안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 연말정산 시즌을 겨냥한 홈택스 사칭 악성 메일을 통해 국내에 GandCrab랜섬웨어가 유포되고 있어 사용자 주의를 당부 드립니다. ※ 관련글 보기 ▶ 또 다시 등장한 비너스락커 위협조직, 2018 연말정산 시즌 겨냥!▶ 비너스락커 조직 ‘바로가기’ 파일(LNK) 변경하여 유포 중인 갠드크랩 랜섬웨어 주의▶ 이미지를 드롭하는 갠드크랩(GandCrab) 5.0.4 발견! 이번에 발견된 연말정산 사칭 악성 메일은 기존에 발견된 ‘연말 정산’ 사칭 악성 메일과 동일한 내용을 가지고 있으며, 첨부 파일의 실행을 유도합니다. 특징적으로 이전에 유포된 ‘연말정산’ 사칭 악성 메일과 비교했을 때, ‘벌써 2018년도의 한해를 마무리하는 12월도 절반을 ..

악성코드 분석 리포트 2018. 12. 27. 17:04

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 악성 파일 아이콘이 “터키” 국기 모양을 하고있는 ‘법원 명령’ 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글보기 ▶ 또 다시 등장한 비너스락커 위협조직, 2018 연말정산 시즌 겨냥!▶ 독특한 스타일의 피싱 메일 주의!▶ 암호를 입력해야만 작동하는 악성 매크로 파일 주의!▶ 악성 매크로가 포함된 수수료 관련 악성 메일 주의! 이번에 발견된 악성 메일은 법원 명령에 관련된 내용으로 첨부 파일의 실행을 유도합니다. [그림 1] 수신된 메일 첨부 파일 ‘S12FG803.zip’ 에는 실행 파일인 ‘S12FG803.exe’ 파일이 담겨져 있습니다. [그림 2] 첨부된 ‘S12FG803.zip’ 파일 특이하게도 악성 파일의 ..

악성코드 분석 리포트 2018. 12. 18. 16:26

안녕하세요? 이스트시큐리티입니다. 기존 스미싱을 통해서 유포되던 악성 앱들이 진화하고 있습니다. 과거에는 주로 “모바일 청첩장”을 사칭했었지만 최근에는 “무료 모바일 동영상”을 사칭합니다. 또한 그 기능도 과거에는 단순한 정보 탈취였다면, 최근에는 원격 조종 및 추가 다운로드를 통해서 더욱더 복잡하고 다양한 악성행위를 합니다. 특히, 해당 앱은 분석 및 백신의 탐지를 어렵게 하기 위해서 악성 파일을 암호화하여 숨겼다가 복호화한 후 동적 로딩을 통해서 악성 행위를 합니다. 본 분석 보고서에서는 'Trojan.Android. Zitmo'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 앱 특징백신의 탐지를 피하고 분석에 어려움을 주기 위해서 실제 악성 행위를 하는 “classes.dex”파일은 XOR 연..

악성코드 분석 리포트 2018. 12. 14. 08:30

안녕하세요? 이스트시큐리티입니다. 최근 Facebook 아이콘으로 위장한 랜섬웨어가 등장해 사용자의 각별한 주의가 필요합니다. Facebook 악성코드는 히든티어(Hidden Tear) 오픈소스를 기반으로 제작된 랜섬웨어로, 사용자의 중요 파일을 암호화 한 뒤 ‘.Facebook’ 확장자를 추가합니다. 공격자는 이를 복호화해주는 대가로 0.29 비트코인을 요구하며 금전적인 이득을 목적으로 하고 있습니다. 본 보고서에서는 Facebook으로 위장한 랜섬웨어 행위와 이를 예방하기 위한 방법을 알아보고자 합니다. 악성코드 상세 분석 이번에 발견된 Facebook 랜섬웨어는 다음과 같이 실제 Facebook 아이콘을 사용합니다. 또한 파일 속성에 Facebook Official이라는 설명을 사용하면서 정상 파일..

