4월 21일, 익명의 해커가 Weblogic 역직렬화 취약점을 이용하여 중국 기업의 서버들에 Greystars 랜섬웨어를 감염시켰으며, 서버 중의 중요 문서를 암호화 한 후 0.08비트코인을 요구하였습니다. 현재까지 이미 백여대가 넘는 서버들이 해당 공격에 영향을 받은 것으로 확인되었습니다. "파일리스" 공격방식을 이용, 공격 페이로드는 Gist에 호스팅 Greystars 랜섬웨어는 최근 몇년 동안의 공격에서 줄곧 "파일리스" 공격방식을 사용하였습니다. 이번 공격 역시 파일리스 공격 방식을 이용하였습니다. 해커는 Weblogic 역직렬화 취약점을 이용하여 서버를 공격하고, Gist에 호스팅 되어있던 첫번째 페이로드를 감염 시킨 서버로 내려받고 실행시킵니다. 첫번째 페이로드는 Gist에 업로드 되어있는 악..

국내외 보안동향 2018. 4. 27. 15:40

[4월 넷째주] 알약 스미싱 알림 본 포스트는 알약M 사용자 분들이 '신고하기' 기능을 통해 알약으로 신고해 주신 스미싱 내역 중 '특이 문자'를 자체 수집, 집계하여 제공해 드리는 정보성 포스트입니다. 특이 문자 No.문자 내용 1 [Web발신] 민원확인2 [Web발신] [CJ대한통운]안석호4월23일 택배 안됨배송 주소오류 변경요망 출처 : 알약M기간 : 2018년 4월 21일 ~ 4월 27일

안전한 PC&모바일 세상/스미싱 알림 2018. 4. 27. 10:19

Nintendo Switches Hacked to Run Linux—Unpatchable Exploit Released 서로 다른 보안 연구원들이 Nvidia의 Tegra의 임베디드 프로세서 제품군에서 패치할 수 없는 취약점을 발견해 실제로 동작 하는 PoC 익스플로잇을 공개했습니다. 해당 취약점은 현재 출시 된 모든 닌텐도 스위치 콘솔에 포함 되어 있습니다. Fusée Gelée 및 ShofEL2라 명명 된 이 익스플로잇은 콜드 부트 실행 해킹으로 이어질 수 있습니다. 이로써 기기 소유자들은 닌텐도 스위치 콘솔에 리눅스를 설치하고, 비공식 게임 및 커스텀 펌웨어를 실행하고, 다른 서명 되지 않은 코드를 실행할 수 있게 됩니다. 이는 일반적으로 불가능한 일입니다. 익스플로잇들은 모두 읽기 전용 부트 명령..

국내외 보안동향 2018. 4. 26. 14:01

■ 한국 맞춤형 표적공격 '작전명 스타 크루저(Operation Star Cruiser)' 배경 이스트시큐리티(ESTsecurity)의 CTI 전문 조직인 시큐리티대응센터(이하 ESRC)는 정부 차원의 후원을 받는 것으로 추정되는 공격자(State-sponsored Actor)가 수행한 최신 지능형지속위협(APT) 캠페인을 발견했습니다. 이 캠페인은 현재 한국 대상의 고도화된 위협 중 가장 왕성하게 활동하고 있으며, ESRC에서는 이들이 '금성121(Geumseong121) 위협그룹'과 직·간접적으로 연계된 APT 조직인 라자루스(Lazarus) 그룹으로 판단하고 있습니다. 이른바 '작전명 스타 크루저(Operation Star Cruiser)'로 명명된 이번 캠페인은 HWP 문서파일 취약점을 사용했는데..

