안녕하세요? 이스트시큐리티 ESRC(시큐리티대응센터) 입니다. 2020년 02월 28일, 이력서 양식 한글문서(hwp)로 위장한 scr파일을 이용한 APT(지능형지속위협) 공격이 등장했습니다. 해당 APT 공격에 이용된 파일의 알약 탐지명은 Trojan.Agent.115608C / Trojan.Agent.Detplock 입니다. 이번 공격은 지난 2019년 12월 04일 공개된 바 있는 '김수키 조직, 청와대 녹지원/상춘재 행사 견적서 사칭 APT 공격' 사례(블루 에스티메이트 캠페인)의 5번째 변종으로 확인되었습니다. ※ 관련글보기 ▶ 김수키(Kimsuky) 조직, 실제 주민등록등본 파일로 둔갑한 '블루 에스티메이트 Part3' APT 공격 주의 (2020.02.06)▶ 청와대 행사 견적서 사칭 변종,..

악성코드 분석 리포트 2020. 3. 2. 13:04

안녕하세요. ESRC(시큐리티 대응센터) 입니다. 최근 코로나19 바이러스 관련 국내 확진자 수가 1,000명을 돌파하면서 코로나19에 대한 공포감이 확산되는 분위기를 악용하여 악성코드가 포함된 이메일이 유포되고 있어 사용자들의 주의가 필요합니다. 이스트시큐리티 ESRC에서 이미 여러차례 코로나 19 이슈를 악용한 악성코드에 대해 주의를 당부드렸지만, 모두 외국어로 된 이메일들 이었습니다. 그러나, 2월 26일(수)에 한글로 작성된 코로나 19 바이러스 사칭 악성코드가 발견되어 국내 사용자들의 각별한 주의가 필요합니다. 이번 공격은 꾸준히 국내 기업/기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고있는 김수키(Kimsuky) 조직의 소행으로 추정되고 있으며, 기존의 김수키(Kimsuky) 조직 공격..

악성코드 분석 리포트 2020. 2. 28. 13:07

안녕하세요.이스트시큐리티 ESRC 입니다. '북한 중앙위원회 전원회의', '2020년 동경 패럴림픽' 관련 문서로 위장한 코니(Konni) APT 그룹 스피어피싱 공격이 포착되었습니다. * 코니(Konni) APT 조직 2014년도부터 지금까지 꾸준히 활동을 하고있는 APT 조직으로, 스피어피싱 공격방식을 사용하며, 주로 북한과 관련된 내용이나 현재 사회적으로 화두가 되고 있는 이슈들로 사용자들의 클릭을 유도합니다. 2019년 6월, 이스트시큐리티는 코니(Konni)조직을 추적하는 과정 중 김수키(Kimsuky)조직과 관련된 몇가지 의심스러운 정황들을 포착하였으며, 코니와 김수키 조직이 특별한 관계에 있을 것이라고 추측중에 있습니다. 이번에 발견된 2개의 악성문서는 각각 1월 14일과 15일에 제작된 것..

악성코드 분석 리포트 2020. 1. 16. 16:47

안녕하세요 ESRC 입니다. 최근 통일외교안보특보 세미나 발표문서처럼 사칭해 특정 관계자 정보를 노린 스피어 피싱(Spear Phishing) 공격이 발견돼 관련 업계 종사자의 각별한 주의가 필요합니다. 이번 공격에 사용된 악성 DOC 문서는 지난 6일(현지시간) 미 워싱턴 DC 국익연구소의 2020년 대북 전망 세미나 관련 질의응답 내용 등을 담고 있습니다. 이스트시큐리티는 2019년 4월, 처음 한ㆍ미를 겨냥한 APT 공격을 발견하였고, 이 공격을 '스모크 스크린(Smoke Screen)'캠페인이라 명명하였습니다. 스모크 스크린(Smoke Screen) 캠페인 스피어피싱 방식으로 특정 공격타겟에게만 은밀히 악성 파일(.hwp 혹은 doc)이 첨부된 이메일을 발송한다.외형적으로 정치, 대북 관련 키워드..

