안녕하세요 ESRC 입니다. 국내 기간통신사업자를 사칭한 피싱 메일을 통해 Emotet 악성코드가 유포중에 있어 기업 사용자들의 각별한 주의가 필요합니다. 금일 발견된 피싱 메일은 회선 절체 작업, 운영보고서 등 기업 운영에 관련된 내용을 사칭하고 있으며, 본문에는 별다른 내용 없이 첨부파일 클릭을 유도합니다. [그림1] 피싱 메일 사용자가 피싱메일에 첨부된 악성 문서파일을 실행하게 되면, 다음과 같은 안내를 사용자에게 보여주어 [콘텐츠 사용] 버튼을 눌러 매크로 기능을 활성시키도록 유도합니다. [그림2] 피싱메일에 첨부된 악성문서파일 악성 매크로는 쓰레기 코드와 함께 파워쉘을 실행하는 코드를 포함하고 있습니다. [그림3] 워드파일에 포함된 악성 매크로 powershell.exe 프로세스 매개변수로 전달..

악성코드 분석 리포트 2020. 1. 21. 17:04

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 11월 20일부터 금일(26일)까지 불특정다수의 기업을 상대로 구매주문, 명세서, 견적서 등 다양한 제목으로 위장한 피싱 메일이 대량으로 유포중에 있어 사용자들의 주의가 필요합니다. 이 피싱메일들은 별다른 내용을 포함하고 있지 않으며, htm 파일이 첨부되어 있는 이메일을 사용자에게 발송합니다. [그림1] 유포 중인 피싱 메일 사용자가 첨부되어 있는 htm 파일을 클릭하면, 네이버 로그인 화면을 위장한 페이지가 뜨게 됩니다. [그림2] 네이버 로그인 화면을 위장하고 있는 htm 파일 만약 해당 로그인창을 진짜 네이버 로그인창으로 오인하여 계정정보를 입력할 경우, 입력한 계정정보는 모두 공격자의 서버로 전송되며, 전송 후에는 자동으로 네이버 메일 ..

악성코드 분석 리포트 2019. 11. 27. 14:10

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 07월 01일), 수입필증 및 정산서로 위장한 악성 피싱메일이 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다. [그림 1] 수입필증 및 정산서를 위장한 악성 피싱메일 해당 메일에는 수입신고필증(수입면장) 및 정산서 메일인 것처럼 속이기 위해 관련 이미지를 첨부했으며, 사용자의 파일 클릭을 유도했습니다. 첨부된 이미지는 화질이 낮아 그림만으로 상세 내용은 확인하기 어렵지만 실제 이미지와 비슷한 형식 및 도장이 날인되어 있어 면밀히 살펴보지 않는다면 쉽게 속을 가능성이 높습니다. 만약 사용자가 해당 첨부파일의 이미지를 수입신고필증(수입면장) 및 정산서로 착각해 클릭한다면, 이미지에 걸려있는 링크로 연결되며 악성 파일을 ..

악성코드 분석 리포트 2019. 7. 1. 14:12

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 06월 24일, 세금 계산서를 사칭한 악성 이메일이 국내 기업에 다량으로 유포된 정황이 포착되어 사용자들의 각별한 주의가 필요합니다. [그림 1] 세금 계산서를 사칭한 피싱 메일 이번에 발견된 피싱 메일은 어눌한 한국어로 본문이 작성되었으며, "tax@taesungmarine.com"이라는 발신자명을 사용하여 세금계산서 관련 담당자가 보낸 메일인 것처럼 꾸미려고 하였습니다. File Name MD5 19030#5630.zip b534f496ca813f0b5203364576fb2112 만약 해당 메일을 받은 사용자가 세금 계산서 관련 파일로 착각해 첨부된 ZIP 파일을 다운로드하고 압축 해제하면 다음과 같이 ISO 파일을 확인하실 수 ..

