Trojan.Agent.SnsBot 봇넷 계열의 악성코드들은 일반적으로 감염 후 C&C 서버와 통신하여 감염된 PC의 정보를 전달하거나, 추가적인 악성코드를 실행하는 등 추가적인 동작을 수행합니다. 때문에 보통 해당 C&C 서버를 차단하여 감염된 PC에서의 추가적인 행동을 하지 못하게 합니다. 공격자들은 이러한 단점을 최소화하기 위하여 일반적인 탈취된 서버들을 사용해왔는데, 최근에는 SNS 등을 통해 특정 명령 또는 감염된 PC의 정보를 암호화하여 글을 게시하며 C&C 서버 차단을 우회하고 있는 방식을 활발히 사용하고 있습니다. 악성코드 상세 분석 악성코드 분석 우회 악성코드 “Trojan.Agent.SnsBot”은 악성 기능 동작 전에 현재 PC 환경이 악성코드 분석 환경인지를 확인하기 위해 3가지 기..

악성코드 분석 리포트 2016. 12. 26. 11:34

2016년 글로벌/지역별 가장 성행한 악성코드 정리H1 2016 GLOBAL AND REGIONAL TRENDS OF THE 'MOST WANTED' MALWARE 글로벌 트렌드 ※ 랜섬웨어: 새로운 시대의 시작 2016년은 랜섬웨어의 전성기로 기록될 것입니다. 관련 공격들의 횟수, 다양성, 효용성 및 복잡도가 증가함에 따라, 랜섬웨어는 지난 몇 달 동안 뉴스란을 끊임없이 장식해 왔습니다. 범죄자들은 그 규모에 상관 없이, 모든 사용자와 조직을 공격하고 있습니다. 이를 위해 가능한 모든 타입의 공격 벡터를 사용해 랜섬웨어를 제작하고 변조합니다. ※ 익스플로잇 키트계에 혼란 일어나 공격자는 악성코드를 배포하기 위해서 익스플로잇 키트를 사용합니다. 걱정스러울 정도로 높은 성공률을 가진 이 키트들은 사용자의 ..

국내외 보안동향 2016. 11. 29. 13:40

전 세계 기기를 감염시키는 새로운 IoT 악성코드, Linux/IRCTelnet 발견New IoT Botnet Malware Discovered; Infecting More Devices Worldwide MalwareMustDie가 대규모 DDoS 공격을 실행하기 위한 봇넷으로 둔갑시키는 새로운 악성코드를 발견했습니다. Linux/IRCTelnet이라 명명된 이 악성코드는 Mirai 악성코드와 같이 C++로 작성되었습니다. 또한 취약한 리눅스 기반의 IoT 기기를 감염시키기 위해 하드코딩된 디폴트 패스워드를 사용합니다. IRCTelnet 악성코드는 기기의 텔넷 포트를 브루트포싱해 OS를 감염시키고, 이를 IRC를 통해 제어되는 봇넷 네트워크에 추가시키는 방식으로 동작합니다. 따라서 모든 감염된 봇(Io..

국내외 보안동향 2016. 11. 4. 14:55

세계에서 가장 큰 규모의 DDoS 공격에 사용된 IoT 봇넷 소스코드, 온라인에 공개돼Source Code for IoT botnet responsible for World's largest DDoS Attack released Online 최근 프랑스의 호스팅 제공자인 OVH가 1Tbps 이상 규모의 DDoS 공격을 받았습니다. (▶관련 포스팅 보기) 이 공격은 감염된 IoT 기기로 이루어진 봇넷을 통해 실행되었습니다. 이러한 공격들은 더욱 빠르게 증가할 것으로 보입니다. 누군가가 이 세계에서 가장 큰 규모의 DDoS 공격을 실행하는데 사용된 것으로 ‘보이는’ IoT 봇넷의 소스코드를 공개했기 때문입니다. Mirai(미라이)라 명명된 이 악성코드는 라우터와 같은 내장형 기기들을 위해 특별히 설계된 Un..

