이스트시큐리티의 CTI 조직인 시큐리티대응센터(이하 ESRC)는 정부 차원의 후원을 받는 공격자(State-sponsored Actor)가 수행한 최신 지능형지속위협(APT) 캠페인을 확인했습니다. 수년간 연속성이 유지되던 APT 징후가 일정 기간 포착되지 않을 경우, 위협그룹이 새로운 침투를 준비하고 있거나 최신 공격 기술개발에 집중하고 있는 단계일 가능성이 있습니다. 이번 사이버 위협의 배후로 알려진 조직은 일명 '라자루스(Lazarus)'로 널리 알려져 있으며, 이미 유사한 공격 사례가 지속적으로 보고되고 있습니다. ESRC에서는 금년에 국내외에서 포착된 여러 건의 작전을 연속시리즈로 공개한 바 있으며, 공격에 사용한 익스포트 함수, 파일명 등의 키워드를 활용해 '작전명 배틀 크루저(Operatio..

악성코드 분석 리포트 2018. 10. 23. 23:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 며칠 전 국내 특정 기관에서 공지한 '북한 2018년 신년사 분석' 내용으로 사칭한 HWP 취약점 기반 악성파일이 발견되었습니다. 수년 전부터 유사한 형태의 스피어 피싱(Spear Phishing) 추정 공격이 지속적으로 발견되고 있으므로, 이용자분들의 각별한 주의가 요망됩니다. [그림 1] 북한 2018년 신년사 분석으로 위장한 악성파일 실행 화면 해당 문서파일 포맷 내부에는 밀봉형 포스트스크립트(Encapsulated PostScript)인 'BIN0004.eps' 데이터가 포함되어 있습니다. 기본적으로 HWP 문서파일은 zlib 공개 압축 라이브러리를 사용하고 있는데, 압축된 부분을 해제하면 아래 비교화면과 같이 내부의 코드를 확인할 수 ..

악성코드 분석 리포트 2018. 1. 4. 17:09

HWP 2014 취약점 공격주의 한컴오피스2014 제품의 문서파일(HWP) 취약점(CVE-2015-6585)을 이용한 악성파일이 지속적으로 발견되고 있어, 해당 제품 이용자들의 각별한 주의가 필요합니다. 이 보안 취약점은 2015년 09월 07일 한글과컴퓨터 업체에서 제공한 보안업데이트를 통해 취약점을 제거할 수 있습니다. HWP 2014 취약점 공격절차 이번 공격은 한컴 오피스 2014 제품을 설치한 특정 환경에서 취약점이 작동하며, 8월 전후부터 보안 업데이트가 완료된 9월 초까지 Zero-Day 공격으로 활용됐습니다. 또한, 한글 2014 환경설정에 존재하는 “악성코드 차단” 동작 기능 설정과는 무관하게 취약점이 작동합니다. 유포과정 공격자는 취약점 모듈을 삽입한 HWP(X) 문서파일을 첨부해 특정..

국내외 보안동향 2015. 10. 6. 14:20