■ 기업 거래내역서로 위장한 APT 공격 배경 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 2018년 08월 10일경 마치 특정 기업의 거래내역 엑셀문서처럼 위장한 악성코드가 스피어피싱(Spear Phishing) 기법으로 유포된 정황이 포착되었습니다. ESRC는 공격에 활용된 자료들을 조사 중에 몇 가지 흥미로운 단서를 발견했습니다. 공격자는 자신의 신분을 숨기기 위해 마치 한국의 특정 포털사처럼 유사한 정보를 사용했으며, 세무회계 사무소 담당자로 위장했습니다. 또한, 한국에서 주로 이용되는 압축 프로그램을 이용했고, 엑셀(Excel) 문서처럼 보이게 하기 위해 2중 확장자 기법을 활용했습니다. [그림 1] 공격 벡터 흐름도 ■ 공격 절..

악성코드 분석 리포트 2018. 8. 14. 15:55

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2018년 02월 01일 한국의 특정 국회의원실에서 배포하는 자료로 사칭한 스피어 피싱(Spear Phishing) 공격이 발생했습니다. 주요 공격 대상자는 가상화폐 거래소를 활용하는 이용자입니다. ▶ 오퍼레이션 아라비안 나이트 공격그룹 글로벌 활동 확대 ▶ 문서파일 취약점을 활용한 파일리스(Fileless) 악성코드의 스텔스 위협 ▶ 3.20 공격 조직의 최신 오퍼레이션 '코인 매니저 (Coin Manager)' ▶ 문서파일 취약점 공격과 한국 가상화폐 거래자 대상 공격간의 연관성 분석 ▶ [주의] 가상화폐 거래 관계자를 대상으로 한 스피어피싱 지속 ▶ 비트코인 관련 내용으로 진행 중인 스피어피싱 공격 주의 발신자는 마치 국회에서 작성한 대외..

악성코드 분석 리포트 2018. 2. 5. 13:15

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2016년 12월 부터 한국에 다수 유포된 '비너스 락커(Venus Locker)' 랜섬웨어 공격자는 2017년 11월 말부터 가상화폐 모네로(Monero/XMR) 채굴 기능의 악성 파일을 지속적으로 유포하고 있습니다. ▶ [주의] 가상화폐 채굴 공격으로 귀환한 비너스락커 랜섬웨어 제작자 ▶ 국가 기관 및 기업 대상으로 랜섬웨어 다량 유포돼… 관계자 주의 필요 ▶ 확장자 숨겨 악성파일 열어보게 만드는 메일 유포… 고소장, 방 예약 문의 등으로 위장해 랜섬웨어 감염 ▶ 교육 일정표 위장한 ‘한국 맞춤형’ 비너스락커 랜섬웨어 변종 국내 유포 중! ▶ ‘이젠 유명 단체 사칭에 한국어 상담까지’… 한국 맞춤형 랜섬웨어 피해 확산 중 ▶ 쇼핑몰에서 유출..

악성코드 분석 리포트 2018. 1. 15. 16:48

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2018년 01월 08일 새벽 시간대 금융관련 내용으로 스피어피싱(Spear Phishing) 표적공격이 진행되었습니다. ▶ 문서파일 취약점을 활용한 파일리스(Fileless) 악성코드의 스텔스 위협 ▶ 사망한 아이돌 가수 마지막 영상과 유서로 위장한 악성 프로그램 등장 ▶ 문서파일 취약점 공격과 한국 가상화폐 거래자 대상 공격간의 연관성 분석 ▶ 연말 채용 구인 공고 내용으로 위장한 가상화폐 채굴 감염 공격 주의 ▶ [주의] 가상화폐 채굴 공격으로 귀환한 비너스락커 랜섬웨어 제작자 공격자는 한메일 서비스를 이용했으며, '바젤3 관련자료' 등으로 위장한 이메일 제목을 사용했습니다. ※ (참고사항) 바젤3 란? 바젤3(Basel 3)이란 스위스 ..

