안녕하세요? 이스트시큐리티입니다. 올해 초 외국에서 스팸 메일과 익스플로잇 킷을 통해 ‘Trojan.Ransom.GandCrab’(이하 GandCrab 랜섬웨어)이 처음 등장하였으며, 최근 국내에서도 GandCrab 변종들이 다수 발견되고 있습니다. GandCrab 랜섬웨어는 파일 암호화 기능을 수행하며, 암호화된 파일 뒤에 ‘.CRAB’ 확장자를 추가하는 점이 특징입니다. 따라서 본 보고서에서는 GandCrab 랜섬웨어를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 중복 실행 방지중복 실행 방지를 위해 뮤텍스 값을 ‘Global\pc_group=(소속 그룹)&ransom_id=(사용자 ID)’으로 생성합니다. 만일 동일한 프로세스가 실행 중인 경우 종료합니다. pc_group과 ransom_id ..

악성코드 분석 리포트 2018. 5. 23. 09:55

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 국내 가상화폐 커뮤니티 및 사이트 게시판에서 외국 가상화폐 사용 설명서 글로 위장된 게시물로 악성코드를 유포하려는 정황이 포착되어 주의를 당부 드립니다. 공격자는 악성코드가 유포되는 사이트 주소와 함께 해외 코인거래소의 재정거래, 마진거래 등에 대한 설명과이용방법이 소개된 게시물을 작성하였습니다. 이를 통해 가상 화폐 거래에 관심 많은 이들을 현혹하려는 것으로 보여집니다.[그림 1] 커뮤니티에 올라온 가상화폐 설명서 게시물 만일 사용자가 호기심에 게시물에 표기된 주소로 접속할 경우, 가상 화폐 거래소 화면과 함께 취약점이 포함된 스크립트가 은밀히 실행됩니다. [그림 2] 가상화페 거래소로 위장한 화면 마치 가상화폐 거래소 화면처럼 교묘하게..

악성코드 분석 리포트 2018. 4. 23. 10:57

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 국내 이용자를 대상으로 악성 메일을 통해 클립보드에 복사된 가상화폐 지갑 주소를 공격자의 지갑 주소로 바꿔치기하는 악성코드가 유포되고 있어 주의를 당부 드립니다. 이번에 발견된 악성 메일은 '서류를 확인하다' 제목으로 첨부 파일 실행을 유도합니다. [그림 1] 악성 메일 화면 첨부파일 'Mou & Invoice Files.zip'에는 IBRD(국제부흥개발은행)의 구제금융 관련 내용이 담긴 'International Bank for Reconstructure and Development(IBRD).pdf'과 'BTC file.exe' 악성코드가 있습니다. [그림 2] 악성 메일에 첨부된 파일 만일 이용자가 호기심이나 메일 제목에 현혹되어 '..

악성코드 분석 리포트 2018. 4. 17. 13:55

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 이번에는 제트캐시를 요구 하는 랜섬웨어가 발견되어 사용자들의 주의를 당부 드립니다. 해당 타나토스 랜섬웨어는 0.1 제트 캐시 (현재 시세: 한화 26,700원)을 요구하는 특징을 가지고 있습니다. 이 공격 그룹은 이전에는 비트코인 캐시를 요구하기도 하였습니다. [그림 1] 랜섬노트 화면 기존 지갑 주소 현재 지갑 주소 BTC: 1HvEZ1jZ7BWgBYPxqCvWtKja3a9hsNa9EhETH: 0x92420e4D96E5A2EbC617f1225E92cA82E24B03efBCH: qzuexhcqmkzcdazq6jjk69hkhgnme25c35s9tamz6f ZEC: t1JBenujX2WsYEZnzxSJDsQBzDquMCf8kbZ 기존 사용한 이메..

