안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 세인트스틸러(Saintstealer)는 이름에서 알 수 있듯이 인포스틸러(Infostealer) 악성코드로 여러 웹 브라우저와 다양한 프로그램의 계정 정보 및 하드웨어 정보, 특정 파일 등을 탈취하는 기능을 가지고 있습니다. 이렇게 수집된 모든 정보를 취합하여 압축 파일로 만들어 텔레그램 봇을 이용하여 공격자에게 전송하며, 추가 메타 데이터는 공격자가 지정한 C&C 주소로 전송하는 특징을 가지고 있습니다. 또한, 진단을 우회하기 위해 주로 닷넷(.NET) 프로그램의 형태로 유포되고 있습니다. 세인트스틸러(Saintstealer)는 Chromium기반 브라우저의 패스워드, 쿠기 및 자동채움 폼(Autofill) 데이터 정보와 디스코드, 텔레..

악성코드 분석 리포트 2022. 6. 20. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 공격은 다양한 키워드를 활용하여 수행합니다. 그러나 초창기 스미싱 공격부터 현재까지 꾸준하게 공격자들이 선호하는 키워드가 있습니다. “택배” 키워드입니다. 초창기 스미싱 공격의 주요 키워드는 “청첩장”, “돌잔치”, “택배” 등이었습니다. 그러나 “택배” 이외의 키워드들은 시기나 사회의 관심사와 연관된 키워드로 지속적으로 변경이 되었으나 “택배” 키워드만큼은 꾸준하게 활용되고 있습니다. 택배 스미싱은 스미싱 공격의 초기부터 발견되기 시작하여 현재까지 꾸준하게 발견되고 있습니다. 이는 택배 스미싱이 공격자들에게 매우 효과적인 공격 방법이라는 것을 알 수 있습니다. 이렇게 악성 앱이 개인 정보를 탈취하게 되면 탈취한 개인 정보를 활용하..

악성코드 분석 리포트 2022. 5. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 작년 하반기부터 활동중인 Mallox 랜섬웨어는 2022년 3월 랜섬웨어 패밀리들을 대상으로 진행된 통계에서 기업 타겟 랜섬웨어로 1위를 차지했습니다. 현재까지 국내에 감염된 사례는 보고된 적 없지만 봇넷, 네트워크 유포, 취약한 암호 등 다양한 방식을 통해 유포 중인 것으로 알려진 Mallox 랜섬웨어를 분석하고자 합니다. Mallox 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. 시스템 언어가 러시아어, 카자흐어, 벨라루스어, 우크라이나어, 타타르어일 경우 암호화 작업 없이 프로세스를 종료하는 것과 사용자의 APR table에서 IP 주소와 관리 목적의 공유 폴더를 사용하여 랜섬웨어를 전파한다는 특징이 있..

악성코드 분석 리포트 2022. 5. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 코로나 관련 대출 문자, 쇼핑몰 결제 문자, 택배 관련 문자 등등 온갖 스미싱으로부터 스마트폰을 보호하기 위해 보안 프로그램들을 사용하곤 합니다. 하지만 이를 악용하여 보안 프로그램들로 위장한 악성 앱도 등장하고 있습니다. 예전에 한 번 살펴본 폴 안티스파이부터 피싱 아이즈, 내 정보 지키미까지 여러 가지 버전이 존재합니다. 최근 공격 조직은 보이스피싱을 예방할 수 있는 앱인 시티즌 코난을 사칭하여 배포하고 있습니다. 스미싱 문자들이 점점 발전하면서 보안 프로그램도 강조되고 있습니다. 하지만 스미싱 공격 조직들은 이마저도 위장하여 사용자들을 속이고 있으며 점점 정교해진 형태로 발전되고 있습니다. 따라서 사용자는 공식 사이트를 이용하도록 하..

