Google removes 17 Joker -infected apps from the Play Store Zscaler의 보안 연구원들이 플레이스토어에서 Joker(Bread) 악성코드에 감염된 앱 17개를 발견했습니다. Joker 악성코드는 시스템 앱으로 위장하고 있었으며 공격자가 구글 플레이 프로텍트 서비스를 비활성화 하고, 악성 앱을 설치하고, 가짜 리뷰를 생성하고, 광고를 노출하는 등 다양한 악성 작업을 수행할 수 있습니다. 또한 이 스파이웨어는 SMS 메시지, 연락처, 기기 정보를 훔치고 유료 서비스에 가입하는 것도 가능합니다. 지난 10월, 구글은 플레이스토어에서 Joker 악성코드에 감염된 앱 24개를 제거했습니다. 이 앱은 모두 472,000회 설치되었습니다. 지난 1월, 구글은 3년 동안..

국내외 보안동향 2020. 9. 28. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 사이버 검찰청 사칭 스미싱을 통해서 유포되었으며 SO 파일을 이용하여 C2를 암호화하고 숨깁니다. 구글 플레이스토어와 비슷한 아이콘을 이용해서 사용자를 속이며 기기 정보와 문자 메시지 관련 정보를 탈취합니다. 앱 명은 ‘App Stare’를 사용하며 아이콘은 구글 플레이스토어를 사칭합니다. 앱 실행 시 초기화 단계에서 SO 파일을 로드하며 기기 부팅 시 재시작되도록 설정돼 있습니다. [그림] 앱 아이콘 해당 악성 앱은 사이버 검찰청을 사칭한 스미싱으로 유포됐습니다. SO 파일을 이용하여 C2를 숨기고 있으며 기기 정보와 문자 정보를 탈취합니다. 따라서, 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검..

악성코드 분석 리포트 2020. 9. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 브라우저, Messenger 등의 애플리케이션에 사용되는 Credential 정보, 암호 화폐 지갑 정보, 실행 화면, 웹캠, 클립보드 등 사용자 PC에서 정보를 유출하는 ‘RezoStealer’ 인포스틸러가 발견되어 사용자들의 주의가 필요합니다.[그림] 감염 PC 정보 탈취 코드 중 일부 ‘RezoStealer’는 사용자 PC에서 Credential 정보를 탈취하여 C&C로 전송하는 악성코드입니다. 특징적으로 주목할 만한 기능에는 암호화폐 지갑과 함께 PC에 연결된 USB와 바탕화면 경로에 있는 파일을 수집하는 기능이 있다. 수집하는 파일 확장자 목록에는 ‘.cs’, ‘.sln’ 등이 포함되어 있어, 애플리케이션 제작 소스가 유출될 가능..

악성코드 분석 리포트 2020. 9. 15. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 통칭 ‘WastedLocker’라 불리는 랜섬웨어는 기업을 대상으로 공격이 이루어지는 것으로 알려져 있습니다. 실제 지난달 7월 말 스마트워치와 웨어러블 기기 제조사인 가민(Gamin)이 랜섬웨어 공격을 받아 서비스 일부를 중단된 사례가 있습니다. 또한 이 랜섬웨어를 제작한 그룹은 뛰어난 기술력을 소유한 ‘Evil Corp’ 또는 ‘TA505’로 해킹 그룹의 소행으로 알려져 있습니다. [그림] 이메일 화면 이 악성코드는 로컬에 존재하는 파일을 암호화시켜 감염자에게 파일 복호화를 대가로 돈을 받는 랜섬웨어의 한 종류입니다. 파라미터를 통하여 기능을 구별하여 실행하고 NTFS의 ADS(Alternate Data Stream)을 이용하여 악성코..

악성코드 분석 리포트 2020. 8. 18. 09:00

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 한동안 해외에서만 발견되고, 국내 보고가 소강상태 였던 일명 '이모텟(Emotet)' 악성파일이 7월 말 현재 다시 국내에 유입되고 있어 이용자 분들의 각별한 주의가 필요합니다. 주로 이메일의 첨부 파일과 본문의 URL 링크 클릭 방식으로 감염을 유도하고 있습니다. 알약 블로그에선 지난 1월 말 ▲'사용자 데이터 탈취 협박 메일로 유포중인 Emotet 악성코드 주의!', ▲'특정 통신사업자를 사칭한 피싱 메일로 Emotet 악성코드 유포중!' 등의 내용을 공개한 바 있습니다. 이번에 새롭게 발견된 유형도 기존이랑 큰 차이는 없습니다만, 이메일 본문 내용이 계속 변화되고 있으므로 조금이라도 의심스러운 이메일은 가급적 접근하지 않는 것이 바람직 ..

악성코드 분석 리포트 2020. 7. 22. 23:08

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 스미싱을 통해서 꾸준히 유포되는 종류 중 하나로 기존 악성 앱은 암호화를 통해서 덱스 파일을 숨겼다면, 해당 악성 앱은 kiwi패커를 이용하여 덱스 파일을 숨겼습니다. 언팩된 덱스 파일의 악성 행위는 이전 버전과 비슷하지만, 코드가 조금 더 정교해졌고 수집한 정보는 웹 소켓을 이용하여 탈취합니다. 택배 앱을 사칭하며 다수의 기기 정보와 녹음, 주소록, 문자 등의 개인정보를 탈취하고 원격으로 기기를 조종하여 문자 메시지를 전송합니다. [그림] 메시지 앱 변경 요구 팝업 해당 악성 앱은 전형적인 택배 스미싱으로 유포됐으며 C2와의 통신을 이용하여 기기 정보와 녹음, 주소록, 문자 정보 등을 탈취하고 탈취한 개인정보를 이용하여 ..

악성코드 분석 리포트 2020. 7. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 국내에 견적 송장 확인 메일로 ‘Spyware.Infostealer.Azorult’(이하 Azorult)가 유포되고 있습니다. 공격자는 아래의 메일을 통해 사용자에게 첨부된 ‘PI.001’ 압축 파일 실행을 유도합니다. ‘PI.001’ 안에는 ‘PI.exe 실행 파일이 있고, 이를 실행하게 되면 사용자 정보를 탈취하는 Azorult 악성코드에 감염됩니다. [그림] 이메일 화면 ‘Spyware.Infostealer.Azorult’는 C&C에 사용자 PC 정보로 생성한 감염 ID를 전송한 후 공격자의 명령에 따라 브라우저 사용자 정보, 히스토리 정보, 암호화폐 지갑 정보, FTP, Mail, 메신저 정보 등 사용자의 다양한 정보를 탈취하..

악성코드 분석 리포트 2020. 7. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 공격은 공격자들이 가장 애용하는 모바일 기기 공격 기법일 것입니다. 더불어 코로나19의 창궐로 인한 언택트의 확산으로 급증한 택배 문자가 공격자들에게는 좋은 공격 방법이 되었습니다. 코로나19 사태 초기의 스미싱 공격은 코로나19 관련 이슈가 주를 이루었지만 강력한 사회적 거리 두기의 시행에 따라 택배 문자가 급증하게 되자 공격자들도 이에 편승하여 택배를 사칭하는 스미싱 공격을 시도하고 있습니다. [그림] 악성 앱 설치 및 실행 화면 사용자가 스미싱 공격을 통해 악성 앱을 설치하게 되면 개인 정보가 탈취되고 연락처에 존재하는 지인들에게도 스미싱 공격 문자가 전달되는 피해를 입을 수도 있습니다. 따라서 피해를 입기 전 예방하는 것이 ..

악성코드 분석 리포트 2020. 6. 17. 09:00