잉카인터넷 시큐리티대응센터 블로그

대만, 일본 및 홍콩의 기업을 공격하여 기술 및 데이터를 탈취하는 Flagpro 악성코드가 등장했다. 이번 캠페인은 1년 전부터 일본 기업을 주요 대상으로 공격하기 시작했으며 일본의 국방, 미디어 및 통신 분야등 다양한 직종의 기업을 타겟으로 삼았다. 해당 악성코드는 중국 정부가 지원하는 것으로 추정되는 BlackTech APT 그룹이 제작한 악성코드로 추정되며 이번 캠페인에서는 신뢰할 수 있는 영업 파트너의 메시지로 위장하여 대상 기업에 피싱 메일을 보내는 것으로 알려졌다. “Flagpro” 악성코드는 감염된 기업 시스템의 정보를 탈취하고, 공격자의 C&C 서버로 전송한다. 또한, 명령을 공격자 서버에서 받아와 시스템을 원격으로 제어하거나 악성코드를 추가적으로 다운로드할 수 있다. 출처 [1] Blee..

"Blister" 로더는 합법적인 서명 인증서를 훔치거나 직접 기관에서 구매한 서명 인증서를 활용하여 정상 파일로 위장된다. 관련 인증 기관에서는 해당 활동을 공개하고, "Blister" 악성코드에 남용된 서명 인증서를 폐기하는 등의 조치를 취했다. 처음 유포되는 파일은 추가 파일을 드랍하고, 정상 프로세스에 로드되어 실행된다. 추가 파일은 자동 분석을 어렵게 하기 위해 10분간의 대기 상태 이후 동작하고, 내부 리소스 섹션에 저장된 페이로드를 복호화한다. 이후 정상 프로세스에 페이로드가 주입되어 실행되며 주입된 바이너리 코드는 "CobaltStrike" 또는 "BitRAT"로 사용자의 PC를 원격으로 제어한다. ① Blister Loader 파일을 "%AppData%" 경로에 드랍한다. ② 정상 프로그..

잉카인터넷 대응팀은 2021년 12월 24일부터 2021년 12월 30일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Ranzon"외 2건, 변종 랜섬웨어는 "Karma"외 1건이 발견됐다. 2021년 12월 24일 Ranzon 랜섬웨어 파일명을 변경하지 않고 [그림 1]의 랜섬노트를 생성하는 "Ranzon" 랜섬웨어가 발견됐다. 2021년 12월 25일 Karma 랜섬웨어 파일명에 ".KARMA_V2!" 확장자를 추가하고 "KARMA_V2-ENCRYPTED.txt"라는 랜섬노트를 생성하는 "Karma" 랜섬웨어의 변종이 발견됐다. 2021년 12월 26일 LokiLocker 랜섬웨어 파일명에 ".Loki" 확장자를 추가하고 "Restore-My-Files.txt"라는..

최근 마이크로소프트 빌드 엔진인 MSBuild를 악용해 코발트 스트라이크를 유포한 정황이 발견됐다. 공격자는 공격에 사용한 MSBuild에 코발트 스트라이크를 빌드 및 실행이 가능하도록 작성한 코드를 추가했다. 이후, 해당 빌드 엔진을 실행하면 공격자의 C&C 서버와 통신해 추가 페이로드를 다운로드한다. 보안 전문가는 이번 사건과 관련해 윈도우 디펜더에서 악성 프로그램 차단 정책을 사용하면 유사한 공격을 무력화할 수 있다고 언급했다. 출처 [1] SecurityAffairs (2021.12.30) - Threat actors are abusing MSBuild to implant Cobalt Strike Beacons https://securityaffairs.co/wordpress/126104/hack..

최근 "AvosLocker" 랜섬웨어 조직이 미국의 정부 기관을 공격한 후, 무료로 복호화 툴을 제공한 정황이 알려졌다. 외신에 따르면 "AvosLocker" 측이 무료로 복호화 툴을 제공한 이유가 법 집행에 대한 두려움 보다는 돈을 받기 어렵기 때문이라고 언급했다고 알렸다. 또한, 공격 대상에 대한 정책은 별도로 없지만, 일반적으로 정부 기관과 병원은 피한다고 밝혔다. 사진 출처 : Twitter 출처 [1] Twitter (2021.12.30) – AvosLocker 관련 트위터 게시글 https://twitter.com/pancak3lullz/status/1476217440442925057 [2] BleepingComputer (2021.12.30) - Ransomware gang coughs up..

