잉카인터넷 시큐리티대응센터 블로그

지난 3월 초, Escobar 앱이 등장하였다. 해당 악성 앱은 에뮬레이터를 탐지하고, 저장된 각종 정보를 탈취하며 카메라 사진 촬영 및 녹화 등의 악성 동작을 수행한다. 그 외에도 원격지와 연결하여 명령을 수행하는 Bot 동작 등을 수행한다. 호주 기반의 사이버 보안 회사인 Cyble에 따르면, 해당 앱은 Aberebot의 변종으로 전해지지만 악성 동작 특징 및 코드의 유사점을 찾아보긴 어렵다. 최근 유포된 Escobar는 아래의 이미지와 같이, 특정 보안 앱으로 위장하여 유포된다. 단말기의 시스템 정보를 확인하여, 에뮬레이터를 탐지하고 실 단말기로 판단되면 악성 동작을 수행한다. 각종 권한을 획득하여 다양한 정보를 탈취한다. 아래의 코드는 SMS 메시지 정보를 탈취하는 코드이며, 그 외에도 통화기록,..

최근 미국의 보안 회사 Mandiant는 ATM 데이터를 탈취하는데 사용되는 "CAKETAP" 루트킷 악성코드 분석 보고서를 발표했다. 해당 보고서에 따르면 "CAKETAP"은 공격자가 Solaris 운영체제를 사용하는 서버에 유포한 루트킷 악성코드로 알려졌다. 또한, "CAKETAP"은 자신의 네트워크 연결과 프로세스 및 파일을 숨길 수 있으며 카드 인증 메시지 조작 등의 악성 행위를 시도한다고 알렸다. Mandiant는 해당 루트킷 악성코드가 ATM의 교환 네트워크를 전송하는 메시지를 조작했으며 승인되지 않은 현금 인출을 시도하는데 활용됐다고 언급했다. 사진출처 : Mandiant 출처 [1] Mandiant (2022.03.16) – Have Your Cake and Eat it Too? An Ov..

최근, 사이버 보안 업체 Trellix가 마카오의 고급 호텔을 표적으로 하는 피싱 캠페인을 발표했다. 해당 보안 업체는 공격자들이 마카오 정부 관광청을 사칭하고 17개의 호텔에 피싱 메일을 발송했다고 알렸다. 또한, 해당 피싱 메일은 악성 매크로가 포함된 Excel 파일을 첨부하고 있으며, 매크로를 실행하면 C2 서버와의 통신을 활성화한다고 언급했다. 한편, Trellix는 동일한 C2 IP 주소, 대상 부문 및 국가의 적합성 및 C2 패널의 유사성을 기반으로 한국의 DarkHotel APT 그룹을 캠페인의 배후로 예상하고 있다. 사진 출처 : Trellix 출처 [1] Trellix (2022.03.17) - Suspected DarkHotel APT activity update https://www...