잉카인터넷 시큐리티대응센터 블로그

BlackBasta 랜섬웨어 리눅스 버전

Vmware ESXi 서버를 대상으로 파일을 암호화하는 “BlackBasta” 랜섬웨어가 발견됐다. 올해 초에 처음 등장한“BlackBasta” 랜섬웨어는 RaaS(Ransomware-as-a-Service)로 운영되고 있으며, 미국, 유럽 및 아시아 등의 기업을 대상으로 한 공격에 주로 사용됐다고 알려졌다. 또한, 최근에는 리눅스 버전을 제작해 공격 범위를 확대하고 있다. 해당 랜섬웨어의 리눅스 버전은 Vmware ESXi 서버에서 가상 머신 등의 저장 목적으로 사용하는 VMFS 데이터 저장소 경로인 ‘/vmfs/volumes’ 경로를 대상으로 암호화하며, “–forced” 인자를 사용해 암호화 경로를 지정할 수 있다. “BlackBasta” 랜섬웨어를 실행하면 ‘/vmfs/volumes’ 경로를 대상..

최근 베트남의 은행서비스를 위장한 악성 앱이 유포되었다. 해당 악성 앱은 정상 사이트를 위장한 웹 사이트를 통해 유포되었으며, ‘BestPay VN’이라는 이름으로 설치된다. 설치된 악성코드는 정상적인 은행 서비스 앱으로 보이지만, 스크립트를 통해 입력한 사용자 정보를 탈취한다. 베트남어로 제작된 웹 사이트에서 Google Play 다운로드로 보이는 버튼을 누르면 악성 앱이 다운로드된다. 실제 Google Play 스토어가 아닌 경로에서 앱이 설치된다. 설치된 앱은 아래의 그림과 같이 회원가입을 요구하고, 개인정보 입력을 유도한다. 사용자가 입력한 정보는 아래와 같이 원격지로 전송된다. 그 외에도 단말기로 수신되는 SMS 메시지의 내용과 수신지 정보를 탈취하여 원격지에 전송하는 등의 악성 동작을 수행한다..

최근 “Magic RAT” 악성코드가 ‘VMware Horizon’ 서버의 ‘Log4j’ 취약점을 악용해 공격을 수행하는 것이 확인됐다. 해당 악성코드는 기존에 존재하던 “Tiger RAT” 악성코드의 변종이며 “Tiger RAT”의 공격자 C&C 서버 연결 인프라가 동일한 것으로 알려졌다. “Magic RAT” 악성코드는 감염된 사용자의 서버에서 스크린 샷 캡처, 키로깅 동작, 시스템 정보 수집과 같은 탈취 동작을 수행하고, 공격자의 서버에서 명령을 받아 원격으로 감염된 PC를 제어할 수 있다. 해당 악성코드에서 사용된 “VMware Horizon” 서버의 ‘log4j’ 취약점은 JNDI 조회 패턴을 사용하여 악의적인 입력 데이터를 조작하는 서비스 거부(DOS) 공격을 수행하는 취약점이다. 아래는 “M..

인도의 은행 및 금융 서비스 회사인 Axis Bank를 사칭한 악성 앱이 유포되었다. 해당 앱은 Axis Bank의 정상 웹사이트와 유사한 모습의 사이트에서 유포되었으며, 앱을 실행하면, 문자메시지 정보 및 사용자가 입력한 정보를 탈취한다. 좌측 하단의 그림이 정상 웹사이트이며, 우측 하단의 그림이 악성 앱을 유포하는 사칭 웹사이트이다. 아래의 그림과 같이, 악성 웹사이트는 웹브라우저에서 앱을 다운로드한다. 정상적인 앱의 경우, Google Play 나 Appstore과 같은 정식 앱 스토어에서 구매하도록 유도한다. 설치된 악성 앱을 실행하면 다음과 같은 화면이 나오고, 사용자가 해당 정보를 입력하면 입력한 정보를 획득하여 원격지로 전송한다. 해당 악성 앱은 정상 은행 앱을 위장하여, 유포되었으며, 카드..

최근 전쟁 등의 이유로 국가적 대립이 심화되면서, 이와 관련된 악성 앱이 등장하였다. 해당 앱은 `The China Freedom Trap`이라는 책으로 위장하였으며, 이 책은 위구르 회의 회장인 `Dolkun Isa`의 저서로 위구르 정치인으로 일한 경험과 중국에 대한 이야기를 담고 있다. 악성 앱은 아래의 이미지와 같이 해당 책을 소개하는 듯한 내용을 담고 있지만, 녹취 및 정보 탈취, 원격제어 등의 악성 동작을 수행한다. 단말기에 새로운 발신 전화가 발생하면, 음성 통화의 소스를 DB에 저장한다. 그리고 수신 전화가 발생하면, 단말기의 마이크에 수집되는 정보를 저장한다. 원격지와 통신하여 명령을 받으면, SMS 메시지 정보, 단말기 정보 등을 탈취할 수 있다. 그 외에도 카메라에 접근하여 사용자 몰..

