안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 우여곡절 끝에 북미 정상회담이 이루어졌지만 보이지 않는 사이버 첩보전은 계속되었습니다. 실제로 ESRC는 현재 북한과 미국의 정세를 이용한 “미북 정상회담 전망 및 대비.hwp”제목으로 위장한 악성 파일을 포착하였습니다. 해당 파일은 북미 정상회담이 이루어지기 전인 “2018-05-30”에 제작되어 공격이 시도된 것으로 보여집니다. [그림 1] “미북 정상회담 전망 및 대비.hwp” 화면 공격자는 악성코드의 감염 사실을 사용자로부터 은폐하기 위하여 hwp취약점을 이용하여 정상 프로세스인 iexplore.exe에 악성코드를 인젝션하였습니다. [그림 2] hwp내부 삽입된 Post Script 해당 코드는 C&C서버로부터 악성코드 다운로..

악성코드 분석 리포트 2018. 6. 19. 13:14

■ 대북 분야 표적의 APT 공격 '물탱크 작전(Operation Water Tank)' 배경 안녕하세요? 이스트시큐리티 사이버 위협 인텔리전스(CTI) 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 2018년 04월부터 05월까지 한국의 외교·안보·통일 분야의 연구를 수행하는 싱크탱크(Think Tank) 기관 및 대북단체, 군 관련 웹 사이트를 상대로 한 은밀한 워터링 홀(Watering Hole) 공격이 수행되었습니다. ※ 싱크탱크(Think Tank) 고유 전문 분야의 조사·분석·연구를 조직적으로 결집해 수행하고, 그로 인한 개발성과를 제공하는 것에 목적을 가진 연구집단을 의미하며, 주로 국가의 정책이나 기업의 경영전략을 연구한다. ※ 워터링 홀(Watering Hole) 공격 육식동물인 사..

악성코드 분석 리포트 2018. 5. 31. 11:16

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 HTML 피싱 파일이 첨부된 악성 메일이 유포되고 있어 주의를 당부드립니다. 이번에 발견된 악성 메일은 포장 명세서 확인 내용으로 위장하였으며, 실제 국내에서 운영 중인 중소기업 이름이 사용되었습니다. [그림 1] 포장 명세서 위장 악성 메일 또한 이메일 헤더 중 bcc(숨김 참조)에 다수의 수신 참조자가 있고, 모두 동일한 메일 서비스를 사용하고 있습니다. [그림 2] 포장 명세서 위장 악성 메일 첨부된 파일 'PACKING LIST.html'은 포장 속 내용 정보 목록이 아닌 국내 포털 사이트의 아이디 및 비밀번호를 입력하도록 유도하는 HTML 파일입니다. 만일 이용자가 열람을 위해 첨부 파일을 실행할 경우 '세션하시기 바랍니다 다시 ..

악성코드 분석 리포트 2018. 5. 16. 16:28

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 청첩장으로 위장한 스미싱 문자가 최근에도 발견이 되고 있어 이용자들의 주의를 당부드립니다. 이번에 발견된 스미싱 문자는 '[Web발신] 예식시간:2018.3.24 오전 11시 안내확인 '로 되어 있습니다. 만일 이용자가 지인의 결혼식 혹은 호기심에 의해 악성 URL 주소를 클릭할 경우 'iwedding.10883.v1.0.1.apk'이 다운로드 됩니다. [그림 1] 청첩장 위장 스미싱 문자 다운로드 된 악성앱 'iwedding.10883.v1.0.1.apk'은 '모바일웨딩청첩장'이라는 이름으로 위장되어 있으며, 설치가 완료되어 실행하면 감염이 진행됩니다. [그림 2] 청첩장 설치 화면의 일부 설치되어 실행되는 악성앱 '모바일웨딩청첩장'은 삭제를..

