안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 이번에는 제트캐시를 요구 하는 랜섬웨어가 발견되어 사용자들의 주의를 당부 드립니다. 해당 타나토스 랜섬웨어는 0.1 제트 캐시 (현재 시세: 한화 26,700원)을 요구하는 특징을 가지고 있습니다. 이 공격 그룹은 이전에는 비트코인 캐시를 요구하기도 하였습니다. [그림 1] 랜섬노트 화면 기존 지갑 주소 현재 지갑 주소 BTC: 1HvEZ1jZ7BWgBYPxqCvWtKja3a9hsNa9EhETH: 0x92420e4D96E5A2EbC617f1225E92cA82E24B03efBCH: qzuexhcqmkzcdazq6jjk69hkhgnme25c35s9tamz6f ZEC: t1JBenujX2WsYEZnzxSJDsQBzDquMCf8kbZ 기존 사용한 이메..

악성코드 분석 리포트 2018. 3. 26. 16:23

안녕하세요? 이스트시큐리티입니다. 최근까지 사용자의 중요 파일을 암호화한 뒤 복호화를 대가로 비트코인을 요구하는 랜섬웨어가 꾸준하게 발견되고 있는 가운데 Saturn으로 불리는 새로운 랜섬웨어가 발견되었습니다. 이번에 발견된 Saturn 랜섬웨어는 파일을 암호화한 뒤 .saturn 확장자를 추가하고, Cerber 랜섬웨어와 마찬가지로 스크립트를 이용해 음성으로 감염 사실을 알리는 것이 특징입니다. 또한, 한글이 포함된 경로에 대해서는 암호화를 진행하지 않습니다. 암호화 대상 확장자는 총 162개로 이 중에는 비트코인 지갑 .wallet를 포함한 금융정보와 관련된 확장자가 포함되어 있습니다. 본 보고서에서는 Saturn 랜섬웨어를 상세 분석 하고자 합니다. 악성코드 상세 분석 1) 프로세스 실행 유무를 위..

악성코드 분석 리포트 2018. 3. 22. 16:30

안녕하세요? 이스트시큐리티입니다. 이스트시큐리티는 지난 3월 14일부터 16일까지 일산 킨텍스에서 개최된 '전자정부 정보보호 솔루션 페어(이하 eGISEC) 2018'에 참가했습니다. eGISEC은 올해 총 12개국, 433개 기업, 4,500여명의 참관객을 동원할 정도로 규모가 큰 국내 최대 보안 컨퍼런스 중 하나인데요. 그만큼 수많은 보안 기업 부스에서 각 사의 솔루션들을 많은 기관 및 기업 관계자에게 선보이는 중요한 정보 교류의 장입니다. 이번 전시회에서 이스트시큐리티는 자사의 엔드포인트 보안 노하우와 높은 수준의 기술력을 바탕으로 개발된 신규 보안 솔루션 'Threat Inside', 'Flash-V' 2종을 최초 공개하여 많은 주목을 받았습니다. 관련 기사 ▶ [보안뉴스]이스트시큐리티, eGIS..

이스트시큐리티 소식 2018. 3. 22. 16:17

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. "견적서.exe" 이메일로 유포되는 계정정보 전송 악성코드가 발견되어 사용자들의 주의를 당부 드립니다. 이번에 발견된 악성 메일은 ‘견적서 보내드립니다. 확인 부탁드립니다’는 내용으로 첨부된 파일의 실행을 유도합니다. [그림 1] 악성 메일 본문 악성 메일에 첨부된 파일 ‘견적서.rar’에는 ‘견적서.exe’ 실행 파일이 있습니다. [그림 2] 악성 메일에 첨부된 ‘견적서.rar’ 파일 ‘견적서.exe’ 파일은 유저 이름, 컴퓨터 이름, 운영체제 정보 등의 시스템 정보, 그리고 다양한 FTP 프로그램, 웹 브라우저에 저장된 계정 정보를 전송하는 기능을 수행합니다. [그림 3] 브라우저 정보 수집 코드 [그림 4] 시스템 정보 수집 코드 앞서 수..