악성코드 분석 리포트 2022. 4. 25. 17:58

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2022년 3월경부터 특정 기업을 사칭한 악성 피싱메일이 다량으로 유포중에 있으며 이 분석문서를 작성하는 현재까지도 변종들이 계속해서 발견되고 있습니다. 해당 악성코드는 주로 MS 워드 문서로 위장하고 있으며 사용자가 내용을 확인하기 위하여 "콘텐츠 사용" 을 선택하면 VBA 매크로가 실행되어 서버에서 암호화된 페이로드를 다운로드 받아서 악성코드를 실행합니다. 악성행위의 확인을 어렵게 하기 위하여 최종 페이로드는 여러 단계의 확인을 거쳐서 실행됩니다. 해당 악성코드는 doc의 매크로를 이용하여 악성 파일을 다운로드 한 후 시스템 정보 전송 및 명령 제어 기능과 추가 페이로드를 다운로드 합니다. 사용자의 백신 타입을 확인하여 전송하고 윈도우..

악성코드 분석 리포트 2022. 4. 25. 17:58

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 구글 플레이 스토어를 통해 유포되는 악성 앱들이 꾸준히 발견되고 있습니다. 최근에는 구글 플레이 스토어를 통해 ‘Xenomorph”라 불리는 악성 앱이 유포되었습니다. 이 악성 앱은 피해자의 뱅킹 정보 탈취를 목적으로 제작되었습니다. 타겟은 유럽의 은행들을 이용하는 스마트폰 사용자들이며 뱅킹 정보를 탈취한 후 금전 획득을 위해 탈취한 정보를 활용합니다. Trojan.Android.Banker 공격은 금전 갈취가 주요 목적입니다. 이 악성 앱은 다른 악성 앱의 유포 방법은 공식 스토어인 구글 플레이 스토어를 통해 이루어지기에 피해자가 공격을 인지하기 더욱 어렵습니다. 그리고 공식 스토어를 통한 설치이기에 OS에서 제공하는 프로텍트 서비스도 ..

악성코드 분석 리포트 2022. 3. 22. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. Trojan.JAVA.Agent.Gen (이하 ‘STRRAT’)는 지난 2020년에 공개된 Java 언어 기반의 명령 제어 악성코드이며, 최근까지 이메일 등으로 유포가 이루어지고 있는 것으로 알려져있습니다. 특징적으로 이 STRRAT는 브라우저 크리덴셜 정보 유출 등의 일반적인 RAT 기능과 더불어 ‘Crimson’이라고 불리우는 랜섬웨어 기능이 함께 포함되어 있는 점이 특징입니다. ‘STRRAT’ 악성코드는 정보 전송 및 명령 제어 기능을 수행하는 Java 기반의 RAT입니다. 특징적으로 이 악성코드는 다른 명령 제어 악성코드와 달리 랜섬웨어 기능이 탑재되어 있는 점, EXE 기반 대신 Java 파일(*.jar) 혹은 스크립트를 실행하는..

악성코드 분석 리포트 2022. 3. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 문자를 통한 피해사례는 지속해서 증가하고 있고 악성 앱을 만드는 제작자 또한, 날이 갈수록 정교함과 동시에 교묘해지고 있습니다. 이들은 사용자에 악성 앱을 설치하게끔 유도하여 정보를 훔치거나 추후 전화 금융사기에 활용되는 목적을 가지고 있습니다. “[서울지방경찰청] 전화금융사기 및 해킹 예방프로그램 (설치 완료 후 위험한 앱 감지 클릭)” 문구와 함께 링크를 첨부하거나 소액 결제가 완료되었다는 문자와 함께 링크를 첨부하여 클릭을 유도합니다. 클릭 시 금융기관과 공기관으로 사칭하여 속이는 앱들이 줄곧 설치되었는데 재작년(2020) 법무부의 이름으로 공식 앱처럼 위장한 악성 앱이 등장하였습니다. 해당 앱은 실제 운영중인 웹 페이지를 직..

악성코드 분석 리포트 2022. 2. 18. 09:00