안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2019년 상반기 등장한 Clop랜섬웨어는 최근까지도 발견되고 있습니다. 이번에 발견된 악성코드는 내부 코드를 변화시켜 백신 탐지를 우회 시도합니다. [그림] 랜섬웨어 코드 중 일부 이 악성코드는 감염 PC의 파일과 연결되어 있는 네트워크 자원들을 암호화시켜 사용자에게 돈을 요구하는 랜섬웨어입니다. 공격자는 백신 삭제 코드를 추가함으로써 탐지 우회를 시도하며 지속적으로 변화를 하고 있는 악성코드입니다. 따라서 사용자는 이를 예방하기 위해 출처가 불분명한 이메일 첨부파일 실행을 지양하며 주기적인 백신 업데이트를 습관화하여야 합니다. 현재 알약에서는 해당 악성 코드를 ‘Trojan.Ransom.Clop’ 탐지 명으로 진단하고 있으며, 관련 상..

악성코드 분석 리포트 2020. 2. 17. 16:16

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 안드로이드의 웹 뷰 기능을 통해서 특정 성인 사이트를 로드합니다. 기기의 전화번호 정보를 수집하며 주소록, 통화목록, 문자 관련 개인 정보를 xml 파일로 저장하고 압축 후 C&C 서버로 탈취합니다. [그림] C&C로 탈취되는 정보 해당 악성 앱은 성인 앱으로 속이며 개인 및 기기와 관련된 다양한 정보를 탈취합니다. 따라서 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 악성 앱을 ..

악성코드 분석 리포트 2020. 1. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내 기업에 주문 리스트를 확인해달라는 내용의 메일로 ‘Trojan.PSW.AveMaria’(이하 ‘AveMaria’) 악성코드가 유포되고 있습니다. ‘AveMaria’는 메일에 첨부된 ‘New Order List.doc’ 악성 문서 파일에서 드롭되어 실행됩니다. [그림] 주문 리스트 확인 악성 메일 악성 문서 파일에서 실행되는 ‘AveMaria’는 명령 제어 기능을 수행합니다. C&C에서 공격자 명령에 따라 감염PC 정보 수집, 웹 브라우저 및 전자 메일 프로그램에 저장된 계정 정보 탈취, 키로깅 등의 다양한 악성 기능이 수행될 수 있어서 사용자들의 주의가 필요합니다. 현재 알약에서는 해당 악성 코드를 ‘Trojan.PSW.AveM..

악성코드 분석 리포트 2020. 1. 15. 14:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 하반기부터 스미싱이 급증하는 추세입니다. 그리고 급증하는 만큼 스미싱 악성 앱들의 종류도 다양해지고 있습니다. 그중에는 글로벌 하게 활동 중인 "xLoader"의 변종도 포함되어 있었습니다. 해당 악성 앱은 최근 업데이트되어 유포된 것으로 보이며 26개국의 언어를 지원하도록 제작되어있습니다. 그리고 배포 방법이 스미싱을 활용하는 것으로 변경되었습니다. ESRC에서 수집되는 택배 스미싱을 통해서도 악성 앱이 유입되고 있음을 확인하였습니다. [그림] 하드 코딩 된 26개국어 스트링 향후 스미싱이나 소셜네트워크를 유포방법으로 활용하는 악성 앱들이 더욱 증가할 것으로 예측됩니다. 이는 공격자 입장에서 공식 스토어나 웹사이트를 통한 유포 방법보다 ..

악성코드 분석 리포트 2019. 12. 20. 13:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱을 통한 악성 앱의 종류가 점점 더 다양해지고 있습니다. 해당 악성 앱은 택배 앱으로 속이고 있으며 기기 정보와 문자 정보를 탈취한 후 아이콘을 숨겨 사용자가 알아차리기 어렵게 하고 원격 명령을 통해서 감염 기기로 문자 전송도 가능합니다. 또한, 몇몇 앱들을 감시하는데 그 중 국내 은행 앱이 있으면 추가 다운로드한 악성 앱으로 바꿔치기하고 모바일 백신이 존재하면 해당 앱의 삭제를 유도합니다. [그림] 백신 삭제 유도 코드 중 일부 해당 악성 앱은 택배 앱으로 속입니다. 기기와 관련된 다양한 정보를 탈취하고 특정 앱을 바꿔치기하고 삭제를 유도합니다. 또한, 원격 명령을 통해서 문자 메시지 전송이 가능하며 앱의 분석을 어렵게 하도록 ji..

악성코드 분석 리포트 2019. 11. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 한국에 몸캠 피싱앱이 등장하기 시작한 2013년부터 최근까지 몸캠 피싱앱은 은밀하고 꾸준하게 유포되고 있습니다. 몸캠 피싱은 스마트폰 채팅 어플(랜덤채팅)을 통해 피해자를 찾으며 음란 화상 채팅을 유도하여 피해자의 음란 행위를 녹화합니다. 그리고 피해자의 스마트폰에 악성앱 설치를 유도하여 지인의 연락처를 탈취한 후 음란행위 영상을 지인에게 유포하겠다는 협박을 통해 금전을 갈취 합니다. 이런 공격 과정은 체계적인 프로세스를 따르는 것으로 파악 되며 공격을 원할 하게 수행할 수 있도록 조직을 체계적으로 구성하여 역할에 따라 공격을 수행하고 있습니다. 공격자들이 조직까지 구성하며 꾸준하게 몸캠 피싱을 시도하는 이유는 결국 돈이 되기 때문일 것입..

악성코드 분석 리포트 2019. 10. 22. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 URL을 통해서 유포되고 있는 악성 앱의 종류가 더욱더 다양해지고 있습니다. 해당 악성 앱은 유명 택배 앱으로 위장하여 사용자를 속입니다. 또한 분석을 어렵게 하기 위해서 암호화를 통해서 악성 행위와 관련된 코드를 숨기고 so 파일을 활용하여 복호화 합니다. 기기 모델, 전화 번호 등의 기기정보와 문자 관련 정보, 주소록 등의 개인 정보를 탈취하고 C&C서버를 통해 원격 명령을 보내 사용자 몰래 문자 메시지를 전송하고 C&C 주소도 변경할 수 있어 유의가 필요합니다. [그림] 수신 문자를 탈취하는 코드 일부 현재 알약M에서는 해당 악성 앱을“Trojan.Android.Agent”탐지 명으로 진단하고 있으며, 관련 상세 분석보고서는 T..

악성코드 분석 리포트 2019. 9. 20. 15:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 입사지원서를 위장한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의가 필요합니다. 악성 메일은 이력서와 포트폴리오를 위장하여 사용자에게 악성코드를 유포합니다. 주된 악성행위로 정보 탈취를 수행하고 소디노키비 랜섬웨어를 다운로드 합니다. 수집되는 정보로는 브라우저 기록 정보, 시스템 정보 등이 있습니다. 또한 가상화폐 지갑 수집 대상에 있어 사용자에게 2차 피해를 입힐 수 있습니다. 따라서, 기업 담당자들은 출처가 불분명한 이메일 첨부파일 실행을 지양하여야 하며 사용중인 백신 업데이트의 최신화와 정기점검을 습관화 하여야 합니다. [그림 1] ‘입사지원서'로 위장한 악성 메일 [그림 2] 시스템 정보 수집 코드 일부 현..

악성코드 분석 리포트 2019. 9. 20. 13:52