안녕하세요. 이스트시큐리티입니다. 과거 다양한 변종으로 전세계에 악명을 떨친 ‘Trojan.Ransom.LockyCrypt(이하 Locky 랜섬웨어)’가 다시 등장하였습니다. 이 Locky 랜섬웨어는 파일 암호화 간 ‘diablo6’ 확장자로 변경하는 점이 특징입니다. 본 분석 보고서에서는 Locky 랜섬웨어를 상세 분석 하고자 합니다. 이번 Locky 랜섬웨어는 불특정 다수를 대상으로 한 스팸 메일에서 유포되었습니다. 메일은 ‘Files attached. Thanks’, 즉 ‘파일을 첨부하였다. 고맙다’의 내용을 담고 있습니다. 이는 메일을 받은 이들의 호기심을 자극하여 첨부된 파일을 실행하도록 하는 의도로 보여집니다. 첨부된 압축 파일 안에 있는 ‘E 2017-08-09 (672).vbs‘는 Lock..

악성코드 분석 리포트 2017. 9. 22. 13:14

안녕하세요. 이스트시큐리티입니다. 한국인이 제작한 것으로 추정되는 '직소 랜섬웨어 변종'이 악성파일이 발견되어, 주의가 필요합니다. ▲ 한글로 작성된 안내문 직소 랜섬웨어는 전 세계적으로 잘 알려진 공포 영화 ‘쏘우(Saw)’에 등장했던 광대 마스크 ‘빌리 더 퍼펫’ 이미지를 보여주고, 일정 시간이 지날 때마다 암호화된 일부 파일을 삭제해 사용자가 비트코인을 지불하도록 공포감을 조성하는 특징을 가지고 있습니다. 이스트시큐리티 시큐리티대응센터(이하 ESRC)가 발견한 이번 랜섬웨어 변종은 광대 마스크 이미지 노출을 제외한 대부분의 특성이 기존 직소 랜섬웨어와 흡사한 것으로 나타났습니다. ESRC에 따르면 이번 랜섬웨어에 감염되면 영화 쏘우의 범인이 TV를 통해 문장을 보여주며 인질을 협박했던 장면과 유사하..

이스트시큐리티 소식 2017. 7. 20. 13:51

Trojan.Android.FakeApp Trojan.Android.FakeApp 악성 앱은 알약 안드로이드와 카카오 사이트를 사칭하는 형태로 유포되고 있었습니다. PC에서 PC 웹 브라우져로 해당 URL을 접속할 경우 정상적인 카카오 사이트로 리다이렉트하지만, 아래 그림과 같이 공격 대상인 모바일을 타깃으로 모바일 웹 브라우져의 User-Agent가 확인된 경우에는 웹 브라우져 오류인 것처럼 사용자를 속여 해당 악성 앱 설치를 유도합니다. [그림 1] 사용자에게 악성 앱 설치 유도를 위한 경고 창 본 악성 앱은 실행 시 앱의 아이콘을 숨기고 서비스 형태로 악의적인 행위를 수행하며, 감염된 기기의 사용자 개인정보, 기기정보들을 탈취하는 행위를 합니다. 이번 분석 보고서는 알약 안드로이드 사칭 앱에 대한 ..

악성코드 분석 리포트 2017. 1. 20. 10:13

Trojan.Agent.SnsBot 봇넷 계열의 악성코드들은 일반적으로 감염 후 C&C 서버와 통신하여 감염된 PC의 정보를 전달하거나, 추가적인 악성코드를 실행하는 등 추가적인 동작을 수행합니다. 때문에 보통 해당 C&C 서버를 차단하여 감염된 PC에서의 추가적인 행동을 하지 못하게 합니다. 공격자들은 이러한 단점을 최소화하기 위하여 일반적인 탈취된 서버들을 사용해왔는데, 최근에는 SNS 등을 통해 특정 명령 또는 감염된 PC의 정보를 암호화하여 글을 게시하며 C&C 서버 차단을 우회하고 있는 방식을 활발히 사용하고 있습니다. 악성코드 상세 분석 악성코드 분석 우회 악성코드 “Trojan.Agent.SnsBot”은 악성 기능 동작 전에 현재 PC 환경이 악성코드 분석 환경인지를 확인하기 위해 3가지 기..

