안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 등록되지 않은 IP에서 로그인 된 정황이 발견되어, 로그인 시도 활동 및 안전한 이메일을 확인하기 위해 클릭하라는 악성 메일이 유포되고 있어 사용자들의 주의가 필요합니다. 특히 이번 메일은 매스 메일링(Mass-Mailing)기법을 사용하여 약 85명의 불특정 다수에게 메일이 전달 되었습니다. [그림1] 로그인 확인으로 위장 된 이메일 화면 사용자가 비정상적인 로그인 시도를 체크하기 위해 본문에 기재 된 링크를 클릭 시 아래의 주소에서 압축파일을 다운로드 받게 됩니다.파일 다운로드 주소 : https://www.dropbox.com/s/***************/unusual_logins_to_mail_accounts.zip?dl=1 [..

악성코드 분석 리포트 2019. 6. 4. 16:59

Europeans Hit with Multi-Stage Malware Loader via Signed Malspam 지난 몇 달 동안 JasperLoader라는 다단계 악성코드 로더의 도움을 받아 GootKit(Talalpek 또는 Xswkit) 뱅킹 트로이목마를 배포하는 악성 스팸 캠페인이 발견되었습니다. 이 로더는 시스코 탈로스(Cisco Talos)의 연구 팀이 2018년 7월 이후 발견한 세 번째 로더입니다. 이 로더는 작년에 랜섬웨어 및 가상화폐 마이너 페이로드를 드랍하는데 사용한 Smoke Loader(=Dofoli)와 함께 발견되었습니다. 또 다른 다단계 악성 로더인 Brushaloader는 2019년 초 발견되었는데, 해킹된 시스템에서 탐지되지 않기 위해 PowerShell 스크립트와 같은..

국내외 보안동향 2019. 4. 30. 11:04

Hackers target financial firms hosting malicious payloads on Google Cloud Storage Menlo Labs의 연구원들이 구글 클라우드 스토리지를 악용해 은행 및 금융 서비스 회사의 직원들을 노리는 악성 이메일 캠페인을 발견했습니다. 이 캠페인은 미국과 영국의 조직들을 노리며, 공격자들은 페이로드를 전달하기 위해 구글 클라우드 스토리지를 악용해오고 있었습니다. 이 스팸 캠페인에 사용 된 메시지에는 .zip 또는 .gz 파일과 같은 압축 파일로 연결 되는 링크가 포함되어 있었습니다. 공격자들은 타겟이 이 악성 링크를 클릭하도록 속이려 시도했습니다. 또한 이들은 악성 페이로드를 구글 클라우드 스토리지 서비스와 관련 된 storage.googleapis..

국내외 보안동향 2018. 12. 27. 16:18

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 영수증이나 배송관련 메일로 위장하여 유포되고 있는 피싱 메일들이 끊임없이 발견되고 있는 가운데, 최근 독특한 스타일의 피싱메일이 발견되었습니다. ※ 관련글 보기 ▶ 계정 보안으로 위장한 국내 포털 피싱 메일 주의!!▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의▶ 해외 배송장으로 위장한 국내 포털 피싱 메일 주의!!▶ 매크로를 이용한 송장 관련 악성 메일 유포 주의▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 피싱 메일은 영수증 메일을 위장하고 있습니다. 해당 ..

악성코드 분석 리포트 2018. 12. 12. 14:26

メールで届く「wizファイル」に注意 - マクロ有効化でマルウェア感染のおそれも 일본 IPA는 'wiz' 확장자를 가진 파일을 이용한 공격 방법에 대해 주의를 당부하였습니다. wiz 파일을 이용한 공격은 워드 파일과 마찬가지로 매크로를 악용하는 공격 방식으로, .wiz 파일은 일반적으로 워드와 연결되어 있기 때문에 사용자가 더블 클릭을 할 경우 office의 '제한된 보기'를 통해 열리게 됩니다. 그렇기 때문에 일반적으로는 위험하지 않지만, 만약 사용자가 파일을 실행한 후 제한된보기를 해제하게 되면 악성 매크로가 동작하면서 악성코드에 감염될 가능성이 높아지게 됩니다. 이미 IPA는 이 파일이 첨부파일을 통해 유포되고 있는 사실을 확인하였습니다. 악성 이메일에 첨부되어있는 악성코드는 다운로더로, 실행되면 추가로 ..

국내외 보안동향 2018. 10. 30. 16:09

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 견적서 관련 내용의 악성 메일이 또 다시 발견되었습니다. 이번에 발견된 악성 메일들은 다양한 형태로 작성되어 유포되었으나, 내용은 모두 견적서 메일로 위장하고 있습니다. [그림 1] 다양한 형태의 견적서 악성메일 첨부되어 있는 zip 혹은 ace 파일에는 악성 exe 파일들이 포함되어 있으며, 일부의 경우 doc 파일들도 포함되어 있습니다. [그림 2] 악성메일에 포함된 첨부파일 악성 메일들의 내용이나 첨부 파일들의 형태는 각기 달랐지만, 실제 분석해본 결과 C&C 정보와 드롭되는 파일 이름만 다른 동일한 코드임이 확인되었습니다. 사용자가 자세한 정보를 열람하기 위해 악성 파일들을 실행할 경우, %TEMP% 경로에 특정 이름의 폴더를 생성하고,..

악성코드 분석 리포트 2018. 10. 30. 14:47

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 견적서 요청 내용의 악성 메일이 지속적으로 발견되어 사용자들의 주의가 필요합니다. 유사한 내용의 악성메일은 올해 3월부터 꾸준히 발견되고 있습니다. ※ 관련글 보기 ▶ 악성코드가 첨부된 무역 관련 악성 메일 주의 ▶ 상품 구매를 희망하는 내용의 악성 메일 주의 ▶ 상품 관련 내용으로 유포되는 악성 메일 주의 ▶ ‘견적 의뢰’ 제목의 악성 메일 주의 ▶ 제품 견적서 확인 내용으로 위장한 악성 메일 주의 ▶ ACE 압축 파일이 첨부된 악성 메일 주의 ▶ ‘견적 의뢰’ 제목의 악성 메일 주의 이번에 발견된 악성메일은 견적서 관련 내용으로 유포중에 있으며, 특이한 점은, 이전의 악성메일들과 다르게 수신회사의 도메인 주소를 메일 본문에 첨부해 놓았습니다..

악성코드 분석 리포트 2018. 10. 18. 09:41

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 최근 한국어로 번역된 것으로 보이는 전신 송금 확인 메일이 국내에 유입된 정황이 확인되어 주의를 당부드립니다. 이번에 발견된 악성 메일은 전신 송금을 확인하라는 내용으로 첨부된 파일의 실행을 유도합니다. [그림 1] 악성 메일 본문 악성 메일에 첨부된 파일 '주문.rar'에는 'purchase order.exe' 실행 파일이 있습니다. [그림 2] 악성 메일에 첨부된 '주문.rar 파일 'purchase order.exe' 파일은 %APPDATA% 경로에 'tmp.exe' 파일을 드롭 및 실행합니다. [그림 3] tmp.exe 파일 드롭 및 실행 코드 드롭되어 실행되는 'tmp.exe' 파일은 프로세스 인젝션 이후, 정보 탈취 기능을 수행합니..

악성코드 분석 리포트 2018. 3. 6. 18:07