안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 '형사 사건번호'라는 제목으로 헌법 재판소를 사칭한 피싱 메일이 유포되고 있습니다. [그림 1] 헌법 재판소로 사칭한 피싱 메일 이 피싱 메일은 사건과 관련된 모든 자료를 함께 동봉했다며 사용자가 첨부된 파일(Documents.zip)을 실행하도록 유도합니다. 첨부 파일에는 난독화된 자바스크립트 파일 ‘Korea Criminal Case #521.js’, ‘Korean Constitutional Court #143.js’(Trojan.JS.Ransom.A)을 포함하고 있으며, 자바스크립트 파일을 실행할 경우 최종적으로 ‘Trojan.Ransom.VegaLocker’(이하 ‘VegaLocker’) 랜섬웨어에 감염됩니다. VegaLock..

악성코드 분석 리포트 2019. 6. 21. 08:15

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 PC 악성코드의 대부분은 랜섬웨어이며 복호화 대가로 암호화폐를 요구하고 있습니다. 이러한 흐름이 안드로이드에서도 빈번하게 나타나기 시작했습니다. 관련 앱은 기기 정보를 탈취하여 감염자를 구별하는 데 사용합니다. 외부 저장소의 폴더와 파일을 가리지 않고 저장된 모든 파일을 암호화합니다. 또한, 연락처도 암호화합니다. 이때 암호화에 사용되는 알고리즘은 AES이며 키값은 해커의 C&C를 통해서 얻어옵니다. 암호화폐를 이용하여 비용을 지불하면 복호화가 진행됩니다. 본 분석 보고서에서는 'Trojan.Android.Locker'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 게임 앱 위장해당 악성 앱의 아이콘은 전 세계적으로 인기를 끈 ..

악성코드 분석 리포트 2019. 5. 22. 11:17

안녕하세요? 이스트시큐리티입니다. 최근 신종 ‘Sodinokibi’ 랜섬웨어가 발견되었습니다. 이번에 발견된 악성코드는 난독화된 자바스크립트가 Powershell을 실행하고 디코딩을 한 후 최종적으로 정상 프로세스에 랜섬웨어 파일을 주입하여 실행하는 형태입니다. 또한 로컬 시스템만 감염 시키는 것이 아니라 로컬과 연결된 네트워크 드라이브에 대해서도 암호화를 시도하고, C&C 서버에 사용자 정보를 전송합니다. 지속적인 변종이 등장할 가능성이 높은 만큼 사용자의 주의가 필요합니다. 따라서, 본 보고서에서는 Sodinokibi 랜섬웨어를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 랜섬웨어 드로퍼이 악성코드는 여러 중간 과정을 통해 최종 랜섬웨어 PE파일을 드롭합니다. 이 과정은 자바스크립트 실행, 파워..

악성코드 분석 리포트 2019. 5. 21. 10:23

Popular Video Editing Software Website Hacked to Spread Banking Trojan 매월 130만 명 이상이 사용하는 인기 있는 무료 영상 편집 및 변환 프로그램인 VSDC 공식 웹사이트가 작년에 이어 또다시 해킹되었습니다. 올해 2월 말부터 3월 말 사이에 VSDC 멀티미디어 편집 소프트웨어를 다운로드했을 경우, 뱅킹 트로이목마 및 데이터 스틸러에 감염되었을 가능성이 높은 것으로 나타났습니다. Dr.Web이 공개한 보고서에 따르면, 해커들은 VSDC 웹사이트를 해킹하고 소프트웨어 다운로드 링크를 악성코드를 다운로드하도록 바꿔치기했습니다. 악성코드는 VSDC 소프트웨어를 설치하러 방문한 사용자들을 Win32.Bolik.2 뱅킹 트로이목마 및 KPOT 스틸러를 다..

국내외 보안동향 2019. 4. 12. 11:01

Despite arrests, FIN7 launched 2018 attack campaigns featuring new malware FIN7은 지난해 여러 명의 조직원이 체포된 후에도 건재하다는 신호를 보이고 있습니다. "Astra"라고 불리는 새로운 관리자 패널 툴과 이전에는 볼 수 없었던 새로운 악성 프로그램 샘플이 발견되었기 때문입니다. 이 악성 행위를 발견한 FlashPoint 연구원들은 2018년 5월부터 7월까지 Astra관련 활동을 관찰했습니다. 전문가들은 FIN7 그룹이 적어도 2015년부터 유럽과 호주 등 47개 주에서 100여 개 미국 기업을 대상으로 활발한 사이버 범죄 행위를 했다고 전했습니다. 지난해 8월 미국 법무부는 FIN7의 핵심으로 알려진 우크라이나 남성 3명이 체포되었다고..

국내외 보안동향 2019. 3. 22. 11:30

Patched WinRAR Bug Still Under Active Attack—Thanks to No Auto-Updates 다양한 사이버 범죄 그룹들과 해커들이 아직까지 최근 패치된 WinRAR의 치명적인 코드 실행 취약점을 악용하고 있는 것으로 나타났습니다. WinRAR 소프트웨어는 자동 업데이트 기능이 없기 때문에, WinRAR 소프트웨어를 최신 버전으로 패치하지 않은 사용자 수백만 명은 여전히 사이버 공격에 대상이 되고 있습니다. 지난달 말 WinRAR 5.70 beta 1에서 패치된 이 치명적인 취약점(CVE-2018-20250)은 지난 19년 동안 공개된 WinRAR의 모든 5.70 beta 1 이전 버전에 영향을 미칩니다. 이 취약점은 오래된 서드파티 라이브러리인 UNACEV2.DLL에 존..

국내외 보안동향 2019. 3. 18. 10:25

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 3월 13일 오후경부터 한국은행을 사칭한 악성 이메일이 갠드크랩(GandCrab) v5.2를 유포중인 것으로 확인되어 주의가 필요합니다. 이번 이메일은 한국어로 작성된 것뿐만 아니라, 마치 중국어처럼 보이는 한문표기가 포함된 형태도 발견되었는데, 중국어 표기법에는 맞지 않는 의미없는 표기로 확인이 되었습니다. 그리고 발신자 명에 'Min Gap Ryong' 문구가 포함되어 있는 특징이 있습니다. [그림1] 한국은행을 위장한 악성 이메일 한글 버전 [그림2] 한국은행을 위장한 의미없는 문자의 악성 이메일 지난 2월 27일 한국은행을 사칭한 악성 이메일 역시 갠드크랩 랜섬웨어가 첨부된 압축 파일을 포함하고 있었습니다. ※ 관련글 보기 ▶..

악성코드 분석 리포트 2019. 3. 14. 11:48

안녕하세요? 이스트시큐리티입니다. 과거부터 공격자들은 백신 탐지를 우회하고 감염 사실을 은폐하기 위해 다양한 방법을 시도해왔습니다. 그중 프로세스 인젝션 기법을 통한 백신 탐지 우회는 Process Hollowing, SetWindowsHookEx등 방법을 전형적인 방법을 통해 이루어져왔습니다. 하지만 이러한 기법들은 오랜 기간 사용되었기 때문에 백신 회사들로부터 인젝션 탐지 연구가 진행되어 악성코드 탐지율이 높아졌습니다. 이에 따라 최근 기존에 사용되어 왔던 프로세스 인젝션 기법이 아닌 Atombombing , Process Doppelganging, early bird등 새로운 기법들이 등장하였으며 이러한 기법들은 정보 탈취 악성코드, 랜섬웨어 등 다양한 유형의 악성코드에서 발견되고 있습니다. 따라서..

악성코드 분석 리포트 2018. 6. 19. 18:19