분석 정보880 ILSpy 홈페이지로 위장한 멀웨어 유포 주의 .NET 프레임워크로 빌드된 실행 파일을 디컴파일하는 툴로 유명한 ILSpy 을 사칭한 홈페이지를 통해 멀웨어가 유포되고 있다. ILSpy 공식 저장소 운영자는 저장소 이슈 글을 통해 해당 도메인(ilspy.org)은 공식 홈페이지가 아니며 멀웨어를 유포하고 있음을 경고했다.ILSpy 저장소 이슈 게시글 링크 : https://github.com/icsharpcode/ILSpy/issues/3709 하지만 현재 구글에서 ILSpy 를 검색하면 악성 도메인 “ilspy.org” 가 여전히 최상단에 노출되고 있으므로 주의가 필요하다. ILSpy 위장 홈페이지공격자가 작성한 악성 도메인 “ilspy.org” 는 마치 ILSpy 공식 홈페이지인 양 프로그램에 대한 설명과 다운로드 링크를 소개하고 있다. “.. 2026. 4. 15. DeepLoad, 확장 프로그램으로 위장해 암호화폐 탈취 최근 크로미움 기반 브라우저 사용자를 대상으로 확장 프로그램을 강제로 설치해 암호화폐를 탈취하는 DeepLoad 악성코드가 발견됐다. DeepLoad는 사용자를 속여 명령 실행을 유도하는 ClickFix 기법을 이용해 유포되며 실행된 PowerShell 스크립트는 C&C 서버에서 Go 언어로 작성된 EXE 파일을 다운로드 및 실행한다. 해당 EXE는 악성 확장 프로그램의 구성 파일을 드롭한 뒤 브라우저에 직접 확장 프로그램을 설치하고 설치된 악성 확장은 정상적인 사용자 지갑 주소를 공격자의 암호화폐 지갑 주소로 치환함으로써 사용자가 인지하지 못한 상태에서 암호화폐를 공격자에게 전송한다. 악성 확장 프로그램의 구성 파일은 크롬 웹 스토어의 기존 다운로드 경로와 다른 폴더에 저장되며 크로미움 기반의 브라우저.. 2026. 4. 14. 감염형 코인마이너 XiaoBa XiaoBa는 중국어로 소형 버스를 의미하는 말로, 2017년 동명으로 활동하는 랜섬웨어가 처음으로 발견되었다. 이후 XiaoBa는 수 차례의 버전업을 거치다 랜섬웨어 기능을 포기하고 감염 기능을 가진 코인 마이닝 멀웨어로 노선을 변경했다. 최근 다시 전파되는 XiaoBa 변종은 Windows OS 의 실행 파일, 연결된 USB 드라이브를 감염시키고 시스템의 정상 기능을 마비시키기 때문에 주의가 필요하다. 멀웨어 은닉, 지속성 유지XiaoBa 는 중국의 보안 업체 Qihoo360 의 보안 프로그램으로 위장하고 있다는 점, 중국에서 활발하게 사용되는 EPL(Easy Programming Language)를 빌드하는 프레임워크 중 하나인 BlackMoon 으로 작성된 점으로 보아 기본적으로 중국을 공격 대.. 2026. 4. 14. Reynolds 랜섬웨어, BYOVD로 윈도우 디펜더 무력화 올해 2월 등장한 Reynolds 랜섬웨어는 취약한 드라이버를 악용하는 BYOVD(Bring Your Own Vulnerable Driver) 기법을 이용해 보안 프로그램을 무력화하는 특징을 가진다. Reynolds 랜섬웨어를 실행하면 보안 업체 NsecSoft의 커널 드라이버인 NsecKrnl 드라이버를 드롭한 뒤 IOCTL 코드를 이용해 윈도우 디펜더를 비롯한 보안 프로그램을 종료한다. 이러한 방식은 일반적인 랜섬웨어가 보안 프로그램의 프로세스 목록을 확인한 뒤 해당 프로세스를 종료하는 방식과 달리 취약한 드라이버를 이용해 상승된 권한에서 보안 프로그램을 직접 종료한다는 점에서 차이가 있다.이후 Curve25519(X25519)와 HC-128 알고리즘을 이용해 파일 암호화를 수행하며 파일 크기에 따라.. 2026. 3. 6. 잠금 패턴을 탈취하는 악성 앱 DroidLock 최근 스페인어권의 안드로이드 사용자를 대상으로 유포되는 악성 앱 DroidLock이 발견됐다. DroidLock은 피싱 웹사이트에서 정상 앱으로 위장해 내부에 실제 악성 동작을 수행하는 추가 APK가 숨겨진 형태로 배포됐다. 해당 악성 앱은 오버레이 공격으로 사용자에게 잠금 해제 패턴을 입력하도록 유도해 자격 증명을 탈취하거나 VNC(Virtual Network Computing) 기능으로 실시간 화면 스트리밍 및 원격 제어를 수행한다. 또한 실제로 파일을 암호화하지는 않지만 화면을 잠근 후 협박 문구가 포함된 페이지를 띄워 랜섬웨어처럼 금전을 요구하기도 한다. Stage 1문자열 복호화DroidLock 악성 앱의 유포 파일과 해당 파일 내 포함된 추가 APK는 클래스명, 명령어 및 로그 메시지 등의 .. 2026. 2. 24. ISO 파일로 유포되는 Phantom Stealer 2025년 말에 오픈소스 코드를 이용해 제작 및 판매하던 Phantom Stealer의 다른 유형이 최근 발견됐다. 기존에는 여러 자바스크립트가 공격자의 C&C 서버와 통신하며 최종 페이로드인 Phantom Stealer를 다운로드하지만 이번 유형은 ISO 파일이 첨부된 피싱 메일로 사용자에게 ISO 이미지 마운트를 유도하고 Phantom Stealer를 실행하는 EXE 파일을 유포한다. ISO 이미지 내의 EXE 파일을 실행하면 스테가노그래피 기법으로 숨겨진 이미지에서 악성 DLL을 추출하고 파일리스 형태로 실행한다. 악성 DLL은 최종 페이로드인 Phantom Stealer를 실행하고 이전 사례와 비교해 악성 동작 실행 여부를 설정하는 Config 값은 다르지만 웹 브라우저 데이터 및 암호화폐 지갑 .. 2026. 2. 13. 이전 1 2 3 4 ··· 147 다음
