안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일 (2019년 05월 30일), 국세청을 사칭하고 '송장'이라는 메일 제목으로, 악성 파일을 포함한 메일이 유포되고 있어 세금계산서 담당자 및 기업의 회계 담당자분들의 주의가 필요합니다. 해당 악성 메일에는 국세청 홈택스에서 보낸 것처럼 "국세청 전자[세금]계산서" 발급 안내 이미지를 포함하고 있으며, 첨부파일 또한 "eTaxInvoice"라는 이름으로 사용자가 별다른 의심 없이 첨부파일을 다운로드할 가능성이 높습니다. ESRC에서는 해당 피싱 메일이 TA505 조직이 유포한 것으로 추정하고 있으며, TA505 조직이 유포하는 악성 메일 내용이 더욱 정교해지고 있습니다. [그림 1] 국세청 인보이스를 사칭한 악성 피싱 메일 이번에 발견된 악..

악성코드 분석 리포트 2019. 5. 30. 10:36

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 금일(2019년 03월 11일) ESRC에서는 알집 압축파일 확장자(.egg)를 이용해 RAT을 이메일로 유포하는 공격을 포착하였습니다. 이번 공격은 선하증권을 확인하라는 내용의 이메일로 유포되고 있으며, 이메일 제목에 '선하증권 확인'으로 시작하는 표현을 담고 있습니다. ※ 선하증권(bill of lading) 해상운송계약에 따른 운송화물의 수령 또는 선적을 인증하고, 그 물품의 인도청구권을 문서화한 증권 또한, 발신자 이메일 도메인으로 CHINA SEA GROUP을 사칭하였고, 실제 이 그룹의 상하이 지점 연락처를 도용하여 이메일 본문에 첨부하였습니다. 첨부파일의 타이틀 역시 "선하증권확인 SSHKH8110002.egg"으로 실제 해상운송..

악성코드 분석 리포트 2019. 3. 11. 17:18

HeroRAT – A totally new Telegram-based Android RAT is spreading in the wild 연구원들이 C&C 및 데이터 추출에 텔레그램 프로토콜을 사용하는 새로운 안드로이드 RAT인 HeroRat을 발견했습니다. HeroRat은 텔레그램 프로토콜을 악용하는 첫 번째 악성코드는 아닙니다. TeleRAT, IRRAT과 같은 유사한 위협이 과거에도 발견 되었습니다. 이 새로운 RAT은 적어도 2017년 8월부터 사용자들을 공격해왔으며, 2018년 3월에는 텔레그램 해킹 채널에 무료로 소스코드가 공개 되어 공격자들이 다양한 변종을 만들 수 있게 되었습니다. HeroRat은 이런 방식으로 태어났지만, 해당 소스코드를 차용한 다른 변종들과는 꽤 다른 것으로 보입니다. H..

국내외 보안동향 2018. 6. 20. 11:33

China-Linked APT15 is still very active, experts found its new malware tracked as ‘MirageFox’ 보안 연구원들이 중국과 관련 된 APT그룹인 APT15의 최근 활동에 대한 증거를 발견했습니다. APT15 그룹 (Ke3chang, Mirage, Vixen Panda, Royal APT, Playful Dragon로도 알려짐)이 이전 작업 시 사용했던 툴의 코드를 차용한 새로운 악성코드를 개발했습니다. APT15는 적어도 2010년부터 활동해 왔으며, 전 세계의 국방, 첨단 기술, 에너지, 정부, 우주 항공, 제조업 분야에 대해 사이버 간첩 캠페인을 실시했습니다. 공격자들은 수 년에 걸쳐 공격을 정교화해왔습니다. 그들은 공격 시 커스텀 ..

국내외 보안동향 2018. 6. 19. 15:26

Malspam Campaigns Using IQY Attachments to Bypass AV Filters and Install RATs Necurs 배포하는 것 등의 악성 스팸 캠페인이 안티바이러스 및 메일 필터를 우회하는 새로운 첨부파일 타입을 활용하고 있습니다. 이 IQY 첨부파일들은 Excel Web Query 파일이며, 오픈 될 경우 외부 소스로부터 데이터를 가져오려고 시도합니다. 문제는 스프레드 시트가 가져오는 외부 데이터는 엑셀에서 실행할 수 있는 수식이 될 수 있다는 것입니다. 이 수식은 컴퓨터에 악성코드를 다운로드 하고 설치하는 PowerShell 스크립트를 로컬에서 실행하는데 사용될 수 있습니다. IQY 첨부파일을 사용하는 악성 스팸 캠페인 3개 발견 연구원들은 IQY 첨부파일을 사용..

국내외 보안동향 2018. 6. 12. 11:42

Hackers Are Distributing Backdoored 'Cobian RAT' Hacking tool For Free 최근 많은 언더그라운드 해킹 포럼들에서 무료로 배포되고 있는 RAT 빌더 키트에서 백도어가 발견되었습니다. 이 백도어는 키트 제작자가 피해자들의 데이터 전체에 접근할 수 있도록 허용합니다. Cobian RAT이라 명명 된 이 악성코드는 올해 2월부터 배포되고 있었었으며, njRAT과 H-Worm 패밀리와 유사합니다. 연구원들은 해커가 되고자 하는 사람들이 이 “무료 악성코드 빌더”를 이용하면 비교적 쉽게 자신만의 버전의 Cobian RAT을 생성할 수 있다고 설명했습니다. 범죄자가 이 무료 빌더를 사용해 자신만의 악성코드를 생성 후, 해킹 된 웹사이트나 스팸 캠페인들을 통해 전 ..

국내외 보안동향 2017. 9. 8. 11:54

Photoshop Remote Connections 기능 소개 Photoshop중에는 Remote Connections 이라는 기능이 포함되어 있습니다. 해당 기능은 기본적으로 비활성화 되어있지만, 만약 사용자가 해당 기능을 활성화 시킨 후 비밀번호를 설정해 놓았다면, 비밀번호를 아는 누군가가 해당 서비스를 이용하여 사용자의 PC를 원격에서 컨트롤 할 수 있게 됩니다. 다음은 Remote Connections 기능 활성화 화면 입니다. 일반 사용자들은 해당 기능을 이용하여 PS 파일들을 자신의 다른 iPad나 휴대폰 등으로 확인하며 디자인을 수정하는데 사용합니다. 이 기능은 휴대폰 등 이동식 디바이스에서 PS Playon과 Skala Preview등 서드파티 앱을 통해 연결할 수 있습니다. 해당 원격 연..

국내외 보안동향 2017. 8. 10. 11:09

Adwind RAT Returns! Cross-Platform Malware Targeting Aerospace Industries 최근 보안연구원들이 Java로 작성 된 RAT악성코드 Adwind가 다시 등장하였다고 밝혔습니다. 이 악성코드는 항공 우주 업계를 타겟으로 하며, 가장 많은 피해를 입은 국가는 스위스, 오스트리아, 우크라이나, 미국이라고 밝혔습니다. AlienSpy, Frutas, jFrutas, Unrecom, Sockrat, JSocket, jRat으로도 알려진 Adwind는 2013년도부터 개발되었으며, 윈도우, 맥, 리눅스, 안드로이드를 포함한 모든 주요 OS들을 감염시킬 수 있습니다. Adwind는 계정정보 탈취, 스크린샷을 통한 정보탈취, 데이터 수집, 데이터 유출 등의 악성기능..

국내외 보안동향 2017. 7. 13. 11:06