잉카인터넷 시큐리티대응센터 블로그

최근 북한 해킹조직의 소프트웨어 공급망 공격 정황이 잇따라 발견되고 있다. 대만의 멀티미디어 소프트웨어 기업인 사이버링크(CyberLink) 또한 공격 대상이 됐으며, 손상된 사이버링크 소프트웨어 설치 파일이 일본, 대만, 캐나다 및 미국 등 여러 국가에서 발견됐다. 해당 파일은 소프트웨어 설치 과정 중간에 악성 페이로드가 삽입돼 있으며, 실행하면 C&C 서버에서 “LambLoad” 악성코드를 다운로드 및 실행한다. 손상된 사이버링크 설치 파일은 정상 파일과 아이콘 및 파일명이 동일하며, “CyberLink Corp.”에서 발급된 인증서로 서명돼 있어 사용자의 의심을 피하기 쉽다. 현재 해당 인증서는 Microsoft의 “허용되지 않은 인증서 목록”에 추가됐다. 설치 파일에 삽입된 악성 페이로드는 시스템..

최근 SFX 압축 파일 형태로 유포되는 “Lu0Bot” 악성코드가 발견됐다. 해당 악성코드는 C&C 서버의 명령을 받아 동작하는 봇 악성코드이며, Node.js 인터프리터와 암호화된 JavaScript를 포함하고 있다. “Lu0Bot”을 실행하면, 스스로 압축을 해제 후 Node.js를 사용해 암호화된 JavaScript를 복호화 및 실행한다. Node.js는 플랫폼에 구애 받지 않고 JavaScript 코드를 실행할 수 있게 해주는 프로그램으로 다양한 기능을 지원하는 라이브러리를 내장하고 있기 때문에 “Lu0Bot”은 별도의 외부 소스 없이 다양한 동작을 수행할 수 있다. 다만, 현재 해당 악성코드는 PE 파일로 유포되고 있어 Windows에서만 실행되지만, Node.js의 활용은 Linux 등의 다른..

마이크로소프트의 Teams 사용자를 대상으로 유포되는 “DarkGate” 악성코드가 발견됐다. 공격자는 Teams 채팅으로 “휴가 일정 변경” 관련 파일을 전송해 사용자의 다운로드를 유도한다. 해당 압축 파일은 PDF 문서로 위장한 LNK 파일을 포함하고 있으며, LNK 파일은 C&C 서버에서 추가 페이로드를 다운로드해 최종적으로 “DarkGate” 악성코드를 실행한다. “DarkGate”는 C&C 서버와 연결 후 서버에서 수신한 명령에 따라 악성 동작을 수행한다. Teams 채팅에서 다운로드한 압축 파일은 PDF 문서로 위장한 LNK 파일을 포함하고 있으며, [그림 1]과 같이 C&C 서버와 연결하는 VBS 파일을 드롭 후 실행한다. C&C 서버와 연결에 성공하면, 서버로부터 명령어를 수신하고, 해당 ..

최근 공격 대상의 조직 구성원을 사칭한 이메일을 이용해 저널리스트를 대상으로 유포되는 “SuperBear” RAT가 발견됐다. 이메일에 첨부된 악성코드를 실행하면, 자동화 프로그램인 오토잇(AutoIt)의 실행파일과 스크립트가 다운로드 되며, 해당 스크립트는 프로세스 할로잉(Process Hollowing) 기술을 사용해 “SuperBear” 코드를 메모리에 주입한다. 이후, “SuperBear”는 C&C 서버에 연결해 명령어를 수신하고, 추가적인 악성 동작을 수행한다. 오토잇 스크립트가 실행되면, 먼저 내부 데이터를 복호화해 “SuperBear”의 PE 코드를 생성한다. 이후, 프로세스 할로잉 대상이 될 “explorer.exe” 프로세스의 인스턴스를 suspended 상태로 생성한다. 생성된 “exp..

Sentinel Labs에 의해, 러시아의 군용 제조업체에 발생한 침해 공격이 북한의 소행인 것으로 밝혀졌다. 해당 공격에서 OpenCarrot 이라는 Windows 백도어를 사용하였으며, 이메일 등을 통해 유포된 것으로 전해진다. 백도어는 비정상적인 인증 과정을 통해 시스템에 접근하고, 시스템에 설치되면 다양한 악성 동작을 수행한다. OpenCarrot 백도어의 경우, 아래의 그림과 같이 복잡한 페이로드를 통해 사용자 PC에 설치된다. 해당 파일은 시스템 파일에 인젝션하여 바이너리를 다운로드하고, 다운로드된 바이너리를 통해 최종적으로 OpenCarrot 백도어가 생성된다. 해당 파일이 실행되면, 시스템 폴더에 실행 파일 중에서 UAC 권한 상승이 필요없는 파일을 대상으로 프로세스를 생성하여 코드 인젝션..

