안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 구매대행업체의 앱처럼 위장하여 사용자들의 정보를 탈취하고 이를 보이스피싱에 활용하는 앱이 대거 발견되고 있습니다. 해당 앱은 실제 페이지를 그대로 수정해서 사용하며 사용자는 이를 알아차리기 힘듭니다. 앱의 아이콘과 이름, 업체명 등등이 각기 다르며 여러 가지 버전들로 구성되어 있고 페이지의 기본 틀은 비슷하게 표시되어 있습니다. 위와 같은 악성 행위는 하나의 github 주소에서 C2를 가져오기 때문에 계정 정지만 당하지 않는다면 주소를 옮겨가며 앞으로 만들어내는 모든 앱도 지속해서 유지할 수 있습니다. 지금도 꾸준하게 유사한 버전들의 앱을 배포하고 있고 다른 버전도 추가로 만들어내고 있습니다. 감염 시 정보들을 탈취당하고 사이트를 ..

악성코드 분석 리포트 2021. 12. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. TA551(Shathak이라고도 함)은 2019년부터 피싱 이메일을 통해 꾸준히 악성코드를 배포하고 있습니다. TA551 그룹은 지난 몇 년 동안 Ursnif, Valak 및 IcedID 등의 다양한 맬웨어 계열을 유포했으나, 2021년 6월부터는 IcedID 유포를 중단하고 Trickbot을 유포하기 시작했습니다. TA551은 2021년 8월부터는 Trickbot 배포를 중단하고 BazarLoader를 배포하기 시작했습니다. TA551은 여러 해 동안 다양한 악성코드를 배포하였으나, 최근에는 Bazar 악성코드를 배포하기 시작하였으며 Bazar 악성코드는 탐지 회피 및 은폐에 중점을 두고 있는 악성코드입니다. 악성코드 제작자는 코드를 최..

악성코드 분석 리포트 2021. 12. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 한국의 콘텐츠인 ‘오징어게임’이 전 세계적인 흥행에 성공하고 있습니다. 그리고 이런 기회를 적극적으로 이용하려는 공격자들은 ‘오징어게임’과 연관되어 있는 듯한 악성 앱들을 발빠르게 제작하여 유포하고 있습니다. 지난 10월 발견된 이 악성 앱은 ‘오징어게임’ 월 페이퍼 앱으로 위장하여 유포되었습니다. 이 악성 앱을 설치하면 추가적인 라이브러리와 플러그인 패키지를 다운받아 피해자가 원하지 않는 광고를 구독하게 됩니다. 물론 피해자는 광고 관련 페이지를 볼 수 없도록 제작되었기에 실제 피해를 체감하지는 못합니다. 이런 악성 앱들은 피해자들의 데이터와 스마트폰 자원을 활용하여 수익 실현을 하지만 피해자들은 구체적인 피해 상황이 드러나지 않기..

악성코드 분석 리포트 2021. 11. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 ‘Spyware.CryptBot’(이하 ‘CryptBot’) 정보 탈취 악성코드가 가짜 소프트웨어 사이트 등을 통해 유포되고 있는 것으로 알려져 있습니다. 이 악성코드에 감염이 되는 경우, 정보 탈취 및 클립보드를 공격자 지갑 주소로 변경하는 추가 페이로드 다운로드 기능을 수행하게 되어 금전적으로 상당한 피해가 발생할 수 있습니다. ‘CryptBot’는 감염PC 정보, 웹 브라우저 크리덴셜, 암호화폐 애플리케이션 정보를 탈취하여 C&C 전송, 추가 페이로드 다운로드 기능을 수행합니다. 그리고 다운로드되어 실행되는 ‘ClipBanker’는 사용자의 클립보드에 암호화폐 지갑 문자열이 존재하는 경우, 이를 공격자 지갑으로 변조하는 기능을 ..

