을 처리하는 여러 마이크로서비스의 일관성 없는 권한 부여 확인 및 데이터 ..

국내외 보안동향 2021. 11. 17. 14:00

SharkBot — A New Android Trojan Stealing Banking and Cryptocurrency Accounts 지난 월요일 사이버 보안 연구원들이 안드로이드 기기의 접근성 기능을 악용하여 이탈리아, 영국, 미국의 뱅킹 및 가상화폐 서비스의 크리덴셜을 훔치는 새로운 트로이 목마를 공개했습니다. Cleafy가 "SharkBot"이라 명명한 이 악성코드는 최소 2021년 10월 말부터 이탈리아와 영국의 알려지지 않은 국제 은행 22곳, 미국의 가상화폐 앱 5개를 포함하여 타깃 총 27개를 공격하도록 설계되었습니다. 이는 아직까지 개발 초기 단계에 있으며, 알려진 악성코드 패밀리와 겹치는 부분이 없는 것으로 나타났습니다. 연구원들은 보고서에서 아래와 같이 밝혔습니다. "SharkBot..

국내외 보안동향 2021. 11. 17. 09:00

North Korea-linked Lazarus group targets cybersecurity experts with Trojanized IDA Pro ESET 연구원들이 북한과 관련 있는 APT 그룹인 Lazarus가 인기 있는 IDA Pro 리버스 엔지니어링 소프트웨어를 트로이목마화 시켜 사이버 보안 커뮤니티를 노리고 있다고 밝혔습니다. 공격자는 IDA Pro 7.5 소프트웨어에 악성 컴포넌트 2가지를 묶었습니다. ESET은 트위터를 통해 아래와 같이 밝혔습니다. “공격자들은 IDA Pro 설치 시 실행되는 내부 컴포넌트인 win_fw.dll을 악성 DLL로 바꿔치기했습니다. 악성 win_fw.dll은 IDA 플러그인 폴더에서 두 번째 악성 컴포넌트인 idahelper.dll을 시작하는 윈도우 예..

국내외 보안동향 2021. 11. 16. 14:00

Hadoop Yarn RPC 무단접근 취약점이 발견되었습니다. 해당 취약점을 악용하면 Hadoop Yarn의 기본적으로 외부로 개방된 RPC 서버에서 임의 명령실행이 가능하여 서버를 장악할 수 있습니다. Hadoop Yarn은 Hadoop의 핵심 모듈중 하나로, 다양한 응용 프로그램을 실행하기 위해 다양한 클러스터에 리소스를 할당하고 다른 클러스터 노드에서 작업 실행을 예약합니다. CVE번호 미정 취약한 버전 Apache Hadoop 모든 버전 패치방법 현재 패치 공개되지 않음 임시조치방법 Kerberos 인증 기능 활성화를 통한 미인증 사용자 접근 차단 만일 외부접근이 필요없을 경우, 외부와 연결된 Hadoop RPC 서버관련 포트 차단 / 혹은 신뢰할 수 있는 주소만 접근 허용 참고 : https:/..

국내외 보안동향 2021. 11. 16. 13:50

Emotet malware is back and rebuilding its botnet via TrickBot Emotet 악성코드는 스팸 캠페인과 악성파일 첨부를 통하여 악성코드를 유포합니다. 그 후 감염된 장치를 이용하여 다른 스팸 캠페인을 수행하고 QakBot(Qbot) 및 Trickbot 악성코드와 같은 다른 페이로드를 설치합니다. 이러한 페이로드는 공격자에게 초기 액세스를 제공하여 Ryuk, Conti, ProLock, Egregor 및 기타 여러 랜섬웨어를 배포하는데 사용됩니다. 올해 초, Europol과 Eurojust는 Emotet 인프라를 인수하고 2명을 체포하였습니다. 그리고 4월 25일, 감염된 장치에서 Emotet을 삭제하는 모듈을 제공했습니다. 그리고 최근 보안연구원들은 Trick..

국내외 보안동향 2021. 11. 16. 10:41