안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터)입니다. 마치 북한의 최근 내부 소식인 듯 현혹하는 악성 HWP 문서 파일 공격이 발견돼 각별한 주의가 필요합니다. 문서를 실행하면 깨진 글자 들이 보여지며 "호환 문서" 메세지 박스를 출력 합니다. [그림 1] HWP 실행 화면 만약 사용자가 문서를 확인하기 위해 프로그램을 선택하면 [그림 2]와 같은 보안 경고 화면을 출력해 한번 더 사용자의 클릭을 유도합니다. [그림 2] 보안 경고 화면 만약 사용자가 “열기”를 클릭하면 %temp%아래 "호환 문서 프로그램 실행.lnk", "qwer1234.txt" “qwer1234.tmp”파일들이 드롭되고 명령어가 실행됩니다. %comspec% /c cd "%userprofile%\AppData\Local\Te..

악성코드 분석 리포트 2020. 10. 30. 16:25

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 견적 요청 메일로 위장한 피싱 메일이 유포되고 있어 사용자들의 주의가 필요합니다 이번에 발견된 메일은 “견적요청”이라는 제목으로 전파되었으며, 특정 기업에서 발송한 것처럼 사용자를 속여 메일에 포함된 첨부파일 “Purchase order.xlsx”의 클릭을 유도하고 있습니다. [그림 1] 견적 요청 메일로 위장한 피싱 메일 사용자가 피싱메일에 첨부된 파일을 다운로드하여 실행할 경우, MS Office 엑셀파일이 오픈되며 전체 파일 내용 확인을 위해 본문에 포함된 링크를 클릭 할 경우 개인 정보 탈취를 목적으로 제작된 외부 사이트로 이동 합니다. - 개인정보 수집 사이트hxxps://man2deliserdang.sch.id/xel/view.php - 개..

악성코드 분석 리포트 2020. 10. 28. 14:30

안녕하세요? 이스트 시큐리티 ESRC(시큐리티대응센터)입니다. 금일 ZLoader 악성코드가 국내에서 이메일을 통해 유포됨을 확인하였습니다. 이메일은 “당신의 사업이 조만간 정지될 것이다”의 내용으로 첨부된 URL을 실행하도록 유도합니다. [그림 1] 사업 정지 내용의 악성 메일 화면 이용자가 문서 확인을 위해 이메일 내 링크를 클릭하게 되면은 구글 문서가 열립니다. 그리고, ‘Click here to download the document’를 한차례 더 누를 경우, ‘https://donwloadfiles[.]top/download.php’에서 ‘details1910p.xls’ 엑셀 파일이 다운로드됩니다. [그림 2] 연결된 구글 드라이브 화면 문서 실행 시 아래와 같이 매크로 실행을 유도하는 화면이 ..

악성코드 분석 리포트 2020. 10. 21. 13:45

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 바하무트는 의뢰를 받아 공격을 수행하는 조직으로 알려져 있습니다. 이 조직의 공격 목적은 때론 금전이었다가 어떤 때는 정치적인 목적을 위한 공격을 수행하기도 합니다. [그림] 악성 앱 설치 화면 분석 내용을 살펴보면 Spyware.Android.Bahamut는 피해자의 개인 정보 탈취를 주요 목적으로 하고 있음을 알 수 있습니다. 그리고 공격 대상이 다를 경우 대상에 맞추어 공격 코드의 변화가 있을 것으로 예측됩니다. 이런 공격은 부지불식간에 당하기 마련이기에 사용자의 예방 노력이 무엇보다 중요합니다. 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며 알약M과 같은 신뢰할 수 있는 백신을 사용해야 합니다..

악성코드 분석 리포트 2020. 10. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 통칭 ‘Dridex’ 라고 불리는 금융 정보 탈취 악성코드가 해외에서 기업을 대상으로 공격이 이루어졌습니다. 이 악성코드는 2014년부터 발견되어 최근까지도 대량 유포 중이며 이를 제작한 그룹은 뛰어난 기술력을 소유한 ‘Evil Corp’ 또는 ‘TA505’로 해킹 그룹의 소행으로 알려져 있습니다. 지난 9월 다음과 같은 메일이 수신되었습니다. 운송회사를 사칭한 메일로 연체된 송장을 확인하라는 내용입니다. [그림] 이메일 화면 특히 TA505그룹은 축적된 기술로 인하여 분석 및 탐지가 어려운 특징이 있습니다. 과거에는 국외에서 다량 유포되고 있지만 최근 국내 기업을 대상으로도 유포가 되고 있어 사용자들의 주의가 필요합니다. 따라서 이러한 ..

악성코드 분석 리포트 2020. 10. 20. 09:00

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 이력서로 위장한 Makop 랜섬웨어 유포 정황이 포착되어 기업 담당자들의 주의가 필요합니다. [그림 1] Makop 랜섬웨어 이메일 본문 첨부파일은 ZIP, LZH 이중 압축으로 되어 있으며 pdf로 위장되어 있는 ‘exe’ 파일임을 확인할 수 있습니다. [그림 2] pdf로 위장된 랜섬웨어 파일 이 파일은 설치 파일 NSIS로 제작되었으며 실행 시 암호화된 랜섬웨어 파일을 복호화하여 child 프로세스에 인젝션하는 형태를 가집니다. 이는 백신의 탐지로부터 우회하기 위한 행위로 보입니다. 섀도 볼륨을 삭제하기 위해 cmd.exe를 실행하여 파이프를 통해 명령을 전달합니다. [그림 3] 섀도 볼륨 삭제 명령 또한 특정 프로세스들을 종료시킵니..

악성코드 분석 리포트 2020. 10. 5. 11:37

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 사이버 검찰청 사칭 스미싱을 통해서 유포되었으며 SO 파일을 이용하여 C2를 암호화하고 숨깁니다. 구글 플레이스토어와 비슷한 아이콘을 이용해서 사용자를 속이며 기기 정보와 문자 메시지 관련 정보를 탈취합니다. 앱 명은 ‘App Stare’를 사용하며 아이콘은 구글 플레이스토어를 사칭합니다. 앱 실행 시 초기화 단계에서 SO 파일을 로드하며 기기 부팅 시 재시작되도록 설정돼 있습니다. [그림] 앱 아이콘 해당 악성 앱은 사이버 검찰청을 사칭한 스미싱으로 유포됐습니다. SO 파일을 이용하여 C2를 숨기고 있으며 기기 정보와 문자 정보를 탈취합니다. 따라서, 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검..

악성코드 분석 리포트 2020. 9. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 브라우저, Messenger 등의 애플리케이션에 사용되는 Credential 정보, 암호 화폐 지갑 정보, 실행 화면, 웹캠, 클립보드 등 사용자 PC에서 정보를 유출하는 ‘RezoStealer’ 인포스틸러가 발견되어 사용자들의 주의가 필요합니다.[그림] 감염 PC 정보 탈취 코드 중 일부 ‘RezoStealer’는 사용자 PC에서 Credential 정보를 탈취하여 C&C로 전송하는 악성코드입니다. 특징적으로 주목할 만한 기능에는 암호화폐 지갑과 함께 PC에 연결된 USB와 바탕화면 경로에 있는 파일을 수집하는 기능이 있다. 수집하는 파일 확장자 목록에는 ‘.cs’, ‘.sln’ 등이 포함되어 있어, 애플리케이션 제작 소스가 유출될 가능..

악성코드 분석 리포트 2020. 9. 15. 09:00