잉카인터넷 시큐리티대응센터 블로그

구글의 Threat Analysis Group (TAG)에서 국가 정부 기관이 공격받은 다수의 사건을 공개했다. TAG 측은 그리스와 튀니지 등 5개의 국가 정부 기관이 공격받은 사건을 소개하며, 공격자가 모든 사건에서 사용한 제로데이 취약점을 언급했다. 이 취약점은 CVE-2023-37580으로 알려졌으며, 이메일 솔루션 업체인 Zimbra의 프로그램에서 링크 내의 매개 변수를 제대로 처리하지 못해 발생하는 XSS 취약점이라고 설명했다. 해당 취약점을 사용한 첫 번째 공격은 6월 경 그리스 정부 기관에서 발생했다. 이때 공격자는 취약점을 악용한 링크를 메일 본문에 작성해 관계자에게 전송하는 방식으로 피해 기관에 침투했고 이메일과 첨부 파일 등의 데이터를 탈취했다. 며칠 후인 7월 초에 이 사건이 알려지..

공식 도메인으로 사칭한 가짜 KeePass 사이트를 광고로 표시해 악성 코드를 배포하는 Google Ads 캠페인이 발견됐다. 보안업체 Malwarebytes는 사용자가 해당 광고 링크를 클릭하면 Punycode URL을 사용한 가짜 웹사이트에 접속하게 된다고 전했다. Punycode는 특수 문자가 포함된 텍스트를 ASCII 인코딩으로 변환시켜주는 형식으로, 공격자는 이점을 악용해 공식 사이트와 유사해보이는 유니코드로 변경 후 도메인 이름을 등록한다. 해당 캠페인은 keepass.info의 k 문자와 비슷한 ķ 유니코드를 사용해 ķeepass.info로 도메인 이름을 설정했다. 사용자는 해당 링크를 기존 도메인과 동일하다고 인지 후 접속하게 되고 다운로드를 클릭하면 FakeBat 악성코드가 설치된다. 외..

AtlasCross라는 새로운 APT 해커 그룹이 미국 적십자를 사칭해 피싱 메일로 백도어 악성코드를 배포하는 캠페인이 발견됐다. 보안업체 NSFOCUS에 의하면 AtlasCross 측은 헌혈 캠페인에 참여할 것을 요청하는 피싱 메시지를 사용자에게 보낸다. 해당 메시지에는 워드 문서 첨부 파일이 포함돼 있으며 첨부 파일을 설치하면 악성 매크로가 실행된다. 매크로는 Windows 장치에서 ZIP 아카이브를 추출해 DangerAds 시스템 프로파일러 및 맬웨어 로더를 실행한다. 이후 Microsoft Office Updates 라는 스케쥴러를 생성하고 3일동안 DangerAds를 실행해 호스트 환경을 확인한다. 만약 시스템의 사용자 이름이나 도메인 이름에 특정 문자열이 있는 경우 내장된 쉘코드를 실행해 최종..

최근 봇넷으로 알려진 "P2PInfect" 악성코드가 급속도로 전파 중인 정황이 발견됐다. 보안 업체 Cado Security는 확인된 건수가 지난 8월 말과 비교해 600배 증가했다고 언급하며 리눅스 환경에서 발견된 샘플의 분석 보고서를 공개했다. 공격자는 클라우드 서비스의 인스턴스를 노드로 구성하고 SSH를 사용해 악성코드를 유포한다. "P2PInfect" 악성코드는 피해자 시스템에서 스케줄러인 cron을 사용해 30분마다 기본 페이로드를 실행하도록 지속성을 설정한다. 또한, 로컬 호스트의 소켓으로 기본 페이로드의 메인 프로세스를 모니터링하며, 프로세스 종료로 바이너리가 삭제되면 다른 노드에서 메인 바이너리를 가져와 실행한다. 이 외에도 공격자의 SSH 키로 SSH Authorized keys 파일을..

최근 APT36 해커 그룹이 YouTube 앱을 사칭한 "CapraRAT" 악성코드를 배포하는 정황이 발견됐다. APT36 해커 그룹은 자체 운영 웹사이트와 사회 공학 기법을 사용해 구글 플레이 스토어 외부에서 악성코드를 배포한다. 사용자가 파일을 설치하면 "CapraRAT"은 마이크, 전면 및 후면 카메라를 이용한 녹음과 모니터링과 같은 수많은 위험 권한을 요청한다. 이때 사용자가 권한을 수락하면 공격자는 감염된 기기에서 통신 정보와 같은 민감한 개인 정보를 탈취한다. 보안 업체 SentinelLabs는 해당 공격이 카슈미르 분쟁 지역 관련 조직과 파키스탄 인권 운동가의 감시를 목적으로 사용된다고 언급했다. 외신은 해당 악성코드가 지속적으로 업데이트되고 있다고 덧붙이며, 공식 구글플레이 스토어 외부에서..