안녕하세요 ESRC 입니다. 국내 기간통신사업자를 사칭한 피싱 메일을 통해 Emotet 악성코드가 유포중에 있어 기업 사용자들의 각별한 주의가 필요합니다. 금일 발견된 피싱 메일은 회선 절체 작업, 운영보고서 등 기업 운영에 관련된 내용을 사칭하고 있으며, 본문에는 별다른 내용 없이 첨부파일 클릭을 유도합니다. [그림1] 피싱 메일 사용자가 피싱메일에 첨부된 악성 문서파일을 실행하게 되면, 다음과 같은 안내를 사용자에게 보여주어 [콘텐츠 사용] 버튼을 눌러 매크로 기능을 활성시키도록 유도합니다. [그림2] 피싱메일에 첨부된 악성문서파일 악성 매크로는 쓰레기 코드와 함께 파워쉘을 실행하는 코드를 포함하고 있습니다. [그림3] 워드파일에 포함된 악성 매크로 powershell.exe 프로세스 매개변수로 전달..

악성코드 분석 리포트 2020. 1. 21. 17:04

안녕하세요? 이스트시큐리티입니다. 지난 3월, 증가하는 모바일 위협에 대한 대응을 강화하고, 피싱 공격으로 인한 사용자의 피해를 최소화하기 위해 알약M은 '다운로드 폴더 검사 기능'을 추가했었는데요. 오늘은 알약M의 다운로드 폴더 검사 탐지 통계를 발표하려고 합니다! 기사 자세히 보기>>> ‘알약M’ 스마트폰 악성코드 탐지 통계 살펴봤더니... 악성코드 탐지수 400%↑ 알약M '다운로드 폴더 검사 기능'이란?안드로이드 기기에 앱을 설치하는 APK 파일이 다운로드될 때, 실시간으로 악성코드 여부를 판단해 사용자에게 안내하는 기능입니다. 이 기능을 통해 3월부터 10월까지 약 8개월간 스마트폰 악성코드 공격 총 72만4,125건을 탐지했습니다. 이 기능을 통해 탐지된 모바일 악성코드 건수는 3월 4만 1,..

이스트시큐리티 소식 2019. 12. 6. 15:07

안녕하세요 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 11월 20일부터 금일(26일)까지 불특정다수의 기업을 상대로 구매주문, 명세서, 견적서 등 다양한 제목으로 위장한 피싱 메일이 대량으로 유포중에 있어 사용자들의 주의가 필요합니다. 이 피싱메일들은 별다른 내용을 포함하고 있지 않으며, htm 파일이 첨부되어 있는 이메일을 사용자에게 발송합니다. [그림1] 유포 중인 피싱 메일 사용자가 첨부되어 있는 htm 파일을 클릭하면, 네이버 로그인 화면을 위장한 페이지가 뜨게 됩니다. [그림2] 네이버 로그인 화면을 위장하고 있는 htm 파일 만약 해당 로그인창을 진짜 네이버 로그인창으로 오인하여 계정정보를 입력할 경우, 입력한 계정정보는 모두 공격자의 서버로 전송되며, 전송 후에는 자동으로 네이버 메일 ..

악성코드 분석 리포트 2019. 11. 27. 14:10

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 한국에 몸캠 피싱앱이 등장하기 시작한 2013년부터 최근까지 몸캠 피싱앱은 은밀하고 꾸준하게 유포되고 있습니다. 몸캠 피싱은 스마트폰 채팅 어플(랜덤채팅)을 통해 피해자를 찾으며 음란 화상 채팅을 유도하여 피해자의 음란 행위를 녹화합니다. 그리고 피해자의 스마트폰에 악성앱 설치를 유도하여 지인의 연락처를 탈취한 후 음란행위 영상을 지인에게 유포하겠다는 협박을 통해 금전을 갈취 합니다. 이런 공격 과정은 체계적인 프로세스를 따르는 것으로 파악 되며 공격을 원할 하게 수행할 수 있도록 조직을 체계적으로 구성하여 역할에 따라 공격을 수행하고 있습니다. 공격자들이 조직까지 구성하며 꾸준하게 몸캠 피싱을 시도하는 이유는 결국 돈이 되기 때문일 것입..