악성코드 분석 리포트 2021. 11. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 일반 사용자들의 스마트폰을 장악해 문자, 녹음, 갤러리 등등 사생활을 몰래 감시하고 정보를 탈취하는 악성 앱은 꾸준하게 발견되고 있습니다. 최근 분석을 어렵게 하기 위해 다양한 방법을 사용한 앱을 발견하였으며, 해당 앱 설치 시 개인정보 유출 및 원격제어가 가능합니다. 여기서 유출된 계정과 기타 정보들은 판매되거나 또 다른 피해를 발생시킬 수 있습니다. 기존 크롬 브라우저 아이콘으로 위장했던 악성 앱은 현재 한국의 우체국과 라인 앱 등으로 위장하고 있습니다. 또한 앱 실행 시 별다른 화면이 나타나지 않고 앱 목록에서 숨김 처리가 이루어집니다. 위의 분석에서 앱 실행 시 화면이 나타나지 않았지만, 이 또한 웹 사이트에 있는 텍스트를 참고하여..

악성코드 분석 리포트 2021. 10. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2020년 11월에 처음 등장한 스네이크 키로거(Snake Keylogger)는 닷넷으로 만들어진 인포스틸러 악성코드로서, 주로 피싱 이메일을 통하여 공격이 이루어지고 지속적으로 유포해오고 있습니다. Snake Keylogger는 여러 웹 브라우저 및 이메일 클라이언트 등 다양한 프로그램의 계정 정보와 이외에도 PC 이름, 스크린샷, 클립보드, 키로깅 기능등 정보 탈취 기능을 가지고 있습니다. 또한, 닷넷 악성코드들은 빌더를 이용해 파일 진단을 회피하고 분석을 어렵기 하기 위한 목적으로 난독화를 수행합니다. 스네이크 키로거(Snake Keylogger)는 처음 나온 이후로 지금까지 꾸준히 유포되고 있고 분석 환경을 우회하기 위해 난독화 수..

악성코드 분석 리포트 2021. 10. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 몸캠 피싱 공격은 스미싱과 같은 다른 공격들에 비해 공격 빈도가 낮은 편이지만 지속적으로 공격이 이루어지고 있으며 최근까지도 변종이 꾸준히 발견되고 있습니다. 몸캠 피싱은 스마트폰 채팅 앱(랜덤채팅)을 통해 피해자를 찾으며 음란 화상 채팅을 유도하여 피해자의 음란 행위를 녹화합니다. 그리고 피해자의 스마트폰에 악성 앱 설치를 유도하여 피해자의 연락처를 탈취합니다. 이후 음란행위 영상을 지인들에게 유포하겠다는 협박을 통해 금전을 갈취합니다. 몸캠 피싱은 피해자의 음란 영상과 함께 피해자의 지인 연락처가 있어야 협박이 가능하기에 악성앱을 설치하지 않는다면 공격자의 협박을 막을 수 있습니다. 따라서, 출처가 불명확한 URL과 파일은 실행하지 않..

악성코드 분석 리포트 2021. 9. 24. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 2021년 올해 첫 새로운 랜섬웨어 패밀리가 발견되었습니다. 이름은 바북 락커(Babuk Locker)이고 지난 4월 워싱턴 DC 경찰서에 침투해 파일을 암호화하고 협박한 것으로 유명합니다. 그러나 얼마 지나지 않아 운영을 중단한 후 5월 말 PayloadBin으로 리브랜딩한 Babuk 랜섬웨어의 소스코드가 한 러시아 해킹 포럼에 게시되었습니다. Babuk 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. 서비스형 랜섬웨어(RaaS)로 암호화 대상 파일 크기에 따라 암호화 파일 구조가 달라지는 점이 특징입니다. 또한 로컬 드라이브와 네트워크 드라이브로 연결된 모든 파일을 암호화 대상에 포함하고 C&C 연결을 하지..

악성코드 분석 리포트 2021. 9. 23. 09:00