악성코드 분석 리포트 2018. 3. 26. 16:23

Trojanized BitTorrent Software Update Hijacked 400,000 PCs Last Week 지난 주 대규모 악성코드 배포 사건으로 인해 약 50만대의 컴퓨터들이 단 몇 시간 안에 가상화폐 마이닝 악성코드에 감염 되었습니다. 이는 인기있는 BitTorrent 클라이언트인 MediaGet의 백도어가 포함 된 버전 때문이었던 것으로 밝혀졌습니다. Dofoil(Smoke Loader라고도 알려짐)이라 명명 된 이 악성코드는 감염 된 윈도우 컴퓨터에 피해자의 CPU 사이클을 이용해 공격자의 일렉트로니움 디지털 코인을 채굴하는 가상화폐 마이닝 프로그램을 페이로드로써 드롭하는 것으로 나타났습니다. (Dofoil에 대한 자세한 내용은 3월 7일 MS 보고서에 포함 되어 있습니다.) 지난..

국내외 보안동향 2018. 3. 15. 15:01

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 해외 사용자 PC에서 가상 화폐 지갑 정보와 다양한 브라우저 로그인 정보를 유출하는 악성코드가 유포되고 있어 국내 사용자의 주의를 당부 드립니다. 이 악성코드는 [그림1]과 같이 사용자 PC에 있는 가상 화폐의 종류를 확인합니다.(비트 코인을 포함한 총 9개의 가상 화폐 - 비트코인, 라이트코인, 이더리움, 모네로, 스팀 등) 이는 국내에서도 인기있는 지갑 정보와 사용자 정보 탈취를 목적으로 보여집니다. [그림1] 가상 화폐 종류 확인 코드 가상 화폐 지갑 정보 외에 사용자의 브라우저를 확인하여 시스템 상에 저장된 로그인 ID/PW 정보와 쿠키 정보도 탈취합니다. 이렇게 유출된 정보는 추후 또 다른 보안 위협에 노출될 가능성이 존재합니다...

악성코드 분석 리포트 2018. 2. 23. 17:41

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2018년 02월 01일 한국의 특정 국회의원실에서 배포하는 자료로 사칭한 스피어 피싱(Spear Phishing) 공격이 발생했습니다. 주요 공격 대상자는 가상화폐 거래소를 활용하는 이용자입니다. ▶ 오퍼레이션 아라비안 나이트 공격그룹 글로벌 활동 확대 ▶ 문서파일 취약점을 활용한 파일리스(Fileless) 악성코드의 스텔스 위협 ▶ 3.20 공격 조직의 최신 오퍼레이션 '코인 매니저 (Coin Manager)' ▶ 문서파일 취약점 공격과 한국 가상화폐 거래자 대상 공격간의 연관성 분석 ▶ [주의] 가상화폐 거래 관계자를 대상으로 한 스피어피싱 지속 ▶ 비트코인 관련 내용으로 진행 중인 스피어피싱 공격 주의 발신자는 마치 국회에서 작성한 대외..

악성코드 분석 리포트 2018. 2. 5. 13:15

세계 최대 스팸봇넷인 Necurs가 최근 스팸메일 발송 방식을 이용하여 Swisscoin 가상화폐를 유포하는 것을 확인하였습니다. 이 봇넷은 주식추천에 관련된 대량의 스팸메일을 보내어 사용자들의 클릭을 유도하며, 이러한 방식을 보안연구원들은 pump-and-dump라고 부릅니다. 이 용어는 금융업계에서 사용하는 언어로, 스팸메일 발송자들이 특정 주식을 낮은 가격에 매수해 놓고, 해당 주식과 관련된 스팸메일을 대량으로 발송하여 주식의 가격이 상승하면 매도함으로서 차익을 얻는 방법을 뜻합니다. Necurs 봇넷은 수백만대의 좀비 PC로 이루어져 있을 것으로 추정되며, 이 봇넷은 몇년 동안 줄곧 "pump-and-dump"활동을 진행해 왔습니다. 하지만, 이 밖에도 Necurs는 Dridex 악성코드나 기타 ..

국내외 보안동향 2018. 2. 1. 09:30