Over 100 New Chrome Browser Extensions Caught Spying On Users 구글이 최근 크롬 웹 스토어에서 석유와 가스, 금융, 의료부문을 노리는 “대규모 글로벌 감시 캠페인”의 일부로 불법적으로 사용자 민감 데이터를 수집한 확장 프로그램 106개 이상을 제거했습니다. 지난주 이를 발견한 Awake Security는 악성 브라우저 애드온이 모두 인터넷 등록 업체인 GalComm과 연결되어 있다고 밝혔습니다. 하지만 이 스파이웨어의 운영자가 누구인지는 명확히 밝혀지지 않았습니다. 이 캠페인과 구글 확장 프로그램은 피해자 기기의 스크린샷 촬영, 악성코드 로드, 클립보드 읽기, 토큰 및 사용자 입력 수집과 같은 작업을 수행했습니다. 이 문제의 확장 프로그램은 파일 포맷 변환..

국내외 보안동향 2020. 6. 23. 14:30

A new variant of the IcedID banking Trojan spreads using COVID-19 lures 새로운 버전의 IcedID 뱅킹 트로이목마 변종이 코로나19를 미끼로 사용하는 공격을 통해 배포되고 있는 것으로 나타났습니다. 이 새로운 변종은 피해자를 감염시키고 탐지를 피하기 위해 스테가노그라피 기술을 사용합니다. Juniper Threat Labs의 연구원들은 미국의 사용자들을 노리는 코로나19 테마 스팸 캠페인을 발견했습니다. 새로운 악성코드 버전은 피해자의 웹 활동을 스파잉하는 것도 가능했습니다. 사용자가 무기화된 첨부파일을 오픈하면 IcedID 뱅킹 트로이목마가 로드될 것입니다. IcedID는 2017년 처음 등장했으며 Gozi, Zeus, Dridex 등 다른 금융..

국내외 보안동향 2020. 6. 23. 10:27

Discord modified to steal accounts by new NitroHack malware 프리미엄 Discord Nitro 서비스를 무료로 사용할 수 있는 핵으로 위장한 새로운 악성코드가 배포되고 있습니다. 이 악성코드는 다양한 브라우저에 저장된 사용자의 토큰, 신용 카드 정보를 훔치고 다른 사용자에게 확산되려고 시도합니다. Discord와 같은 개방형 플랫폼을 사용하면 클라이언트가 사용하는 JavaScript 파일을 쉽게 수정할 수 있습니다. 공격자는 악성 행위를 위해 클라이언트를 수정하려는 목적으로 이를 흔히 악용합니다. 새로운 악성코드인 NitroHack은 위와 같이 클라이언트를 수정하여 Discord 사용자 토큰, 저장된 신용카드 정보를 훔치고 Discord 다이렉트 메시지를 통..

국내외 보안동향 2020. 6. 22. 14:30

Hackers use fake Windows error logs to hide malicious payload 해커들이 스크립트 기반 공격 기반을 마련하기 위해 악성 페이로드를 디코딩하도록 설계된 16진수 값으로 위장한 ASCII 문자를 저장할 목적으로 가짜 에러 로그를 사용하고 있는 것으로 나타났습니다. 이 트릭은 결국 정찰 목적 스크립트를 전달하게 되는 중간 단계 PowerShell 명령을 포함한 더욱 긴 체인의 일부입니다. 행간 읽기 Huntress Labs는 타깃 기기에서 지속성을 획득한 공격자가 공격 루틴을 수행하기 위한 특이한 트릭을 실행하는 공격 시나리오를 발견했습니다. 공격자가 이미 타깃 시스템에 접근해 지속성을 획득했을 경우, 응용 프로그램의 윈도우 에러 로그를 모방한 “a.chk” 파일..

국내외 보안동향 2020. 6. 22. 09:39

Unpatched vulnerability identified in 79 Netgear router models Netgear 라우터 모델 79개에서 해커가 원격으로 장치를 제어하도록 허용하는 심각한 보안 취약점이 발견되었습니다. 이 취약점은 사이버 보안 업체인 GRIMM의 Adam Nichols, 베트남 ISP 업체인 VNPT 직원인 보안 연구원 d4rkn3ss에서 단독으로 발견했습니다. Nichols는 이 취약점이 Netgear 라우터 79개 모델의 펌웨어 버전 758개에 영향을 미치며 일부 펌웨어 버전은 2007년부터 배포되기 시작했다고 설명했습니다. 또한 버그는 취약한 Netgear 라우터 펌웨어 내 패킹된 웹 서버 컴포넌트에 존재한다고 밝혔습니다. 이 웹 서버는 라우터에 내장된 관리 패널을 지원..

국내외 보안동향 2020. 6. 19. 14:30

Hijacked Oxford server used by hackers for Office 365 phishing 해커가 옥스퍼드의 이메일 서버를 탈취해 마이크로소프트 오피스 365 크리덴셜을 수집하는 피싱 캠페인에 사용되는 악성 이메일을 보내기 위해 악용하고 있는 것으로 나타났습니다. 타깃은 유럽, 아시아, 중동 지역입니다. 또한 해커는 Adobe 서버에서 호스팅된 도메인을 사용했습니다. 이 도메인은 삼성이 2018년 사이버 먼데이 이벤트에서 사용한 것입니다. 공격자는 옥스퍼드 대학, 어도비, 삼성과 같은 평판 높은 브랜드를 사용하여 피해자의 이메일 보안 필터를 우회하고 오피스 365 크리덴셜을 넘겨주도록 속였습니다. 이 캠페인을 발견한 Check Point 연구원은 아래와 같이 설명했습니다. “공격자는..

국내외 보안동향 2020. 6. 19. 08:45

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 06월 19일 새벽, 대한민국 청와대 보안 이메일 파일을 사칭한 APT(지능형지속위협) 공격용 악성파일 변종이 다수 발견되었습니다. 악성파일은 청와대 로고 이미지 아이콘을 가지고 있으며, 변종 악성코드에 따라 제작된 날짜(Time Stamp)가 조금씩 다릅니다. 가장 최근에 제작된 날짜는 한국시간(KST) 기준으로 2020년 06월 19일 12시 44분 47초 입니다. ESRC는 해당 악성파일을 긴급 분석한 결과 특정 정부와 연계된 것으로 알려진 이른바 '탈륨(Thallium) 또는 김수키(Kimsuky)' 조직의 '블루 에스티메이트' 위협 캠페인의 연장선으로 확인했습니다. '블루 에스티메이트' APT 캠페인은 지난 2019년 12..

악성코드 분석 리포트 2020. 6. 19. 08:21

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 스미싱을 통해 주로 유포되는 KRBanker 악성앱이 '간편 대출 이용안내' 키워드를 활용하여 꾸준하게 사용자들을 현혹시키고 있어 주의가 필요합니다. 스미싱 내용에는 실제 존재하는 금융기관의 이름을 활용하며, 사용자로 하여금 의심을 하지 않도록 스미싱 내 URL을 클릭 시, 실제처럼 꾸며진 가짜 은행 사이트로 접속하게 하여 공격자가 원하는 악성 앱을 사용자가 다운로드하도록 유도하고 있습니다. ■ KRBanker 스미싱 악성앱 상세 분석 은행을 사칭하는 스미싱 공격의 특징은 링크로 접속 시 은행의 대출 관련 내용으로 꾸며진 가짜 웹 페이지를 노출시킨다는 점입니다. 때마침 피해자가 대출에 관심이 있다면 악성앱을 다운로드해 설치하게 되며 공격자는 설치..

악성코드 분석 리포트 2020. 6. 18. 18:07