악성코드 분석 리포트 2020. 1. 14. 08:26

2019년 하반기를 기점으로 공공기관과 일반기업에서부터 보수적인 금융권까지 적극적으로 EDR(Endpoint Detection and Response) 솔루션 도입을 검토하고 있다는 소식이 들려오며, 2020년은 국내 EDR 시장의 물꼬가 본격적으로 터지는 원년이 될 것으로 기대되고 있습니다. 국내 보안 시장에 EDR의 개념이 소개된 지는 제법 오래지만, 지금에서야 유의미한 도입사례들이 속속 생기는 데는 어떤 변화가 있었을까요? 하루에도 몇 건씩 발생하는 랜섬웨어, 데이터 유출 사고뿐만 아니라 고도화된 지능형 지속 위협 APT(Advanced Persistent Threat) 공격도 더는 남의 일이 아니라는 점도 분명 한 몫을 할 것입니다. 하지만 국내 시장 상황과 맞지 않다고 외면받던 EDR 솔루션이 ..

전문가 기고 2020. 1. 8. 14:58

안녕하세요이스트시큐리티 대응센터(ESRC) 입니다. 금일 오전, 국내 기업에 특정 회계법인을 위장한 악성 메일이 유포되어 기업 사용자 여러분들의 주의가 필요합니다. 이번 공격 역시 최근 공격을 재개한 TA505 조직의 소행으로 추정되고 있습니다. 해당 악성메일에는 첨부파일 대신 드롭박스 링크가 포함되어 있습니다. [그림 1] 드롭박스 링크가 포함된 악성 메일 사용자가 해당 드롭박스 링크를 클릭한다면, 악성 매크로가 포함된 .xls 파일이 내려받아지며 엑셀 파일에서 매크로를 실행할 경우, 아래의 경로에 DLL 파일을 드롭 및 로드하는 기능이 수행됩니다. ‘C:\Users\[사용자 계정]\AppData\Roaming\Microsoft\Windows\Templates\libDxdiag1.dll’ [그림 2] ..

악성코드 분석 리포트 2019. 10. 22. 13:27

보안 인식 변화와 함께 등장한 EDR 사이버 보안의 대상에 대한 인식이 변화했다. 신, 변종 악성코드, 랜섬웨어와 지능형 지속위협(APT) 공격의 범람과 함께, 공격자의 최종 목표인 엔드포인트의 보안 강화에 대한 요구가 많아졌다. 그 과정에서 전통적인 보안 솔루션의 한계를 극복하고 고도화된 엔드포인트 위협을 예측-예방-대응-탐지하는 ‘EDR(Endpoint Detection and Response)’이라는 개념이 등장했다. EDR, 그러나 왜 아직인가? 하지만 이미 시장에 많은 EDR 제품이 출시되어있음에도 기대했던 만큼 보안 이슈들이 해결되지는 않고 있어, 사용자들은 제품 선택에 애로사항을 겪고 있다. 기존 EDR 제품들은 △ 평판 분석의 한계, △ 드라이버 문제, △ 에이전트, 관리콘솔 중복, △ 과..

전문가 기고 2019. 10. 11. 17:32

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC) 입니다. 2019년 08월 13일 제작된 신규 악성 HWP 문서가 발견되었는데, 이번에는 국세청 관련 문서처럼 사칭한 공격이었습니다. 해당 악성코드를 조사해 본 결과, 지난 6월부터 7월까지 국내에서 지속적으로 발견되고 있는 '무비 코인(Movie Coin)' 시리즈로 분석되었습니다. 제목 마지막 저장시간 (UTC) 마지막 저장자 MD5 별지 제172호 서식 2019-08-13 02:32:05 User 7bece42a704800a6686cad43d3f5ee62 라자루스(Lazarus) APT 그룹의 오퍼레이션 '무비 코인' 시리즈 관련 글은 아래와 같고, 지난 6월부터 8월까지 지속적인 활동이 포착되고 있습니다. 이번까지 총 7번째 리포팅이 진행..

악성코드 분석 리포트 2019. 8. 20. 15:01