안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. woodyRAT 악성코드는 러시아어로 작성된 문서파일로 유포되었고 최종 페이로드는 명령 제어 악성코드이며, 최근까지 이메일 등으로 유포가 이루어지고 있는 것으로 알려져 있습니다. 해당 woodyRAT은 사용자의 시스템 정보 유출과 명령제어 등의 일반적인 RAT 기능과 더불어 악성코드 내부에 닷넷 기반의 DLL를 포함하고 있어 수신된 명령어가 닷넷이나 파워쉘인 경우에도 원격 제어가 가능하다는 특징이 있습니다. ‘woodyRAT’ 악성코드는 사용자 정보 전송 및 명령 제어 기능을 수행하는 원격 제어 악성코드입니다. 이번에 발견된 최초 문서 파일은 러시아어로 작성되어 있으나 다양한 언어로 작성되어 유포될 가능성이 존재하고 닷넷, 파워쉘 등 다양..

악성코드 분석 리포트 2022. 9. 26. 10:00

Experts Sound Alarm on DCRat Backdoor Being Sold on Russian Hacking Forums 사이버 보안 연구원들이 전문 사이버 범죄 그룹과 초보자가 모두 이용할 수 있도록 저렴한 가격으로 판매되는 원격 액세스 트로이목마인 DCRat(DarkCrystal RAT)을 발견했습니다. BlackBerry 측은 보고서를 통해 아래와 같이 밝혔습니다. "커스텀 악성코드를 제작하는 자금이 넉넉한 규모가 큰 러시아 그룹과는 달리, 이 원격 액세스 트로이 목마(RAT)는 공격자의 단독 작업으로 보이며 적은 가격으로 백도어를 여는 놀랍도록 효과적인 툴을 제공합니다.” 코드네임 "boldenis44", "crystalcoder"가 .NET으로 작성한 DCRat은 DCRat Stud..

국내외 보안동향 2022. 5. 10. 09:00

Hackers Using PrivateLoader PPI Service to Distribute New NetDooka Malware PrivateLoader로 알려진 PPI(pay-per-install) 악성코드 서비스가 NetDooka라는 꽤 정교한 프레임워크를 배포해 공격자가 감염된 장치를 완전히 제어하도록 허용하는 것으로 나타났습니다. Trend Micro는 보고서를 발표해 아래와 같이 밝혔습니다. "프레임워크는 PPI(pay-per-install) 서비스를 통해 배포되며 로더, 드로퍼, 보호 드라이버, 자체 네트워크 통신 프로토콜을 구현한 완전한 기능을 갖춘 원격 액세스 트로이 목마(RAT) 등 여러 부분으로 이루어져 있습니다.” Intel 471이 2022년 2월 문서화한 PrivateLoad..

국내외 보안동향 2022. 5. 9. 09:00

New Borat remote access malware is no laughing matter 새로운 원격 접속 트로이목마(RAT)인 Borat이 다크넷 마켓에서 발견되었습니다. 이는 DDoS 공격, UAC 우회, 랜섬웨어 배포를 수행하기 위한 사용이 쉬운 기능을 제공합니다. 원격 공격자가 Borat을 사용할 경우 피해자의 마우스와 키보드를 완전히 제어하고 파일, 네트워크 지점에 접근하고 그들의 모든 존재 흔적을 숨길 수 있습니다. 이 악성코드는 운영자가 컴파일 옵션을 선택하는 방식을 통해 고도로 커스텀된 공격에 정확히 필요한 기능을 제공하는 작은 페이로드를 생성하도록 돕습니다. Cyble의 연구원들은 실제 공격에서 Borat을 발견한 후 악성코드의 샘플을 채취해 이를 연구할 수 있었습니다. 폭 넓은 ..

국내외 보안동향 2022. 4. 4. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. Trojan.JAVA.Agent.Gen (이하 ‘STRRAT’)는 지난 2020년에 공개된 Java 언어 기반의 명령 제어 악성코드이며, 최근까지 이메일 등으로 유포가 이루어지고 있는 것으로 알려져있습니다. 특징적으로 이 STRRAT는 브라우저 크리덴셜 정보 유출 등의 일반적인 RAT 기능과 더불어 ‘Crimson’이라고 불리우는 랜섬웨어 기능이 함께 포함되어 있는 점이 특징입니다. ‘STRRAT’ 악성코드는 정보 전송 및 명령 제어 기능을 수행하는 Java 기반의 RAT입니다. 특징적으로 이 악성코드는 다른 명령 제어 악성코드와 달리 랜섬웨어 기능이 탑재되어 있는 점, EXE 기반 대신 Java 파일(*.jar) 혹은 스크립트를 실행하는..

악성코드 분석 리포트 2022. 3. 21. 09:00

Chinese Hackers Target Taiwan's Financial Trading Sector with Supply Chain Attack 중국 정부의 지원을 받는 한 APT 그룹이 대만 금융 부문을 노린 조직적인 공급망 공격과 관련이 있는 것으로 나타났습니다. 해당 공격은 2021년 11월 말 처음 시작된 것으로 보이며, APT10 그룹의 작업으로 알려졌습니다. 해당 그룹은 Stone Panda, MenuPass, Bronze Riverside라고도 알려져 있으며 최소 2009년부터 활동한 것으로 알려졌습니다. 대만의 사이버 보안 회사인 CyCraft가 발행한 새로운 보고서에 따르면, 2차 공격은 2022년 2월 10일 ~ 13일 사이에 최고조에 달했습니다. 또한 이 광범위한 공급망 공격은 특히..

국내외 보안동향 2022. 2. 23. 09:00

Chinese hackers use Windows zero-day to attack defense, IT firms 중국어를 구사하는 한 해킹 그룹이 윈도우 Win32k 커널 드라이버의 제로데이 취약점을 악용하여 새로운 원격 액세스 트로이목마(RAT)를 배포하고 있는 것으로 나타났습니다. MysterySnail로 알려진 이 악성코드는 Kaspersky의 보안 연구원이 2021년 8월 말부터 9월 초 사이에 여러 마이크로소프트 서버에서 발견했습니다. 또한 연구원들은 마이크로소프트에서 이번 달 '패치 화요일'의 일부로 패치한 Win32k 드라이버 보안 취약점인 CVE-2021-40449을 노리는 권한 상승 익스플로잇을 발견했습니다. Kaspersky의 연구원인 Boris Larin과 Costin Raiu는 ..

국내외 보안동향 2021. 10. 13. 09:00

New variant of Konni RAT used in a campaign that targeted Russia Malwarebytes Labs의 보안 연구원이 Konni RAT을 통해 러시아를 노리는 현재 진행 중인 악성코드 캠페인을 발견했습니다. Konni RAT은 2017년 Cisco Talos 연구원이 처음 발견했으며, 2014년부터 탐지되지 않은 채 고도의 타깃 공격에 악용되었습니다. 이 RAT은 지속적으로 진화하여 탐지를 피할 수 있었고, 타깃 시스템에서 임의 코드를 실행하고 데이터를 훔칠 수 있었습니다. Konni RAT는 Thallium, APT37로 알려진 북한 관련 공격자의 작업으로 추측됩니다. Malwarebytes의 전문가들은 러시아어로 작성된 무기화된 문서 2건을 발견했습니다...

국내외 보안동향 2021. 8. 31. 14:00