악성코드 분석 리포트 2016. 12. 26. 11:34

가짜 보안 프로그램의 역습, 불법 소프트웨어 주의보 최근 다수 토렌트(Torrent) 공유 서비스를 통해 “강력한 파일 보안 프로그램 ROS Power Lock 4.0” 타이틀로 위장한 RAT(Remote Administration Tool)유형의 악성 파일이 지속적으로 유포되고 있습니다. 사용자들의 각별한 주의를 당부 드립니다. 악성 파일은 마치 스웨덴 국가기관 보안을 담당하는 기업의 보급용 보안 프로그램처럼 사칭하고 있습니다. 또한 한글을 이용해 쉬운 설치를 유도하고, 정식 등록 키가 포함된 것처럼 속여 토렌트 서비스 사용자들을 교묘하게 현혹하고 있습니다. 공격자는 사용자들이 해당 파일을 더욱 신뢰하도록 ‘설치 시 보안 등급 설정’ 등의 내용을 추가시키는 한편, 실제 프로그램 배포 패키지처럼 보이기 ..

악성코드 분석 리포트 2016. 12. 22. 15:55

Trojan.Agent.Ripper 지난 2016년 7월, 대만 특정 지역의 대만제일은행 20여개 지점 내 41개 ATM기기가 해커의 공격을 받아 8327만 대만 달러의 피해가 발생했습니다. 현재 해당 사건은 해결이 된 상태로, 범인 검거 및 피해금액 환수를 대부분 마쳤습니다. 공격의 대상이 된 ATM기기는 XFS구조를 기반으로 한 기기로 관리가 상대적으로 미흡한 낙후된 기기였음이 드러났습니다. XFS(eXtensions for Financial Services)는 90년대 초반 CD/ATM에 Microsoft windows 운영체제가 도입된 이후 금융기관, Microsoft, CD/ATM 제조사들에 의해 표준으로 개발 및 지정되었습니다. 따라서 일반적인 Windows 운영체제에서 사용되는 시스템이 아닌..

악성코드 분석 리포트 2016. 11. 9. 15:01

Trojan.Ransom.Hitler 최근 히틀러의 사진을 이용하여 캐시 코드를 요구하는 랜섬웨어가 발견되었습니다. 히틀러라는 악명 높은 인물을 이용하여 감염된 사용자의 심리를 자극하기 위한 것으로 보이지만, 실제 분석결과 엉성한 구성으로 아직 초기 개발단계의 악성코드임을 확인 할 수 있었습니다. [그림 1] 히틀러 랜섬웨어 설치 시 화면 아직까지 국내에는 확산이 이루어지지 않았고 캐시 코드를 지불할 수 있는 방법도 쉽지 않아 큰 이슈가 되고 있지 않지만, 다른 랜섬웨어와 같이 고도화 및 감염 루트의 다양화를 통해 파급력을 키울 가능성도 분명 존재합니다.이번 분석보고서에서는 스스로를 히틀러 랜섬웨어라고 명명한 악성코드의 특징과 예방 방법에 대해 알아보도록 하겠습니다. 악성파일 분석 흐름도 히틀러 랜섬웨어..

악성코드 분석 리포트 2016. 10. 7. 15:35

Trojan.Android.AndroRat.pokemongo, Trojan.Android.SmsReg [그림 1] 포켓몬 Go 어플리케이션 화면 최근 증강 현실 모바일 게임인 "포켓몬 Go"가 세계적으로 선풍적인 인기를 얻고 있습니다. 포켓몬 Go는 구글에서 제공하는 지도를 이용하여 플레이가 가능한 가운데, 국내에서는 구글 지도의 사용이 불가능 하기 때문에 플레이를 할 수 없습니다.하지만 국내 일부 지역에서 포켓몬 Go를 플레이를 할 수 있다는 사실이 알려지자 사용자들은 비공식 사이트들을 통해 APK를 다운로드 받아 설치하게 되었고, 이를 악용한 APK 악성 파일들이 유포되고 있습니다. 이번 분석보고서에서는 포켓몬 Go를 사칭한 악성 어플리케이션들의 종류와 예방 방법에 대해 알아보도록 하겠습니다. 악성파..

악성코드 분석 리포트 2016. 9. 1. 10:52