악성코드 분석 리포트 2018. 4. 26. 00:31

지난 월요일, 보안 연구원들은 Trickbot에 추가된 화면잠금 기능이 랜섬웨어 활동을 수행하기 위해 제작된 것이 아니라고 밝혔습니다. 올해 3월 말, 다수의 보안 기업과 연구원들이 Trickbot에서 화면잠금 컴포넌트가 추가된 것을 처음 발견했습니다. 발견 당시 많은 연구원들이 Trickbot 제작자가 화면잠금 컴포넌트를 추가한 이유에 대해서 뱅킹 악성코드와 랜섬웨어를 결합한 이중 공격 형태로 변형시키기 위한 것이라고 분석했었습니다. 비록 파일 암호화 작업에 대한 지원이 없었지만, 초기에 발견된 버전이었기 때문이라고 짐작했습니다. 하지만 몇 주가 지나도록 새로운 버전은 더 이상 나오지 않았습니다. 비밀번호 탈취를 위해 사용되는 화면잠금 모듈 보안 연구원들은 화면잠금 기능이 추가된 버전의 공격이 나오지 ..

국내외 보안동향 2018. 4. 25. 18:21

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 제품 견적서 확인 내용으로 위장한 악성 메일이 국내에 유포되는 정황이 포착되어 주의를 당부드립니다. ※ 관련글 보기 ▶ 국내에 유입된 전신 송금 확인 악성 메일 주의 이번에 발견된 악성 메일은 모델과 시리얼 넘버(S/N) 내용의 제품 견적을 참고하라는 내용을 담고 있으며, 첨부 파일 실행을 유도합니다. [그림 1] 제품 견적 내용을 담고 있는 악성 메일 메일에 첨부된 파일 '(기업명) (PJT) 20120152RMH063.HRQ3_455 28E WITH 400 SETS.zip', '(기업명) CATALOGUE.ace'에는 모두 동일하게 '_outputD876E0.exe' PE 파일이 있습니다. [그림 2] 악성 메일에 첨부된 파일 만일 이..

악성코드 분석 리포트 2018. 4. 25. 11:36

안녕하세요? 이스트시큐리티입니다. 2018년 1분기에 '알약 랜섬웨어 행위기반 차단 기능'을 통해 차단된 랜섬웨어 공격 건수는 총 331,042건이었습니다. 이를 환산하면 최소 월 평균 110,348 건의 랜섬웨어 공격이 감지되었으며, 하루 평균 3,679건의 공격이 발생했다고 할 수 있습니다. 특히, 해당 통계는 알약 공개용 사용자 대상으로만 집계된 행위기반 차단 수치이므로 패턴기반 공격까지 포함하면 실제 랜섬웨어 공격 수는 훨씬 높을 것으로 예상됩니다. 2017년 4분기에 비트코인을 위시한 암호화폐가 시장에서 큰 관심을 받고 전세계적으로 그 가치가 폭등했습니다. 이에 따라 암호화폐 채굴을 노린 CoinMiner(코인마이너) 류의 악성코드의 유포가 증가하면서 랜섬웨어의 유포 건 수가 기존에 비해 소폭 ..

전문가 기고 2018. 4. 24. 14:38

Hackers Behind Healthcare Espionage Infect X-Ray and MRI Machines 보안 연구원들이 의료 기관들 및 관련 분야를 타겟으로 기업 간첩 행위를 수행하는 새로운 해킹 그룹을 발견했습니다. “Orangeworm”이라 명명 된 이 해킹 그룹은 X-Ray, MRI 등 첨단 이미징 기기를 제어하는 소프트웨어를 호스팅하는 기기 및 환자가 동의 양식을 작성하는데 사용 되는 기기들에 웜 트로이 목마를 설치하는 것으로 나타났습니다. 연구원들에 따르면, Orangeworm 해킹 그룹은 2015년 초부터 활동해왔으며 미국, 유럽, 아시아에 위치한 주요 국제 기업의 시스템들을 노려왔으며, 주로 의료 분야에 집중하고 있습니다. 연구원들은 “Orangeworm은 그들이 노리는 의료 ..

국내외 보안동향 2018. 4. 24. 14:30