국내외 보안동향 2016. 10. 5. 10:14

1Tbps! OVH, 역사상 가장 큰 규모의 DDoS 공격 받아OVH hosting hit by 1Tbps DDoS attack, the largest one ever seen OVH는 호스팅 서비스를 제공하는 프랑스 기업 중 하나로, 16개 국가에서 약 70만명이 넘는 사용자에게 서비스를 제공하고 있습니다. OVH는 세계 3위의 호스팅 기업입니다. 이렇듯 세계적인 기업 OVH가 초당 1Tb의 대규모 DDoS 공격을 받았습니다. 이번 대규모 DDoS 공격은 지난주에 발생했습니다. 공격 직후, OVH의 대표 Octave Klaba는 Twitter에 한 장의 캡쳐 이미지를 업로드했습니다. 해당 이미지를 통해 OVH의 여러 서버들이 동시에 1Tbps가 넘는 크기의 DDoS 공격을 받은 것을 확인할 수 있었습니..

국내외 보안동향 2016. 9. 27. 15:02

트위터 계정으로 제어되는 안드로이드 봇넷 발견Botnet of Android Devices Controlled via Twitter Accounts ESET 연구원들이 감염된 안드로이드 기기에 트위터를 통해 제어 메시지를 전송하여 이를 제어하는 최초 봇넷을 발견했습니다. 해당 봇넷은 안드로이드 스마트폰과 태블릿을 Twitoor 악성코드에 감염시킵니다. Twitoor 악성코드는 스팸 메시지나 비공식 앱스토어의 앱을 통해 배포되는 백도어 트로이목마입니다. ESET은 해당 트로이목마가 MMS 뷰어와 성인 컨텐츠 플레이어로 위장한 앱 내에 숨어있다고 밝혔습니다. 위장 앱은 아무런 기능도 제공하지 않으며, 사용자가 이를 설치하면 곧바로 그들의 존재를 숨깁니다. 이후 Twitoor 트로이목마는 새로운 명령을 받는 ..

국내외 보안동향 2016. 8. 26. 13:56

SoakSoak 봇넷, Neutrino 익스플로잇 키트와 CryptXXX 랜섬웨어 배포해SOAKSOAK BOTNET PUSHING NEUTRINO EXPLOIT KIT AND CRYPTXXX RANSOMWARE 해킹된 기업 웹사이트들을 통해 CryptXXX 랜섬웨어가 배포되고 있습니다. 웹사이트들은 Neutrino 익스플로잇 키트로 연결되도록 조작되어 있습니다. Invincea가 발행한 보고서에 따르면, 공격자들은 Revslider 슬라이드쇼 플러그인을 사용하는 워드프레스 웹사이트들을 노리고 있습니다. Invincea의 보안 연구 부문 디렉터인 Pat Belcher는 해당 공격은 2014년부터 시작됐으며, 웹사이트의 취약점을 자동으로 스캔하는 것으로 알려진 SoakSoak 봇넷이 공격의 배후에 있다고 밝..

국내외 보안동향 2016. 7. 25. 14:57

러시아 해커조직 Lurk와 Angler,Necurs 봇넷의 관계 지난 5월, 러시아에서 해커조직 Lurk가 체포된 후, Angler Exploit Kit의 활동이 중단되었습니다. 러시아 정부는 4,500만 달러를 탈취한 해커조직을 검거하였으며, 그 조직의 인원수는 50명에 달했습니다. 이들의 이름은 Lurk로, 2011년부터 활동했습니다. Lurk는 몇몇 조직과 사용자들을 타겟으로 사이버 공격을 진행하였으며, 약 1년반 전 공격대상을 은행으로 변경했습니다. 이들은 은행, 금융기관 및 기업들로부터 4,500만 달러가가 넘는 금액을 탈취했습니다. 그런데 이 해커조직이 체포된 후, Angler의 업데이트가 갑자기 중단되고 소리소문없이 사라졌습니다. 1주일 후, Necurs 봇넷 역시 활동을 중단했으나, 3주 ..

국내외 보안동향 2016. 7. 15. 13:08