최근 자바스크립트로 작성한 "DarkWatchman" 악성코드가 발견됐다. 해당 악성코드는 공격자가 운영하는 C&C 서버에서 명령을 받아 사용자 PC를 조작하며, 키로거 악성코드를 실행해 사용자가 키보드로 입력한 값을 수집 및 공격자에게 전송한다. "DarkWatchman" 악성코드의 유포 및 실행 과정은 [그림 1]과 같이 진행한다. 1. 공격자는 악성파일을 첨부한 메일을 사용자에게 보내 첨부 파일의 다운로드를 유도한다. 2. 사용자가 첨부 파일을 다운로드 한 후, 압축을 해제하면 WinRAR SFX 형태의 압축 파일을 생성한다. 3. 압축 해제 후 생성한 실행 파일을 실행하면 자바스크립트로 작성한 “DarkWatchman” 악성코드를 실행한다. 4. “DarkWatchman” 악성코드는 키로거 파일의..

최근 해외 결제로 위장한 피싱 문자가 소비자에게 전송되고 있다. 문자에는 해외 결제 문자나 결제 시 사용되는 인증 번호 문자로 위장하여 전송되며 문자를 수신한 사용자가 결제 사실이 없어 해당 번호로 전화할 경우 개인정보 등이 탈취될 수 있기에 주의가 필요하다. 만약, 피싱 문자메시지 수신 또는 전화번호로 이미 연락한 경우에는 경찰청(국번없이 112)이나 한국인터넷진흥원에서 운영하는 불법스팸대응센터(국번없이 118)에 신고 및 상담할 것을 권고한다.

최근 개봉한 영화인 "스파이더맨-노 웨이 홈"의 다운로드 파일로 위장한 코인 마이너 악성코드가 불법 영상물 다운로드 사이트에서 발견됐다. 보안 업체 ReasonLabs는 해당 파일을 실행하면 사용자 PC에서 정상 프로그램으로 위장한 후, XMRig를 실행해 모네로 코인을 채굴한다고 언급했다. 추가로, 자동 실행 등록, 파일 드롭 등의 동작을 하며 파일명으로 "spiderman_net_putidomoi.torrent.exe"를 사용한다고 알렸다. 출처 [1] ReasonLabs – Spider-Miner: With Great Power Comes Great Problems! https://blog.reasonsecurity.com/2021/12/23/spider-miner-with-great-power-c..

"Twizt" 악성코드는 감염 대상 PC의 로컬 네트워크에서 게이트웨이 장치를 검색하고, 해당 장치에 UDP 및 TCP 포트 매핑을 추가해 공격자와 통신한다는 특징이 있다. 이러한 특징으로 인해 해당 악성코드는 공격자의 C&C 서버를 노출하지 않고 사용자의 PC를 제어하거나 추가 페이로드를 다운로드할 수 있다. 또한, 윈도우 클립보드를 공격자의 암호화폐 지갑 주소로 변경하여 사용자의 암호화폐를 가로챈다. Analysis "Twizt"라는 이름은 악성코드가 처음 발견됐을 때 사용된 뮤텍스명에서 따왔다. 해당 악성코드는 실행 시 우선적으로 감염된 PC의 로케일을 확인하여 "UKR(우크라이나)"인 경우 프로세스를 종료한다. 확인을 마치면 지속성을 위해 레지스트리에 등록한다. 이로 인해 사용자가 PC를 부팅하면..

잉카인터넷 대응팀은 2021년 12월 17일부터 2021년 12월 23일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "BlackCat" 외 5건, 변종 랜섬웨어는 "Dharma" 외 1건이 발견됐다. 2021년 12월 17일 BlackCat 랜섬웨어 파일명에 ".7954i9r" 확장자를 추가하고 "RECOVER-7954i9-FILES.txt"라는 랜섬노트를 생성하는 "BlackCat" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 [그림 2]와 같이 바탕화면의 배경을 변경한다. WannaXD 랜섬웨어 파일명에 ".XD-99" 확장자를 추가하고 "Readme.txt"라는 랜섬노트를 생성하는 "WannaXD" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도..