Multi-Factor Auth Bypassed in Office 365 and G Suite IMAP Attacks 다단계 인증(MFA, Multi-factor Authentication)으로 보호된 마이크로소프트 Office 365와 G Suite 계정이 대규모 IMAP 기반 패스워드 스프레이(Password Spray) 공격을 통해 해킹된 것으로 나타났습니다. 이 해킹 기술은 기본 인증 IMAP(Internet Message Access Protocol) 프로토콜이 다단계 인증을 우회한다는 것을 악용했습니다. ※ IMAP(Internet Message Access Protocol)란? IMAP는 인터넷 메시지 접속 프로토콜로서 이메일 서버에서 이메일을 받아올 때 사용하는데, 서버에 저장된 이메일을 ..

국내외 보안동향 2019. 3. 15. 15:59

시리즈③ 알약 랜섬웨어 차단, 그 4년간의 기록 안녕하세요? 이스트시큐리티입니다. 앞선 시리즈 포스팅에서 소개해드린 바와 같이, 지난 2015년 이스트시큐리티 알약은 국내 최초 랜섬웨어 차단 기술을 적용한 백신으로 거듭났습니다. 그리고 그 이후로 수많은 랜섬웨어를 차단하며 그 역할을 톡톡히 해내고 있는데요! 그렇다면, 이번 포스팅에서는 알약 랜섬웨어 차단 기능의 과거와 현재! 그 4년간의 기록을 알아보도록 하겠습니다. 2015년 : 랜섬웨어 공격 급증과 알약 랜섬웨어 차단 기능의 탄생 알약 랜섬웨어 차단 설정화면 및 공격 시도 차단 알림 2015년 12월, 이스트시큐리티는 급증하는 랜섬웨어 공격으로부터 사용자 PC를 보호하고자 알약에 랜섬웨어 차단 기능 추가했습니다. 해당 기능은 [알약-환경설정-고급 설..

안전한 PC&모바일 세상/PC&모바일 TIP 2019. 3. 15. 14:07

SimBad Adware Found in 210 Android Apps With Over 150M Installs 구글이 총 1.5억 회 이상 설치된 안드로이드 앱 210개를 제거했습니다. 공격자들은 이 앱들을 통해 기기에서 광고를 표시하고, 앱을 설치하고, 기기가 시작되면 웹사이트를 팝업 했습니다. 이 모든 앱들은 악성 소프트웨어 개발 키트인 “RXDrioder”를 사용하여 공격자들이 안드로이드 기기가 부팅 되거나 사용자가 화면을 잠금 해제할 때 광고를 표시하고 URL을 오픈하도록 만들었습니다. 앱 개발자들이 의도적으로 이 악성 라이브러리를 활용한 것인지, 아니면 공격자들에게 속아서 사용하게 되었는지는 아직까지 밝혀지지 않았습니다. Check Point의 보고서에 따르면, 이 악성 앱들은 Snow He..

국내외 보안동향 2019. 3. 15. 09:16

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 3월 13일 오후경부터 한국은행을 사칭한 악성 이메일이 갠드크랩(GandCrab) v5.2를 유포중인 것으로 확인되어 주의가 필요합니다. 이번 이메일은 한국어로 작성된 것뿐만 아니라, 마치 중국어처럼 보이는 한문표기가 포함된 형태도 발견되었는데, 중국어 표기법에는 맞지 않는 의미없는 표기로 확인이 되었습니다. 그리고 발신자 명에 'Min Gap Ryong' 문구가 포함되어 있는 특징이 있습니다. [그림1] 한국은행을 위장한 악성 이메일 한글 버전 [그림2] 한국은행을 위장한 의미없는 문자의 악성 이메일 지난 2월 27일 한국은행을 사칭한 악성 이메일 역시 갠드크랩 랜섬웨어가 첨부된 압축 파일을 포함하고 있었습니다. ※ 관련글 보기 ▶..

