안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내에 견적 송장 확인 메일로 ‘Spyware.Infostealer.Azorult’(이하 Azorult)가 유포되고 있습니다. 공격자는 아래의 메일을 통해 사용자에게 첨부된 ‘PI.001’ 압축 파일 실행을 유도합니다. ‘PI.001’ 안에는 ‘PI.exe 실행 파일이 있고, 이를 실행하게 되면 사용자 정보를 탈취하는 Azorult 악성코드에 감염됩니다. [그림] 이메일 화면 ‘Spyware.Infostealer.Azorult’는 C&C에 사용자 PC 정보로 생성한 감염 ID를 전송한 후 공격자의 명령에 따라 브라우저 사용자 정보, 히스토리 정보, 암호화폐 지갑 정보, FTP, Mail, 메신저 정보 등 사용자의 다양한 정보를 탈취하..

악성코드 분석 리포트 2020. 7. 16. 09:00

Joker Android malware keeps evading Google Play Store defenses Joker 안드로이드 악성코드가 또다시 구글의 공식 안드로이드 앱스토어인 플레이 스토어에 침투하는데 성공했습니다. Joker 악성코드는 Bread라고도 알려진 스파이웨어이자 유료 번호 다이얼 툴로 이 악성코드에 감염된 애플리케이션은 초기에는 SMS 사기를 목적으로 설계되었습니다. 하지만 Joker의 제작자들은 최근 구글이 SEND_SMS 권한 사용을 제한하고 구글 플레이 프로텍트의 적용 범위를 늘리는 정책을 도입한 이후로 새로운 전략을 사용하기 시작했습니다. 이 안드로이드 트로이목마의 업데이트된 버전은 요금 사기(toll fraud)로 알려진 모바일 결제 사기에 이용되는 것으로 나타났습니다. ..

국내외 보안동향 2020. 7. 10. 14:00

Over 100 New Chrome Browser Extensions Caught Spying On Users 구글이 최근 크롬 웹 스토어에서 석유와 가스, 금융, 의료부문을 노리는 “대규모 글로벌 감시 캠페인”의 일부로 불법적으로 사용자 민감 데이터를 수집한 확장 프로그램 106개 이상을 제거했습니다. 지난주 이를 발견한 Awake Security는 악성 브라우저 애드온이 모두 인터넷 등록 업체인 GalComm과 연결되어 있다고 밝혔습니다. 하지만 이 스파이웨어의 운영자가 누구인지는 명확히 밝혀지지 않았습니다. 이 캠페인과 구글 확장 프로그램은 피해자 기기의 스크린샷 촬영, 악성코드 로드, 클립보드 읽기, 토큰 및 사용자 입력 수집과 같은 작업을 수행했습니다. 이 문제의 확장 프로그램은 파일 포맷 변환..

국내외 보안동향 2020. 6. 23. 14:30

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 “코로나”라는 한글 앱 명을 사용하며 위치 및 카메라 관련 파일을 탈취하고 원격명령을 통해서 추가 악성 행위를 합니다. 특히, 앱의 이름과 수정 날짜를 보면 현재 이슈인 코로나를 이용하여 악성 행위를 하고자 했음을 알 수 있습니다. [그림] 바로 숨겨지는 아이콘과 앱의 수정 날짜 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Spyware.Android.Agent’탐지 명으..

악성코드 분석 리포트 2020. 3. 18. 09:00

New Malware Uses Windows BITS Service to Stealthy Exfiltrate Data 사이버 보안 연구원들이 정부 지원을 받는 사이버 간첩 그룹인 Stealth Falcon과 관련된 새로운 컴퓨터 바이러스를 발견했습니다. 이 악성코드는 탈취한 데이터를 공격자가 제어하는 서버로 은밀히 추출해 내기 위해 마이크로소프트 윈도우의 내장 컴포넌트를 악용합니다. 2012년부터 활동해온 Stealth Falcon은 주로 중동의 언론인, 활동가, 반체제 운동가들을 노려 스파이웨어를 설치하는 것으로 알려진 수준 높은 해킹 그룹입니다. Win32/StealthFalcon이라 명명된 이 악성코드는 원격 C&C 서버와 통신하고 BITS(Windows Background Intelligent T..

국내외 보안동향 2019. 9. 10. 11:00

'Legit Apps Turned into Spyware' Targeting Android Users in Middle East 사이버 보안 연구원들이 2016년부터 활성화되어 왔으며 2018년 8월 처음 발표된 안드로이드 악성 캠페인에 대해 경고했습니다. 카스퍼스키의 연구원들이 "ViceLeaker"라 명명한 이 캠페인은 사용자가 알지 못하는 사이에 사용자 정보를 탈취합니다. 이 악성코드는 전화 기록, 문자 메시지, 사진, 비디오, 위치 데이터 등의 정보를 탈취하도록 설계되었으며, 이스라엘 및 기타 중동 국가들을 노리고 있는 것으로 나타났습니다. 일반적인 스파이 기능 외에도 파일 업로드/다운로드/삭제, 음성 녹음, 카메라 탈취, 특정 번호로 전화 걸기 또는 문자 보내기 등을 포함한 백도어 기능을 갖추고..

국내외 보안동향 2019. 6. 27. 13:49

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 6월 18일) 후지코리아를 사칭한 견적 피싱메일이 유포된 정황이 확인돼, 사용자들의 각별한 주의가 필요합니다. 악성 피싱메일 유포자는 마치 후지 코리아 직원인 것처럼 사칭하여 견적 의뢰 관련 메일을 유포하였습니다. [그림 1] 후지코리아 견적 의뢰서를 사칭한 피싱메일 공격자는 피싱 메일에 대용량 파일을 첨부하였으며, 사용자가 해당 파일을 견적 의뢰서로 착각해 파일을 클릭할 경우, 악성 파일이 다운됩니다. 악성 파일은 %temp%경로 아래에 \msngdvfadxa\ 이름으로 폴더를 생성한 후 msngdvfadxa.vbs 파일과 자가 복제된 msngdvfadxa.exe 파일을 드롭합니다. [그림 2] msngdvfadxa.vbs 코..

악성코드 분석 리포트 2019. 6. 18. 16:59

Sophisticated 'TajMahal APT Framework' Remained Undetected for 5 Years 사이버 보안 전문가들이 최소 5년 동안 운영되어 왔지만 최근까지 발견되지 않은 매우 정교한 스파이웨어 프레임워크를 공개했습니다. 카스퍼스키 연구원들이 타지마할(TajMahal)이라 명명한 이 APT 프레임워크는 첨단 기술이 추가된 모듈형 악성코드 툴킷입니다. 이 툴킷은 간첩 작전을 위한 악성 플러그인 다수를 지원할 뿐만 아니라 이전에는 볼 수 없었던 기묘한 트릭을 사용합니다. 카스퍼스키는 이 프레임워크를 타지마할이라 명명한 이유는 공개하지 않았습니다. 연구원들은 작년 말, 소속 국가나 위치가 알려지지 않은 해커가 중앙아시아 국가에 속한 외교 기관의 컴퓨터를 염탐할 때, 타지마할 ..

국내외 보안동향 2019. 4. 15. 09:39