악성코드 분석 리포트 2019. 6. 27. 14:39

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 구매 발주 제목으로 국내 포털 피싱 파일이 첨부되어 있는 이메일이 유포되고 있어 사용자들의 주의가 필요합니다. 본 메일은 “구매발주 : ( PO20617260118219 )” 라는 제목으로 전파되고 있으며, 구매발주서로 위장 된 PO20617260118219.htm 첨부 파일이 확인 되었습니다. [그림1] 구매 발주 제목으로 유포 된 이메일 화면 첨부 된 파일을 클릭 하게 되면 관련 내용을 보기 위해 첨부 파일을 다운로드 받아 실행 하면 아래와 같이 국내 포탈 사이트의 로그인 화면으로 이동하게 됩니다. [그림2] 첨부 파일 실행 시 보여지는 국내 포털 사이트 로그인 화면 사용자가 실제 로그인 계정과 패스워드를 입력 할 경우, 개인정보 수집..

악성코드 분석 리포트 2019. 6. 18. 15:03

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 06월 14일, 관세 법인 회사를 사칭한 피싱메일이 유포된 정황이 포착되었습니다. [그림 1] 관세 법인 회사를 사칭한 피싱 메일 화면 피싱 메일에는 NEWSLETTER2019.pdf.iso라는 첨부 파일이 들어 있으며, 공격자는 실제 존재하는 회사명과 도메인을 이용하였습니다. [그림 2] 도메인 비교 화면 메일에 첨부된 'NEWSLETTER2019.pdf.iso' 파일 안에는 'NEWSLETTER2019.pdf.exe'라는 악성 실행 파일이 들어 있습니다. [그림 3] 피싱 메일에 첨부된 악성 iso 파일 및 악성 실행 파일 만약 사용자가 뉴스레터(NEWSLETTER)에 대한 자세한 정보를 열람하기 위해 파일을 클릭할 경우 C:\U..

악성코드 분석 리포트 2019. 6. 17. 16:48

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 6/12 오후부터 NH농협은행 보안팀에서 보낸 메일처럼 위장한 피싱메일이 시중에 대량으로 유포되고 있어 사용자 여러분의 주의가 필요합니다. 피싱메일 분석한 결과, 리플라이 오퍼레이터 그룹에서 유포한 것으로 확인되었으며, 기존의 '경찰청 소환장', '한국은행 교육', '지마켓 할인쿠폰', '헌법 재판소 소환장' 등 공공기관에서 보낸 것처럼 사용자를 속이던 방식에서 최근에는 금융회사를 사칭해 랜섬웨어를 유포하는 방향을 선호하는 것으로 보입니다. [그림 1] NH농협은행을 사칭한 피싱메일 시중에 유포되고 있는 피싱 메일은 NH농협 보안팀이 보낸 것으로 되어 있고 신뢰도를 높이기 위해 직원 이름 역시 사용하고 있습니다. 이 직원 이름은 실제 NH농협 ..

악성코드 분석 리포트 2019. 6. 14. 22:50

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 06월 03일), 리플라이 오퍼레이터 그룹이 금융회사를 사칭해 'Sodinokibi' 랜섬웨어를 유포한 정황이 포착되었습니다. [그림 1] 금융 회사를 사칭한 피싱 메일 화면 피싱 메일에는 UltraFax 서비스를 통해 금융회사에서 문서를 보냈다는 내용이 들어 있으며, 리플라이 오퍼레이터 그룹이 사용하는 "gmx.com" 도메인으로 발송되었습니다. 또한, 첨부된 RAR 파일에는 비밀번호를 설정해 백신 탐지를 우회하려고 시도하였습니다. [그림 2] 비밀번호가 설정된 RAR 파일 해당 메일을 받은 사용자가 첨부된 파일을 금융 문서로 착각해 압축을 해제하면, '급여 고지.doc.exe'라는 MS Word 문서(.doc)를 위장한 악성..

악성코드 분석 리포트 2019. 6. 3. 15:33