최근 “Bitter” 해커 그룹의 새로운 공격 도구인 “ORPC” 백도어가 발견됐다. 해당 백도어는 전자 메일 서비스 Outlook 사용자를 대상으로 유포되며, Microsoft Office의 구성요소 중 하나인 “OLMAPI32.DLL” 파일로 위장한다. 해당 DLL은 Outlook 실행 시 로드되는 모듈로 사용자가 Outlook을 실행하면, 백도어는 해당 DLL을 하이재킹해 대신 로드된 후 악성 동작을 수행한다. “ORPC” 백도어는 먼저 작업 스케줄러에 Outlook을 주기적으로 실행하는 새로운 작업을 추가해 지속성을 획득한다. 해당 작업은 [그림 1]과 같이 “Miscrosoft Update”라는 이름으로 등록돼 정상 작업처럼 위장한다. 이후, 감염된 PC의 프로세스 목록과 시스템 정보를 수집한다..

공격자가 정상적인 웹사이트, 프로그램으로 위장하며 사용자를 속이고, 악성 파일을 실행하도록 유도하는 일은 늘 있었다. 최근에는 한발 더 나아가 구글 검색 결과 상단에 노출되는 광고에 정상 웹사이트로 위장한 피싱 사이트를 게시하는 등, 대담한 모습을 보이고 있다. 이번에 발견된 Statc Stealer 도 이러한 방식으로 구글 광고를 통해 사용자를 끌어들인 후 악성 파일의 다운로드, 실행을 유도하고 있다. 피싱 사이트로부터 다운로드받은 Statc 드랍퍼는 유효하지 않은 Dropbox 社 인증서로 Signing 된 채, Avanquest 社에서 개발한 Expert PDF 라는 이름의 정상 프로그램으로 위장하여 유포되었다. 드랍퍼가 실행되면 %LOCALAPPDATA%\Temp 경로에 정상 프로그램으로 위장하기..

웹 브라우저 업데이트로 위장해 “RedEnegy” 스틸러를 유포하는 캠페인이 발견됐다. 주요 대상은 브라질과 필리핀의 산업 분야이며, 공격자는 대상 산업의 홈페이지 링크를 리다이렉션해 가짜 사이트로 접속을 유도한다. 해당 사이트는 웹 브라우저 업데이트가 필요하다는 메시지와 함께 다운로드 링크를 제공한다. “RedEnergy” 스틸러는 해당 링크에서 다운로드 되며, 실행 시 감염 PC에서 정보를 탈취한다. 또한, 파일을 암호화하고 파일 복구를 빌미로 랜섬머니를 요구하는 랜섬웨어의 동작도 수행한다. “RedEnergy” 스틸러를 실행하면, 임시 폴더에 2개의 파일을 드롭한다. 하나는 실제로 웹 브라우저를 업데이트하는 정상 파일이고, 다른 하나는 악성 동작을 수행하는 악성코드이다. - 파일명 : tmp[4자리..

QakBot 이라고도 알려진 Qbot 은 이메일과 같은 전통적인 전파 수단뿐만 아니라, OneNote, CHM 과 같이 최신 유행하는 전파 수단을 적극적으로 활용하는 모습을 보여왔다. 최근에는 한발 더 나아가 DLL 하이재킹 기술을 통해 정상 실행 파일에 악성 DLL 을 로딩하는 공격 방식이 사용되고 있다. DLL 하이재킹 공격은 Windows OS 의 DLL 로딩 우선 순위를 이용하여, 정상 DLL 대신 동일한 이름의 악성 DLL 을 로딩하는 공격법이다. 최근 발견된 Qbot 은 정상 Wordpad 실행 파일과 악성 DLL 파일 edputil.dll 을 ZIP 으로 압축하여 유포되고 있다. 원래대로라면 Wordpad 는 시스템 폴더 내의 정상 edputil.dll 파일을 로딩해야 하나, DLL 로딩 순..

hVNC(hidden Virtual Network Computing)의 동작을 수행하는 LOBSHOT 악성코드가 최근 발견되었다. 해당 악성코드는 광고를 이용한 Malvertising 기법을 통해 유포된 것으로 전해진다. 사용자 PC에 저장된 암호화폐 지갑 등의 정보를 탈취하고, 원격지와 통신하며 hVNC 악성 동작을 수행한다. LOBSHOT은 악성동작을 수행하기 전 사전동작으로, 안티 바이러스를 탐지한다. 대상 PC의 컴퓨터 이름과 사용자 이름이 Windows Defender 가상화에서 사용하는 것과 동일하다면 프로세스를 종료한다. 그리고 자가 복제한 파일을 실행한 후, 원본을 삭제하여 탐지가 어렵도록 한다. 실행된 복제 파일은 각 종 웹 브라우저의 확장 프로그램 중 암호화폐 지갑이 사용되는지 확인하여..