악성코드 분석 리포트 2018. 1. 8. 15:41

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 며칠 전 국내 특정 기관에서 공지한 '북한 2018년 신년사 분석' 내용으로 사칭한 HWP 취약점 기반 악성파일이 발견되었습니다. 수년 전부터 유사한 형태의 스피어 피싱(Spear Phishing) 추정 공격이 지속적으로 발견되고 있으므로, 이용자분들의 각별한 주의가 요망됩니다. [그림 1] 북한 2018년 신년사 분석으로 위장한 악성파일 실행 화면 해당 문서파일 포맷 내부에는 밀봉형 포스트스크립트(Encapsulated PostScript)인 'BIN0004.eps' 데이터가 포함되어 있습니다. 기본적으로 HWP 문서파일은 zlib 공개 압축 라이브러리를 사용하고 있는데, 압축된 부분을 해제하면 아래 비교화면과 같이 내부의 코드를 확인할 수 ..

악성코드 분석 리포트 2018. 1. 4. 17:09

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 특정 기업의 채용 구인 공고를 보고 연락한 내용처럼 위장한 해킹(스피어 피싱) 이메일이 국내에서 여럿 발견되고 있어 채용 및 구직관련 담당자 분들의 각별한 보안 주의가 필요합니다. ESRC에서는 이 공격자들이 기존 비너스락커 조직과는 다른 그룹으로 분류하고 있습니다. 보통 비너스락커 공격 그룹은 'EGG' 압축포맷을 주로 사용하는 반면, 이 공격자들은 'ALZ' 압축포맷을 활용하는 점이 다르며, 한국내 조직으로 분류되어 추적을 이어가고 있습니다. 한편, 공격자 추적을 위해 수사당국과도 긴밀하게 협력하고 있습니다. 공격자는 한글로 작성한 이메일에 마치 구직자 이름의 채용서류 파일처럼 만든 악성파일을 압축해 첨부하고 있습니다. [그림 1] 채..

악성코드 분석 리포트 2017. 12. 11. 14:04

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 비트코인 등을 거래할 수 있는 특정 암호화폐 거래소 관계자를 대상으로 한 다양한 사이버범죄 시도가 꾸준히 발견되고 있습니다. ▶ 국내 비트코인 거래소 출금알림 이메일로 사칭한 피싱사기 주의보 ▶ 비트코인 관련 내용으로 진행 중인 스피어피싱 공격 주의 ▶ 문서파일 취약점 공격과 한국 가상화폐 거래자 대상 공격간의 연관성 분석 이런 가운데 마치 정상적인 채용관련 문의와 입사 지원을 사칭한 스피어 피싱(Spear Phishing) 공격이 추가로 발견되고 있어 관계자 분들의 각별한 주의를 당부드립니다. [그림 1] 입사 지원서 메일로 위장한 스피어 피싱 공격 화면 공격자는 한메일 서비스를 이용하였으며, 수신자 역시 한메일을 쓰는 이용자 입니다. 수신자..

악성코드 분석 리포트 2017. 12. 4. 10:13

2012년부터, 해외의 해커조직으로 부터 중국의 정부기관, 연구기관, 해양관련 기관, 항공기업 등 중요 기업들이 조직적이고 계획적인 공격을 받았습니다. 그리고 이 공격조직을 Ocean Lotus라 명명하였습니다. 이 조직은 스피어피싱, 워터링공격 등의 방법과 여러가지 사회공학적 기법을 통하여 공격을 시도하였으며,중국의 공격 대상자들에게 특정 악성코드를 유포하여 일부 정부부처의 사람들을 몰래 모니터링하였을 뿐만 아니라, 아웃소싱 업체 및 업계 전문가들의 컴퓨터 시스템에서 관련자료 및 기밀문서들을 탈취하였습니다. 현재까지 수집된 OceanLotus의 악성코드 샘플은 100여개가 넘으며, 감염자 분포는 중국 내 29개 성 및 행정구역이며, 중국 외 지역은 36개 국으로 확인되었습니다. 악성코드 감염자 중 92..

국내외 보안동향 2017. 11. 10. 13:23