최근 “Woody RAT” 악성코드가 러시아를 표적으로 삼아 공격을 수행하는 것이 확인됐다. 해당 캠페인은 문서 파일을 메일에 첨부하여 전송한다. 첨부된 문서 파일 내부에는 매크로를 통해 “Follina” 취약점을 악용하여 공격자의 서버에서 최종 페이로드인 “Woody RAT”을 다운로드한다. 최종적으로 페이로드는 실행 시 사용자의 PC의 민감한 정보를 탈취하여 공격자의 C&C 서버로 전송하며 공격자가 지정한 명령어를 서버에서 받아와 원격으로 사용자의 PC를 제어한다. 해당 악성코드에서 사용된 “Follina” 취약점은 “MS Diagnostic Tool (MSDT)” 프로그램이 URL 프로토콜을 통해 호출될 때 발생할 수 있으며 MSDT를 호출한 프로그램의 권한으로 임의의 코드를 원격으로 실행할 수 있..

“XorDDoS” 악성코드는 2014년 처음 발견된 이후 최근까지 지속적으로 유포되고 있다. 공격자로부터 전달되는 명령, C&C 서버 주소 등 악성 행위에 필요한 데이터를 XOR 연산으로 디코딩하여 사용하는 특징을 가져 “XorDDoS” 라는 이름으로 명명 되었으며, IoT 장비 혹은 리눅스 서버를 감염하기 위해 ARM, x86 및 x64와 같은 다양한 Linux 아키텍처 버전으로 제작되었다. 공격자는 주로 SSH Brute Force 공격을 통해 공격 대상의 자격 증명을 획득하고 “XorDDoS” 악성코드를 설치한다. 이렇게 실행된 “XorDDoS” 는 자가복제 후 재실행, 프로세스명 변경 및 루트킷 등을 통해 탐지를 회피하려 하며 공격자의 명령을 전달받아 DDoS 공격을 수행한다. 자가복제 및 재실행..

지난 5월 경, 리눅스 환경에서 사용하는 패킷 필터를 악용하는 “BPFDoor” 악성코드가 발견됐다. 해당 악성코드는 BPF(Berkely Packet Filter)를 사용해 공격자의 C&C 서버에서 받은 패킷을 필터링한 후, 악성 행위를 수행한다. 또한, 정상적으로 연결되면 공격자가 대상 서버에서 임의의 명령을 실행할 수 있다. 자가 복제 및 실행 “BPFDoor” 악성코드를 실행하면 ‘/dev/shm/kdmtmpflush’로 자가 복제한 후, 복사한 파일의 권한을 755로 변경한다. 이 경우 자가 복제한 파일의 소유자는 모든 권한을 부여하고, 그 외 사용자는 읽기와 실행만 가능하도록 설정한다. 또한, 파일의 시간(타임스탬프 값)을 2008년에 생성된 파일로 보이도록 수정한다. 그후, --init 인자..

최근 “Luca Stealer” 악성코드가 출시되고, 개발자가 해당 악성코드의 오픈 소스 코드를 해커 포럼에 공개했다. 해당 악성코드는 Rust 언어를 이용해 제작되어 여러 운영 체제를 표적으로 삼을 수 있지만 현재는 윈도우 운영 체제 만을 대상으로 하는 것으로 알려져 있다. 또한, 악성코드 개발자와의 접촉에서 “Luca Stealer” 악성코드의 오픈 소스 코드를 공개한 이유는 해커 포럼에서 평판을 얻어 다음 악성코드 프로젝트를 판매하기 위함이라고 밝혔다. “Luca Stealer” 정보 탈취 악성코드는 “Chromium” 기반 브라우저와 “FireFox”를 대상으로 로그인 자격 증명, 신용 카드 및 쿠키 정보 등을 탈취한다. 또한, 암호 화폐 지갑과 다양한 메신저의 토큰을 탈취하고, 사용자의 시스템 ..

최근 Microsoft의 비즈니스 커뮤니케이션 플랫폼인 Teams를 사칭한 악성 앱이 유포되었다. 해당 앱은 Microsoft의 로그인 화면을 띄워 정상적으로 동작하는 것처럼 보이지만, 사용자 몰래 원격지와 통신하여 추가적인 악성 동작을 수행한다. 아래의 그림과 같이 악성 앱과 정상 앱의 아이콘에 차이가 있다. 악성 앱에서 사용된 아이콘은 과거에 사용하던 아이콘으로, 정상 앱을 최신 버전으로 다운로드하면 우측 이미지의 아이콘으로 다운로드가 된다. 사용자를 속이기 위해, 앱을 실행하면 아래와 같이 로그인 화면을 띄우고 정상적인 앱인 척 한다. 또한, 사용자 몰래 아래의 메소드를 백그라운드 모드로 실행한다. 해당 클래스는 원격지와 통신하여 추가 파일을 다운로드하고 로드하는 등의 동작을 수행한다. 해당 악성 ..