잉카인터넷 시큐리티대응센터 블로그

중국어를 구사하는 사이버 범죄 그룹 APT41은 2018년에 처음 등장했으며 "SideWalk" 또는 "Earth Baku"라는 명칭으로 사용되기도 한다. 해당 그룹은 주로 북미, 동남아시아의 IT 산업을 타겟으로 공격하고 있으며 최근 글로벌 항공 IT 제공 업체 SITA가 APT41의 공격을 받아 대규모 고객 정보가 유출된 사건이 있었다. APT41의 첫 등장 당시, 오픈 소스 악성코드인 "LavagokLdr" 로더를 이용해 "CrossWalk" 악성코드를 실행했다. 2020년부터 해당 APT 그룹은 "StealthMutant" 와 "StealthVector" 로더를 제작하여 자신들의 공격 루틴을 구축했으며 현재까지 해당 악성코드로 인한 많은 피해 사례가 등장하고 있다. 본 보고서에서 설명하는 것은 A..

Donot Team은 APT-C-35라고도 불리며, 2020년 처음 등장한 이래로 특정 국가를 대상으로 지속적인 공격을 수행하였다. 주로 모바일 단말기를 대상으로 Firestarter 악성코드를 사용하여 APT 공격을 수행하였는데, 최근에 변종이 등장하였다. 이번에 등장한 변종은 지난 캠페인의 악성 동작과 유사하지만, 코드를 난독화 하거나 추가적인 악성동작을 수행하는 등 더욱 치밀하게 제작되었다. 지난 4월의 APT 공격은 자사 블로그에서도 언급한 바가 있어 아래의 링크에서 확인할 수 있다. https://isarc.tachyonlab.com/3919 앱을 실행하면 아래의 이미지와 같이, 각종 권한을 획득한 다음 아무런 화면도 띄우지 않지만, 각종 악성 동작이 수행된다. 해당 악성코드는 단말기의 유심 정..

최근 네트워크 통신 방식이 변경된 "PurpleFox" 악성코드의 변종이 발견됐다. 해당 악성코드는 공격자의 명령을 받아 사용자 PC에서 프로세스 실행 및 파일 다운로드 등의 동작을 수행한다. 또한, 이번 변종은 네트워크 통신의 효율성을 높이기 위한 방법으로 Websocket을 사용해 공격자의 C&C 서버와 통신하는 기능을 추가한 것으로 알려졌다. 출처 [1] Trendmicro (2021.10.27) - PurpleFox Adds New Backdoor That Uses WebSockets https://www.trendmicro.com/en_us/research/21/j/purplefox-adds-new-backdoor-that-uses-websockets.html

최근 Lyceum 으로 알려진 해커 그룹이 중동의 에너지 및 통신 분야의 업체를 대상으로 공격한 정황이 발견됐다. Lyceum은 2019년부터 중동 지역을 대상으로 활동한 그룹으로 “DanBot"이라는 악성코드를 사용했다. 하지만 이번 공격에는 기존에 사용하던 악성코드가 아닌 "James"와 "Kevin" 악성코드를 사용했으며 C++로 새롭게 제작됐다고 한다. 또한, 기존에 사용하던 DNS Tunneling 등의 방식은 그대로 유지한 것으로 알려졌다. 출처 [1] Kaspersky (2021.10.27) - Lyceum group reborn https://securelist.com/lyceum-group-reborn/104586/

최근, 소셜 미디어 업체 페이스북에서 SSRF(Server-Side Request Forgery) 취약점을 찾을 수 있는 도구를 발표했다. SSRF(Server-Side Request Forgery) 공격은 공격자가 서버의 기능을 남용하여 내부 리소스를 읽거나 업데이트할 수 있는 공격이다. 페이스북 측은 자사 도구를 활용해 SSRF 공격 여부를 확인할 수 있다고 언급했으며 쉽게 활용할 수 있는 방법을 홈페이지에 게시했다. 출처 : Facebook 출처 [1] securityweek (2021.10.26) – Facebook Introduces New Tool for Finding SSRF Vulnerabilities https://www.securityweek.com/facebook-introduces-..