악성코드 분석 리포트 2018. 12. 13. 21:21

암호를 입력해야만 작동하는 악성 매크로가 국내에 다수 유포되고 있어 사용자들의 주의가 필요합니다. 사용자가 악성 매크로가 포함된 DOC 파일을 클릭하면, 암호를 입력하라는 창이 뜹니다. [그림 1] 암호 입력 창 이스트시큐리티에서는 샘플만 수집하였기 때문에 아직 어떠한 형태로 유포되는지는 정확하게 확인되지 않았지만, 이메일을 통해 유포될 것으로 추정되며 암호는 이메일 내용에 포함되어 있을 것으로 추측됩니다. 해당 파일에 암호를 건 이유는 스팸 솔루션을 우회하려고 시도한 것이 아닌가 추측됩니다. 사용자가 암호를 입력하면 아래와 같이 워드파일의 본문 내용이 보여지며 매크로를 실행하라는 문구를 보여줍니다. [그림 2] 매크로 실행을 유도하는 DOC 파일 만약 사용자가 [콘텐츠 사용]을 클릭하면 워드 파일에 포..

악성코드 분석 리포트 2018. 12. 11. 11:26

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 갠드크랩 랜섬웨어가 이번에는 내부 ‘바로가기’ 파일(LNK)을 새로 변경하여 유포되고 있어 사용자들의 각별한 주의가 필요합니다. ※ 관련 글 보기 ▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의 ▶ 비너스락커 랜섬웨어 조직, 베리즈 웹쉐어를 통해 갠드크랩 국내 다량 유포 ▶ 비너스락커 위협조직, 입사지원서로 위장해 갠드크랩 랜섬웨어 한국에 급속 유포 중 갠드크랩 랜섬웨어는 “이미지 무단 사용 안내메일”로 위장하고 있으며, 압축 파일이 첨부되어 있습니다. [그림 1] 수신된 메일 첨부파일 ‘이미지무단사용내용정리.alz’에는 2개의 jpg 파일’1.원본이미지, 2원본이미지’,’내용정리(링크포함)과 GandCrab 랜섬웨어인 ‘ma..

악성코드 분석 리포트 2018. 12. 3. 17:53

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 계정 서비스가 보안상으로 잠겨서 로그인을 통해 신원정보 하라는 악성 피싱 메일이 발견되어 주의를 당부드립니다. 본 메일은 “마지막 경고” 제목으로 전파되고 있으며, 보안상의 이유로 사용자 계정 서비스를 처리 할 수 없고 포털 사이트의 모든 서비스가 일시 중지 된다고 사용자를 속입니다. 이후 신원정보를 위해 제작자가 만들어 둔 피싱 사이트에 로그인을 하도록 사용자들의 클릭을 유도 합니다. [그림 1] 피싱 사이트가 포한 된 메일 본문 사용자가 로그인을 위해 클릭 하는 순간 국내 포탈 피싱 사이트로 연결됩니다. [그림 2] 다음 메일 피싱 사이트 사용자가 신원 정보를 확인하기 위해 해당 페이지에 계정 정보를 입력한다면, 입력한 개인정보는 모두..

악성코드 분석 리포트 2018. 11. 26. 16:30

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 미국 추수감사절(Thanksgiving Day) 내용으로 악성 메일이 국내에 유포되고 있어 주의를 당부 드립니다. ※ 관련글 보기 ▶ 임금체불 관련 출석요구서로 사칭한 갠드크랩 랜섬웨어 감염 주의 ▶ 해외 배송장으로 위장한 국내 포털 피싱 메일 주의!! ▶ 매크로를 이용한 송장 관련 악성 메일 유포 주의 ▶ [업데이트][주의] 견적서를 위장한 악성메일 지속적으로 유포중! 사용자들의 주의 필요 ▶ 특정 기업의 프로젝트 파일처럼 위장한 악성 메일 유포 주의 ▶ 국내 실제 기업명을 사칭한 악성 메일 유포 주의 이번에 발견된 악성 메일은 ‘Thanksgiving Greeting Card’라는 제목으로 메일 본문에는 ‘Happy Thanksgiving ..

악성코드 분석 리포트 2018. 11. 23. 16:33