안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 문자를 통한 피해사례는 지속해서 증가하고 있고 악성 앱을 만드는 제작자 또한, 날이 갈수록 정교함과 동시에 교묘해지고 있습니다. 이들은 사용자에 악성 앱을 설치하게끔 유도하여 정보를 훔치거나 추후 전화 금융사기에 활용되는 목적을 가지고 있습니다. “[서울지방경찰청] 전화금융사기 및 해킹 예방프로그램 (설치 완료 후 위험한 앱 감지 클릭)” 문구와 함께 링크를 첨부하거나 소액 결제가 완료되었다는 문자와 함께 링크를 첨부하여 클릭을 유도합니다. 클릭 시 금융기관과 공기관으로 사칭하여 속이는 앱들이 줄곧 설치되었는데 재작년(2020) 법무부의 이름으로 공식 앱처럼 위장한 악성 앱이 등장하였습니다. 해당 앱은 실제 운영중인 웹 페이지를 직..

악성코드 분석 리포트 2022. 2. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 지난 2017년 Cerber 랜섬웨어의 후속작으로 등장한 매그니베르(Magniber) 랜섬웨어는 다양한 변종으로 유포해 오고 있다. 초기에는 한국 사용자만 감염되었지만 이후, 대상 범위를 확장해 중국, 대만, 홍콩, 싱가포르, 말레이시아 내 시스템 또한 감염시키기 시작했습니다. 과거 매그니베르 랜섬웨어는 파일리스(fileless) 형태, PrintNightmare 취약점, 인터넷 익스플로러 취약점을 악용하여 시스템을 침해하고 랜섬웨어를 배포해 왔습니다. 최근 매그니베르 랜섬웨어는 기존 인터넷 익스플로러 감염 방식과 다른 감염 방식으로Edge, Chrome 브라우저를 이용하여 윈도우 앱(.Appx) 파일 설치를 유도를 통해 유포되고 있습니다..

악성코드 분석 리포트 2022. 2. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 몇 년째 지속되고 있는 팬데믹 상황으로 모바일 사용이 증가하고 있는 가운데 이를 활용하려는 악성 앱들도 증가하고 있는 상황입니다. 개인 정보나 금융 정보 탈취를 목적으로 하는 악성 앱들이 활발히 유포되는 한국과 마찬가지로 유럽에서도 스마트폰 사용자의 금융 정보 탈취를 목적으로 하는 악성 앱들이 널리 유포되고 있어 문제가 되고 있습니다. 이 악성 앱들은 피해자의 은행 앱 로그인 정보, 신용카드 정보, 개인 정보(주민 번호) 등의 민감한 정보 탈취를 목적으로 제작되었습니다. Trojan.Android.Banker 공격은 2차 공격을 통한 금전 갈취가 주요 목적입니다. 이 악성 앱의 주요 유포 방법은 변조된 웹 사이트나 구글의 플레이 스토어를 ..

악성코드 분석 리포트 2022. 1. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 지난해 말 새로운 Rook 랜섬웨어가 발견되었습니다. 해당 랜섬웨어는 지난해 4월 워싱턴 DC 경찰서를 침투해 파일 암호화 공격을 시행한 바북 락커(Babuk Locker) 코드와 유사합니다. Rook 데이터 유출 사이트에는 현재 두 명의 피해자로 한 은행과 인도 항공이 게시되어 있고 앞으로 기업 네트워크를 침해하고 장치를 암호화 해 많은 돈을 벌 것이라고 밝히고 있습니다. Rook 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. Babuk 랜섬웨어 코드와 유사하나 ADS 사용, 암호화 로직에 차이가 있고 32비트 간격으로 암호화 한다는 특징이 있습니다. 또한 로컬 드라이브와 네트워크 드라이브로 연결된 모든 파..

악성코드 분석 리포트 2022. 1. 20. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 구매대행업체의 앱처럼 위장하여 사용자들의 정보를 탈취하고 이를 보이스피싱에 활용하는 앱이 대거 발견되고 있습니다. 해당 앱은 실제 페이지를 그대로 수정해서 사용하며 사용자는 이를 알아차리기 힘듭니다. 앱의 아이콘과 이름, 업체명 등등이 각기 다르며 여러 가지 버전들로 구성되어 있고 페이지의 기본 틀은 비슷하게 표시되어 있습니다. 위와 같은 악성 행위는 하나의 github 주소에서 C2를 가져오기 때문에 계정 정지만 당하지 않는다면 주소를 옮겨가며 앞으로 만들어내는 모든 앱도 지속해서 유지할 수 있습니다. 지금도 꾸준하게 유사한 버전들의 앱을 배포하고 있고 다른 버전도 추가로 만들어내고 있습니다. 감염 시 정보들을 탈취당하고 사이트를 ..

악성코드 분석 리포트 2021. 12. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. TA551(Shathak이라고도 함)은 2019년부터 피싱 이메일을 통해 꾸준히 악성코드를 배포하고 있습니다. TA551 그룹은 지난 몇 년 동안 Ursnif, Valak 및 IcedID 등의 다양한 맬웨어 계열을 유포했으나, 2021년 6월부터는 IcedID 유포를 중단하고 Trickbot을 유포하기 시작했습니다. TA551은 2021년 8월부터는 Trickbot 배포를 중단하고 BazarLoader를 배포하기 시작했습니다. TA551은 여러 해 동안 다양한 악성코드를 배포하였으나, 최근에는 Bazar 악성코드를 배포하기 시작하였으며 Bazar 악성코드는 탐지 회피 및 은폐에 중점을 두고 있는 악성코드입니다. 악성코드 제작자는 코드를 최..

악성코드 분석 리포트 2021. 12. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 한국의 콘텐츠인 ‘오징어게임’이 전 세계적인 흥행에 성공하고 있습니다. 그리고 이런 기회를 적극적으로 이용하려는 공격자들은 ‘오징어게임’과 연관되어 있는 듯한 악성 앱들을 발빠르게 제작하여 유포하고 있습니다. 지난 10월 발견된 이 악성 앱은 ‘오징어게임’ 월 페이퍼 앱으로 위장하여 유포되었습니다. 이 악성 앱을 설치하면 추가적인 라이브러리와 플러그인 패키지를 다운받아 피해자가 원하지 않는 광고를 구독하게 됩니다. 물론 피해자는 광고 관련 페이지를 볼 수 없도록 제작되었기에 실제 피해를 체감하지는 못합니다. 이런 악성 앱들은 피해자들의 데이터와 스마트폰 자원을 활용하여 수익 실현을 하지만 피해자들은 구체적인 피해 상황이 드러나지 않기..

악성코드 분석 리포트 2021. 11. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘Spyware.CryptBot’(이하 ‘CryptBot’) 정보 탈취 악성코드가 가짜 소프트웨어 사이트 등을 통해 유포되고 있는 것으로 알려져 있습니다. 이 악성코드에 감염이 되는 경우, 정보 탈취 및 클립보드를 공격자 지갑 주소로 변경하는 추가 페이로드 다운로드 기능을 수행하게 되어 금전적으로 상당한 피해가 발생할 수 있습니다. ‘CryptBot’는 감염PC 정보, 웹 브라우저 크리덴셜, 암호화폐 애플리케이션 정보를 탈취하여 C&C 전송, 추가 페이로드 다운로드 기능을 수행합니다. 그리고 다운로드되어 실행되는 ‘ClipBanker’는 사용자의 클립보드에 암호화폐 지갑 문자열이 존재하는 경우, 이를 공격자 지갑으로 변조하는 기능을 ..

악성코드 분석 리포트 2021. 11. 18. 09:00