악성코드 분석 리포트 2018. 3. 20. 10:20

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 실제 국내 운송 업체를 사칭한 '배송 스미싱' 문자가 최근에도 지속적으로 많이 퍼지고 있어 이용자들의 주의를 당부드립니다. ▶ 대한통운 사칭 지능 타깃형 스미싱 공격 주의! ▶ 갈수록 위협적인 스미싱, 이제는 당신의 신용카드도 노린다! 최근에 발견되고 있는 배송 스미싱 문자는 주소지 변경, 택배 분실로 인한 보상 안내 내용을 담고 있습니다. 특히나 PC나 스마트폰 등으로 온라인 쇼핑을 주로 하는 이용자들의 경우 자칫 자신의 상품이 중간에 잘못된 것으로 오인할 수 있습니다. [그림 1] 배송 스미싱 문자 - 주소지 변경 [그림 2] 배송 스미싱 문자 - 택배 분실 보상 안내 이용자가 자신의 물품이 잘못된 것으로 착각하여 문제 해결을 위해 스미싱 ..

악성코드 분석 리포트 2018. 3. 13. 18:05

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 해외 사용자 PC에서 가상 화폐 지갑 정보와 다양한 브라우저 로그인 정보를 유출하는 악성코드가 유포되고 있어 국내 사용자의 주의를 당부 드립니다. 이 악성코드는 [그림1]과 같이 사용자 PC에 있는 가상 화폐의 종류를 확인합니다.(비트 코인을 포함한 총 9개의 가상 화폐 - 비트코인, 라이트코인, 이더리움, 모네로, 스팀 등) 이는 국내에서도 인기있는 지갑 정보와 사용자 정보 탈취를 목적으로 보여집니다. [그림1] 가상 화폐 종류 확인 코드 가상 화폐 지갑 정보 외에 사용자의 브라우저를 확인하여 시스템 상에 저장된 로그인 ID/PW 정보와 쿠키 정보도 탈취합니다. 이렇게 유출된 정보는 추후 또 다른 보안 위협에 노출될 가능성이 존재합니다...

악성코드 분석 리포트 2018. 2. 23. 17:41

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 '국내 포털 사이트의 계정 확인 안내'로 위장한 피싱 메일이 국내에서 유포되고 있어 주의를 당부드립니다. 이번에 발견된 메일은 계정 종료를 방지하기 위해 계정이 유효한지 확인하기 위한 인증 링크를 클릭하라는 내용과 함께 Inv.pdf 첨부 파일을 담고 있습니다. [그림 1] 포털 사이트 계정 확인 안내 피싱 메일 본 메일에서 공격자는 본문의 'Vaildate mail Account, Neglect Shut Down' 링크, 첨부 파일 모두 동일한 사이트로 연결할 수 있도록 하였습니다. 이용자가 호기심에 첨부된 PDF 파일을 다운받아서 실행할 경우, 흐릿한 이미지를 나오면서, 선명하게 보기 위해 View 버튼 클릭을 유도합니다. View 버..

악성코드 분석 리포트 2018. 2. 7. 17:21

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 작년부터 활발한 활동을 하고있는 Venus Locker 랜섬웨어를 유포한 공격자들이 이번에는 이메일에 DOC 문서를 첨부하고 Exploit을 이용하여 유포하는 움직임이 포착되었습니다. 이번에 사용된 이메일 주소(ohyeonsoo0613@gmail.com)는 '저작권 위반 그림 사용 확인 메일'로 위장한 가상화폐 채굴 악성코드 유포에 사용된 메일 주소와 동일합니다. 이 공격자들은 기존에도 다양한 방식으로 랜섬웨어와 모네로 가상 화폐 채굴 기능기를 유포한 조직입니다. ▶ '저작권 위반 그림 사용 확인 메일'로 위장한 가상화폐 채굴 악성코드 주의 ▶ 가상화폐 모네로(XMR) 채굴기능의 한국 맞춤형 표적공격 증가 ▶ 국가 기관 및 기업 대상으로 랜섬..

악성코드 분석 리포트 2018. 1. 24. 16:55