2021년 10월경, 보안 업체 TrustWave는 BlackByte 랜섬웨어로 인해 암호화 된 파일을 복호화 할 수 있는 무료 복호화 툴을 공개했다. 한 연구원은 BlackByte 랜섬웨어가 암호화할 때 발생하는 취약점을 발견했으며 이를 토대로 복호화 툴을 만들 수 있었다고 알렸다. 현재 BlackByte 랜섬웨어는 암호화 취약점이 발표된 이후 운영을 중단했으며 해당 문제점을 보완하고 다시 등장할 수도 있다는 견해가 등장하고 있다. 사진 출처 : SpiderLabs Github 출처 [1] Bankinfo Security (2021.10.26) - BlackByte: Free Decryptor Released for Ransomware Strain https://www.bankinfosecurity.c..

최근 유대주의자들의 범죄를 폭로하고자 데이터 유출 사이트를 설립했다고 주장하는 사이버 범죄 그룹이 등장했다. 이들은 모세의 지팡이를 뜻하는 "Moses Staff"라는 데이터 유출 사이트 운영을 시작했으며 해당 사이트에는 반 유대주의 사이버 범죄에 참여하고자 하는 누구든 함께하자는 메시지가 존재했다. "Moses Staff" 사이트의 홈 화면에는 팔레스타인을 과도하게 억압하는 무리에 대항해 싸우기로 결심했다는 내용이 담겨있으며 주로 이스라엘 정부와 관련된 기업에서 탈취한 데이터가 게시돼 있다.

최근 코발트 스트라이크(Cobalt Strike)를 다운로드 받아 실행하는 "Squirrelwaffle" 악성코드가 발견됐다. 해당 악성코드는 다운로드 받은 코발트 스트라이크를 사용해 추가 파일을 다운로드 받아 사용자 정보 탈취 등의 행위를 수행한다. "Squirrelwaffle" 악성코드를 사용해 사용자 PC에서 최종 페이로드를 실행하기 위한 흐름도는 [그림 1]과 같다. 1. 악성 문서를 실행하면 문서에 포함된 매크로를 실행해 VBS 파일과 파워쉘(PowerShell) 스크립트를 생성한다. 2. 이전 단계에서 생성한 스크립트를 실행해 공격자의 C&C 서버에서 악성코드를 다운로드 및 실행한다. 3. 다운로드한 악성코드는 최종 페이로드 다운로드를 위한 코발트 스트라이크를 다운로드 및 실행한다. 4. 코발..

잉카인터넷 대응팀은 2021년 10월 15일부터 2021년 10월 21일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "QuantumLocker"외 3건, 변종 랜섬웨어는 "Thanos"외 1건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 CISA에서 "BlackMatter" 랜섬웨어 관련 정보를 게시했고, Trustwave가 "BlackByte" 랜섬웨어의 디크립터를 공개한 이슈가 있었다. 2021년 10월 15일 J3ster 랜섬웨어 파일명에 “.j3ster" 확장자를 추가하고 “J3ster ReadMe.txt”라는 랜섬노트를 생성하는 " J3ster" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 바탕화면 배경을 변경하고 자가 복제한다. QuantumLocker 랜섬웨어 파일명..

공격자는 언제나 사람들을 유혹하기 위해 유행하는 콘텐츠를 활용한다. 최근 넷플릭스의 오징어 게임이 세계적인 인기를 끌면서 이와 관련된 안드로이드 악성 앱이 우후죽순으로 늘고 있다. 이번에 발견된 안드로이드 앱은 겉으로는 바탕화면을 오징어 게임과 관련된 이미지로 바꾸는 기능을 가졌지만, 백그라운드에서 Joker 라는 이름으로 알려진 악성 앱을 다운로드하고 실행한다. 악성 앱을 실행하면 서버로부터 so 확장자의 추가 악성 파일을 다운로드하고 로딩한다. so 확장자 파일은 또 다른 서버로부터 암호화된 Joker 악성 앱을 다운로드하며, 복호화 후 실행하여 본격적인 악성 행위를 준비한다. 다운로드된 Joker 는 사용자 몰래 유료 구독 서비스를 결제하는 기능을 수행한다. C&C 서버로부터 이와 관련된 작업 데이..