악성코드 분석 리포트 2018. 3. 22. 14:44

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 ‘XX이 협박용’이라는 파일명을 가진 악성코드가 발견되어 이용자들의 주의를 당부 드립니다. 이번에 발견된 'XX이 협박용.scr' 악성코드를 실행하면 'C:\Users\(사용자 계정)\APPDATA\' 경로에 'LocalDQhZjmCUTx.exe' PE 파일과 'LocalZaMiXJBzqg.mp4' 동영상 파일을 드롭 및 실행합니다. 공격자는 다음의 동영상 화면을 통해 PE 파일 실행을 숨기려한 것으로 보여집니다. [그림 1] LocalZaMiXJBzqg.mp4' 동영상 파일 재생 화면 파일 실행 및 드롭 코드는 아래와 같습니다. [그림 2] 파일 드롭 및 실행 코드 드롭되어 실행되는 'LocalDQhZjmCUTx.exe' PE 파일은 닷..

악성코드 분석 리포트 2018. 3. 8. 13:19

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 최근 한국어로 번역된 것으로 보이는 전신 송금 확인 메일이 국내에 유입된 정황이 확인되어 주의를 당부드립니다. 이번에 발견된 악성 메일은 전신 송금을 확인하라는 내용으로 첨부된 파일의 실행을 유도합니다. [그림 1] 악성 메일 본문 악성 메일에 첨부된 파일 '주문.rar'에는 'purchase order.exe' 실행 파일이 있습니다. [그림 2] 악성 메일에 첨부된 '주문.rar 파일 'purchase order.exe' 파일은 %APPDATA% 경로에 'tmp.exe' 파일을 드롭 및 실행합니다. [그림 3] tmp.exe 파일 드롭 및 실행 코드 드롭되어 실행되는 'tmp.exe' 파일은 프로세스 인젝션 이후, 정보 탈취 기능을 수행합니..

악성코드 분석 리포트 2018. 3. 6. 18:07

안녕하세요? 이스트시큐리티입니다. 가상화폐 시세의 급등과 함께 채굴 기능이 있는 앱들이 등장하고 있습니다. 이러한 채굴 기능은 안드로이드 공식 마켓인 구글 플레이스토어의 정상 앱에서 발견되고 있으며, 해당 개발자가 정상 앱의 새로운 버전을 배포할 때 마이너를 추가하여 배포한다. 문제는 이를 사용자들에게 고지하지 않는 것입니다. 기기의 웹 브라우저를 활용한 마이너와 so 파일을 활용한 마이너가 주를 이루고 있습니다. 특히, so 파일을 활용하는 마이너는 "피닉스 코인"을 채굴하며 기기의 화면이 꺼져 있고 충전 중일 때만 채굴을 하여 사용자가 쉽게 알아차리기 어렵습니다. 본 분석 보고서에서는 so 파일을 활용한 마이너를 상세 분석 하고자 합니다. 악성코드 상세 분석 [그림 1] 정상앱 속의 채굴 해당 악성코..

악성코드 분석 리포트 2018. 2. 23. 09:00

안녕하세요? 이스트시큐리티입니다. 이번에 등장한 랜섬웨어는 ‘Hermes’ 2.0 버전으로 기존 ‘Hermes’ 랜섬웨어의 변종입니다. 랜섬웨어 특성에 따라 악성코드 제작자는 사용자의 중요 파일을 암호화한 뒤 복호화 대가로 비트코인 결제를 유도하여 금전적인 이득을 취합니다. 기존 버전에서 파일 암호화가 진행된 이후‘.hermes’확장자를 추가하던 것과 달리 별도의 확장자를 추가하지 않는 것이 특징입니다. 또한 암호화 대상 확장자에는 ‘.hwp’가 포함되어 있어 국내 사용자들의 피해가 우려됩니다. 본 분석 보고서에서는 ‘Heremes’ 2.0 랜섬웨어를 상세 분석 하고자 합니다. 악성코드 상세 분석 1) 안티 디버깅 Hermes 랜섬웨어는 정상적인 디버깅을 방해하기 위하여 프로세스 실행 시간을 이용한 안티..

악성코드 분석 리포트 2018. 2. 21. 15:28