잉카인터넷 시큐리티대응센터 블로그

인보이스를 사칭한 피싱 메일 주의! 인보이스 사칭 피싱 메일은 해외 거래를 할 때 사용하는 송장 정보인 ‘인보이스’를 사칭하여 사용자가 받을 만한 메일을 보내는 기법을 말한다. 해당 피싱 메일은 사용자가 필수적으로 확인해야하는 정보를 담고있기에 첨부파일 및 링크를 클릭할 수 밖에 없게 하여 효과적이다. 최근 이런 인보이스 사칭을 통한 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 아래의 피싱 메일은 파일이 첨부된 인보이스를 사칭한 메일이다. 해당 메일은 주문 내역과 함께 첨부 파일 문서를 숙지해 달라는 내용으로 첨부파일 실행을 유도하고 있다. 첨부 파일은 Office 파일로 실행할 경우, 자세히 보려면 컨텐츠 사용 버튼을 누르도록 유도한다. 컨텐츠 사용 버튼을 클릭하면 Office 파일에 적용된 매크..

Cisco 취약점 보안 업데이트 권고 개요 Cisco는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - Cisco IOS XR Software 7.0.2, Cisco FMC / FTD Software 6.6.1 - Cisco FXOS 2.7.1.131, Cisco ASA Software 9.14.1.15 참고자료 https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35745 https://tools.cisco.com/security/center/pub..

Mozilla 취약점 보안 업데이트 권고 개요 Mozilla는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - Firefox 82 버전 - Firefox ESR 78.4 버전 - Thunderbird 78.4 버전 참고자료 https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35738 https://www.mozilla.org/en-US/security/advisories/ https://www.mozilla.org/en-US/security/advi..

지난 해에 등장한 ‘WSH RAT’이 최근 다시 모습이 나타나고 있다. 해당 악성코드는 PDF Reader Installer 을 가장한 파일로, 자바 스크립트 파일을 드롭하여 악성 동작을 수행한다. 악성 동작이 수행될 때, 정상 Installer 파일도 함께 실행하여 사용자가 눈치채지 못하게 하기에 큰 주의가 필요하다. 해당 악성코드가 실행되면, 정상 PDF Reader Installer을 드롭하고 실행한다. 정상 Install 파일의 화면을 띄우고, 악성 자바 스크립트 파일을 드롭 및 실행한다. 해당 스크립트 파일은 난독화 되어있어 일반 사용자는 파일 내용을 확인하기 힘들도록 한다. 아래의 빨간색 상자는 인코딩된 메인 코드이다. 인코딩된 메인 코드를 base64로 디코딩하면 다음과 같은 스크립트를 확인..

Zeppelin Ransomware 감염 주의 “Zeppelin” 랜섬웨어는 Buran 랜섬웨어의 변종으로 2019년 11월쯤에 발견되었다. 당시 미국과 유럽 회사를 공격했던 랜섬웨어로 알려졌는데 최근 다시 Zeppelin 랜섬웨어가 등장하여 의료 및 기술 분야와 관련된 내용으로 작성한 피싱 이메일을 유포하고 있어 주의가 필요하다. 이번 보고서에서는 “Zeppelin” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 아래 [표 1]의 암호화 제외 목록을 참고하고 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “랜덤명3자리-랜덤명3자리-랜덤명3자리” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “RECOVERY DATA INFORMATION.TXT”..

지난 2019년에 최초로 등장한 ‘Matiex Keylogger’가 최근 다시 모습을 드러내고 있다. 해당 악성코드는 유료 악성코드로서 온라인에서 판매 중이며, 사용자의 개인정보를 탈취하는 등 다양한 악성 동작을 보유하고 있어 주의가 필요하다. 이번 보고서에서는 ‘Matiex Keylogger’ 의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 사용 가능한 기간에 따라 가격대는 다양하며, 누구나 쉽게 접할 수 있도록 설계되어있다. ‘Matiex Keylogger’가 실행되면 사용자의 PC 정보를 획득한 뒤, 텍스트 파일로 생성한다. 위와 같이 생성된 파일의 내용을 C2 서버에 전송한다. 사용자 PC의 정보를 탈취한 뒤, 다양한 사용자 계정 정보를 탈취한다. Outlook 을 사용중인 사용자라면 아래의..

DogeCrypt Ransomware 감염 주의 최근 “DogeCrypt” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 윈도우 창을 통해 악성 동작의 내용을 설명하고 문서 파일, 이미지 파일 등 사용자의 파일을 암호화하고 있어 주의가 필요하다 이번 보고서에서는 “DogeCrypt” 랜섬웨어에 대해 알아보고자 한다. “DogeCrypt” 랜섬웨어 실행 시, C 드라이브의 파일을 검색하여 [표 1] 암호화 대상 목록의 조건에 부합하는 파일을 암호화하고 “[dogeremembersss@protonmail.ch] .DogeCrypt” 확장자를 덧붙인다. 파일 암호화 이후, 'C:\' 경로에 “DOGECRYPTinfo.jpg” 파일을 생성하고 해당 파일을 다음 [그림 3]과 같이 바탕 화면으로 설정한다. 그리고 바탕화..

Ranzy Locker Ransomware 감염 주의 지난 8월에 발견된 “ThunderX” 랜섬웨어가 “Ranzy Locker”로 이름을 변경하여 활동을 이어가고 있다. 더욱이 랜섬머니를 지불하지 않는 피해자를 협박하기 위한 데이터 유출 사이트를 운용하기 시작했다고 한다. 해당 랜섬웨어에 감염되면 파일 암호화 및 확장자에 “.RNZ”가 추가되며, 폴더마다 “readme.txt”란 이름의 랜섬노트가 생성된다. 또한, 볼륨 섀도우 복사본과 시스템 상태 백업 등 복구와 관련된 데이터를 삭제하여 랜섬머니를 지불하지 않으면 복구가 어렵게 만들므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Ranzy Locker” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Ranzy Locker” 랜섬웨어에 감염되면 폴더마..

Nibiru Ransomware 감염 주의 최근 "Nibiru” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 확장자에 대해 암호화를 한 후 화면을 잠그며 작업 관리자를 실행할 수 없게 설정하여 잠금 화면을 종료할 수 없게 한다. 감염 이후 피해자에게 몸값을 요구하므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Nibiru” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Nibiru” 랜섬웨어에 감염되면 [표 1]의 암호화 제외 폴더를 제외한 경로의 대상 확장자를 암호화한다. 암호화 이후에 파일명의 확장자 뒤에 “.Nibiru”라는 이름의 확장자를 덧붙인다. 해당 랜섬웨어는 랜섬 노트를 파일로 드랍하지 않는다. 대신 화면을 잠그며 해당 잠금 화면에 랜섬 노트가 작성되어 있다. 레지스트리 값을 추가하여 사..

Microsoft 10월 정기 보안 업데이트 권고 개요 Microsoft는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - KB4486671, KB4486677, KB4486676, KB4486694, KB4577668, KB4577671, KB4579311 - KB4580327, KB4580328, KB4580330, KB4580345, KB4580346, KB4580347, KB4580353, - KB4580358, KB4580378, KB4580382, KB4580385, KB4580387 참고자료 htt..