악성코드 분석 리포트 2019. 10. 22. 09:00

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019/09/05) ESRC에서는 견적서 검토를 요청하는 메일로 속인 악성 피싱 메일이 포착하였습니다. [그림 1] 견적서 검토를 사칭한 피싱 메일 메일에 첨부된 zip 파일을 다운로드해 열어보면, 인터넷 웹 페이지 파일 유형인 htm 파일이 들어 있는 것을 확인하실 수 있습니다. Filename MD5 PO190988765.htm 39578968CD2C3271D1A44E4FD893B11B DWG.htm 39578968CD2C3271D1A44E4FD893B11B 사용자가 해당 파일을 견적서와 관련된 파일로 착각해 클릭하면 국내 유명 포털의 로그인 화면으로 꾸민 피싱 사이트로 이동됩니다. [그림 2] 국내 유명 포털의 로그인 화면으로 위장..

악성코드 분석 리포트 2019. 9. 5. 15:15

Malspam campaign bypasses secure email gateway using Google Docs 공격자들이 구글 문서(Google Docs)를 사용해 PDF로 위장한 TrickBot 뱅킹 트로이목마를 피해자들에게 배포하고 있는 것으로 나타났습니다. TrickBot은 2016년 10월부터 활동해온 유명한 뱅킹 트로이목마로 제작자는 새로운 기능을 추가하며 지속적으로 업그레이드하고 있습니다. TrickBot은 초기에는 뱅킹 트로이목마 기능만을 포함하고 있었습니다. 하지만 수년에 걸쳐 제작자는 데이터 탈취, 페이로드 드롭 등 새로운 기능을 추가했습니다. 최근 Secureworks의 CTU(Counter Threat Unit) 연구원들은 미국 모바일 사용자들을 노린 공격에서 새로운 동적 웹 인..

국내외 보안동향 2019. 9. 2. 10:33

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019/08/23) 페이스북 메시지를 통해 동영상 페이지를 사칭한 링크가 전달되었습니다. [그림 1] 동영상 페이지를 사칭한 링크 이 링크를 클릭하면 페이스북 로그인 화면으로 꾸민 피싱 사이트로 이동되며, 해당 사이트에 사용자의 로그인 정보를 입력할 경우 피싱 사이트 제작자에게 사용자의 계정 및 비밀번호가 전달됩니다. [그림 2] 페이스북 로그인 페이지를 사칭한 피싱 사이트 화면 [그림 3] 공격자에게 전달되는 개인 정보 화면 또한 계정정보 입력 후 "Log In" 버튼을 클릭하면 광고 사이트로 이동됩니다. [그림 4] 광고 사이트로 이동된 화면 ※ 피싱 사이트 및 개인정보 수집 사이트 주소- http://w6hywj850a1p.surg..

악성코드 분석 리포트 2019. 8. 23. 14:50

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 오늘 오전 특정 전자제품 유통회사의 관리자를 사칭한 피싱 메일이 발견되었습니다. 이번에 포착된 피싱 메일은 타깃인 특정 전자제품 유통회사의 직원에게 '귀하의 계정에서 이메일 전송이 중단'되었다면서 첨부파일을 실행하여 수동으로 계정을 확인하라고 하며 계정정보 입력을 유도하는 내용을 담고 있습니다. [그림 1] 이메일 전송이 중단되었다며 첨부파일 열람 유도하는 피싱 메일 특히, 공격자는 메일이 발송된 후 이틀 후까지 계정 확인 작업을 하지 않으면 계정이 영구적으로 종료된다고 빠른 계정정보 입력을 독촉하기까지 하고 있습니다. 이메일과 함께 첨부된 html파일을 열면 다음과 같은 계정정보 입력창이 뜨게 됩니다. [그림 2] 메일에 첨부된 html파일 ..

악성코드 분석 리포트 2019. 8. 21. 15:26