안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 애플 사용자를 대상으로 한 피싱 공격들이 발견되어 사용자들의 주의가 필요합니다. 해당 메일은 “알 수 없는 기기를 사용하여 로그인”이라는 제목으로 비정상적인 로그인이 발생하였기 때문에 본문에 기재된 링크를 통해 확인하라는 클릭 유도형 방식을 사용하였습니다. [그림 1] 애플 사용자 피싱 공격에 사용된 이메일 피싱 메일을 받은 사용자가 로그인 정보를 확인하기 위해 본문에 기재된 링크를 클릭할 경우 허위 로그인 정보를 포함한 PDF가 다운로드 되고 바로 사용자에게 보여집니다. [그림 2] 허위 로그인 정보가 담긴 PDF파일 화면 사용자가 본인의 계정을 보호하기 위해 PDF에 삽입된 링크를 클릭할 경우 계정과 패스워드를 가로채기 위한 피싱 사이트로 이동하게..

악성코드 분석 리포트 2020. 4. 10. 13:24

안녕하세요. 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 최근 경찰청을 사칭한 악성 메일이 발견되어 사용자들의 주의가 필요합니다. [그림 1] 경찰청 사칭 악성 메일 이번에 발견된 메일은 경찰청 초대라는 제목으로 유포되었으며, 어색한 한국어를 구사하고 있습니다. 이메일 하단에 현 경찰청장 이름인 민갑룡 영문이름을 추가하여 사용자들의 신뢰를 얻으려 시도하였습니다. 해당 메일에는 문서.iso 파일이 첨부되어 있습니다. 첨부되어있는 문서.iso 파일 안에는 문서.exe 파일이 포함되어 있습니다. [그림 2] 악성 메일에 포함된 첨부파일 문서.exe 파일 분석 최초 첨부 파일인 ‘문서.exe’은 닷넷 파일으로 자기 자신을 자식 프로세스로 실행한 뒤, ‘Remcos’ 페이로드를 인젝션하는 기능을 수행합니다. ..

악성코드 분석 리포트 2020. 4. 8. 09:44

안녕하세요. ESRC(시큐리티 대응센터)입니다. 일반적인 기업들의 상여금 발급 시즌을 맞이하여 '직원활동상여금발급청구서_1.doc' 파일명으로 악성코드가 유포되고 있어 사용자들의 주의가 필요합니다. 해당 문서에는 악성 매크로가 포함되어 있으며, 워드 파일 내용에 [콘텐츠 사용]을 활성화 하라는 문구로 사용자들에게 매크로 기능 활성을 유도합니다. [그림 1] 악성 매크로가 포함된 워드파일 특이한 점은, 악성 매크로가 포함된 워드문서의 코드페이지 식별자가 중국어(936)로 설정되어 있다는 점 입니다. [그림 2] 코드페이지 설정 화면 만약 사용자가 [콘텐츠 사용]을 눌러 매크로 기능을 활성시킨다면, 워드문서에 포함되어 있던 악성 VBA매크로가 실행되게 됩니다. 이렇게 실행된 악성 VBA매크로는 미리 설정된 ..

악성코드 분석 리포트 2020. 4. 7. 14:26

'오퍼레이션 스파이 클라우드(Operation Spy Cloud)' APT 공격 배경 안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 03월 초, 일명 '금성121(Geumseong121)'로 명명된 국가차원의 APT(지능형지속위협) 그룹의 새로운 공격 정황이 포착되었습니다. 이들은 대한민국 사이버 공간을 주요 거점지로 삼아 다양한 스파이 활동을 수행하고 있으며, 주로 외교·통일·안보분야 종사자나 대북관련 단체장, 탈북민을 겨냥한 위협을 가속화하고 있습니다. ESRC에서는 알약(ALYac) 포함 다채널 위협 인텔리전스 센서를 통해 수집된 각종지표와 증거를 기반으로 이번 침해공격 실체를 분석하였습니다. 작년 11월 '금성121, 북한 이탈주민 후원 사칭 '드래곤 메신저' 모바일 A..

악성코드 분석 리포트 2020. 3. 30. 16:33

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내 유명 카드사 계정을 노린 피싱 메일이 발견되어 사용자들의 주의가 필요합니다. 해당 메일은 국내 카드사 계정으로 수신 된 메일로 스토리지 공간이 부족하다는 메시지와 함께 저장 용량을 늘리기 위해 로그인을 유도하는 방식으로 사용되고 있습니다. [그림 1] 국내 카드사 계정으로 수신 된 이메일 화면 계정 피싱 메일을 받은 사용자가 저장 용량을 늘리기 위해 메일 본문에 링크 된 주소를 클릭 할 경우 사용자의 계정과 패스워드를 가로채기 위한 피싱 사이트로 이동하게 됩니다. [그림 2] 이동 된 피싱 사이트 화면 피싱 타깃이 된 사용자가 해당 페이지에 계정과 패스워드를 입력할 경우, 개인 정보 수집 사이트로 입력된 개인 정보가 전송됩니다. 전송된 개인 정보..

악성코드 분석 리포트 2020. 3. 25. 11:15

안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례(블루 에스티메이트 캠페인)의 7번째 변종으로 확인되었습니다. ※ 관련글보기 ▶ 이력서로 위장한 김수키(Kimsuky) 조직의 '블루 에스티메이트 Part5' APT 공격 주의 (2020.03.02)▶ 김수키(Kimsuky) 조직, 실제 주민등록등본 파일로 둔갑한 '블루 에스티메이트 Part3' APT 공격 주의 (2020.02.06)▶ 청와대 행사 견적서 사칭 변종, '블루 에스티메이트 Part 2' (20.01.21)▶ 김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격 (19.12.04) 【오..

악성코드 분석 리포트 2020. 3. 23. 17:03

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 “코로나”라는 한글 앱 명을 사용하며 위치 및 카메라 관련 파일을 탈취하고 원격명령을 통해서 추가 악성 행위를 합니다. 특히, 앱의 이름과 수정 날짜를 보면 현재 이슈인 코로나를 이용하여 악성 행위를 하고자 했음을 알 수 있습니다. [그림] 바로 숨겨지는 아이콘과 앱의 수정 날짜 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Spyware.Android.Agent’탐지 명으..

악성코드 분석 리포트 2020. 3. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 신종 코로나 바이러스의 확진자가 지속적으로 발생하면서, 국내뿐 아니라 해외에서도 신종 코로나바이러스에 대한 대중의 관심과 우려가 높아진 가운데 미국 질병통제예방센터(CDC)를 사칭하고 있는 이메일이 발견되었습니다. 파일명은 ‘CDCHAN-00815.iso’로 압축을 풀면 화면보호기 파일로 위장된 파일이 있고 실제로 악성 행위를 하는 실행 파일입니다. [그림] 수신된 이메일 화면 이번에 발견된 공격의 특징은 해외 업체에서 윈도우를 관리하기 위해 개발된 ‘Remcos’ 프로그램을 공격자들이 원격 접근 툴로 악용한다는 점입니다. 위와 같은 악성코드 피해를 예방하기 위해서는 출처가 불분명한 곳에서의 URL 클릭 혹은 파일 다운로드를 지양해야..

악성코드 분석 리포트 2020. 3. 17. 09:00