악성코드 분석 리포트 2019. 3. 14. 11:48

Chinese IT Services Giant Harvests Contacts, Tracks Users 중국의 거대 IT 기업 Hangzhou Shunwang Technology에서는 중국의 주요 서드파티 스토어에서 다운 가능한 안드로이드 앱 십여 개를 관리하고 있는데, 이 앱들에서 데이터 탈취 컴포넌트를 발견했습니다. 이 컴포넌트는 사용자 핸드폰의 연락처, 위치, QQ 메신저 로그인 정보를 수집하는 것으로 나타났습니다. ※ QQ 메신저란? 중국에서 사용하는 메신저 프로그램으로 탄센트 홀딩스 리미티드가 제작, 배포 중인 소프트웨어 데이터를 탈취하는 코드는 무해해 보이는 앱들의 데이터 분석 SDK에 숨어있었습니다. 이는 폰이 재부팅 되거나 감염된 앱이 시작될 때마다 데이터를 긁어모아 정보를 전달했습니다. ..

국내외 보안동향 2019. 3. 14. 10:00

Malware Spreads As a Worm, Uses Cryptojacking Module to Mine for Monero 웜의 기능을 갖춘 모듈형 악성코드가 한 서버에서 다른 서버로 확산되고 모네로 가상화폐를 채굴하기 위해 ElasticSearch, Hadoop, Redis, Spring, Weblogic, ThinkPHP, SqlServer를 실행하는 서버의 알려진 취약점을 악용하는 것으로 나타났습니다. PsMiner라는 이름의 이 악성 코드의 웜 모듈인 systemctl.exe는 Go 언어로 작성된 윈도우 바이너리로 인터넷에서 찾을 수 있는 취약한 서버를 해킹하여 침투하는데 사용될 수 있는 익스플로잇 모듈을 포함하고 있습니다. 이 외에도 PsMiner 웜 모듈은 타깃이 취약하거나 디폴트 인증 ..

국내외 보안동향 2019. 3. 13. 14:02

STOP Ransomware Installing Password Stealing Trojans on Victims STOP 랜섬웨어 패밀리가 피해자의 파일을 암호화하는 것 외에도 피해자의 계정 인증정보, 가상 화폐 지갑, 데스크탑 파일 등을 훔치기 위해 Azorult 패스워드 탈취 트로이목마를 설치하기 시작한 것으로 나타났습니다. Azorult 트로이목마는 브라우저 및 파일에 저장된 계정, 패스워드, 가상 화폐 지갑, 스팀 크리덴셜, 브라우저 히스토리, 스카이프 메시지 등을 훔치는 역할을 합니다. 훔친 정보는 공격자가 제어하는 원격 서버로 업로드됩니다. STOP 랜섬웨어의 DJVU 변종은 지난 1월 가짜 소프트웨어 크랙을 통해 배포되었습니다. 당시 이 악성코드가 실행될 때 피해자의 컴퓨터에서 여러 작업을..

국내외 보안동향 2019. 3. 12. 13:52

Severe Flaw Disclosed In StackStorm DevOps Automation Software 보안 연구원들이 인기 있는 이벤트 자동화 오픈소스 플랫폼인 StackStorm에서 개발자들이 알지 못하는 사이 원격 공격자들이 타겟 서비스에서 임의 명령을 실행하도록 속일 수 있는 심각한 취약점을 발견했습니다. StackStorm는 DevOps IFTTT로 알려져 있는데, 강력한 자동화 툴로 개발자들이 대규모 서버에서 작업을 수행하기 위한 행위, 워크플로우, 예약 작업 등을 구성할 수 있도록 서비스와 툴을 통합 및 자동화하는데 사용합니다. ※ IFTTT(If This Then That)란? 인터넷과 컴퓨터에 존재하는 여러 별개의 서비스와 어플들을 임의로 연동시켜주는 서비스로, IFTTT가 지원..

국내외 보안동향 2019. 3. 12. 09:49