잉카인터넷 시큐리티대응센터 블로그

개인정보를 탈취하는 SeafkoAgent 분석 보고서 1. 개요 최근 발견된 Saefko RAT는 Saefko Attack System유료프로그램의 크랙버전으로 알려져 있으며, 현재 Saefko RAT의 실행 파일은 정확히 확인되지 않는다. 해당 RAT의 기능을 이용하면 SeafkoAgent.exe라는 이름의 파일이 생성되며, 해당 파일이 실행되면 Saefko RAT와 통신을 통해 악위적인 동작을 수행한다. 해당 실행 파일은 Saefko RAT의 정책 설정에 따라 내용이 달라질 가능성이 있으며, Saefko라는 RAT의 이름과 달리 SeafkoAgent.exe라는 파일명을 사용하고 있다. 이러한 공격방식은 추가 악성코드 다운로드, 키로깅 등 다양한 악성동작을 통해 치명적인 피해를 발생시킬 수 있으며 사용..

국내 보안업체 디지털서명을 포함한 악성코드 주의 1. 개요 최근 국내 보안업체의 디지털 서명을 포함한 악성코드가 발견되었다. 해당 악성코드는 URL을 통해 일반 사용자들에게 유포 되는 것으로 알려졌다. 디지털 서명을 포함한 파일의 경우, 정상 파일 이라고 생각 할 수 있기 때문에 유포자 들은 이 점을 악용하기 위해 디지털 서명을 탈취한 것으로 보여진다. 이번 보고서에는 최근에 발견된 국내 보안업체의 디지털 서명을 포함한 파일에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 악성코드는 URL을 통해 유포된다고 알려졌으나, 현재 URL은 차단된 상태이다. 2-3. 실행 과정 두 종류의 파일 모두 해당 파일을 작업 스케줄러를 이용하여 지속적으로 실행 되도록 한다. 또한 ..

송장 관련 피싱 메일로 유포되는 스파이웨어 주의 1. 개요 최근 송장 관련 피싱 메일이 유포되고 있어 사용자의 주의가 필요하다. 첨부 파일에는 악성 매크로가 포함된 doc 문서 파일이 존재하는데 문서 열람 후 매크로를 실행하면 C&C 서버에서 악성 파일을 다운받는다. 다운로드된 악성 파일은 ‘에이전트 테슬라(Agent Tesla)’ 변종으로 알려지며 스파이웨어 기능이 있어 키보드 입력, 화면 캡처, 계정 정보 저장 등 사용자의 정보가 탈취된다. 원래 ‘에이전트 테슬라(Agent Tesla)’는 합법적으로 판매되는 Keystroke Logger 프로그램이지만, 공격자에 의해 악용되어 피싱 메일로 전파되며 감염된 PC는 사용자의 동의 없이 사용자 정보가 탈취될 위험이 있다. 2. 분석 정보 2-1. 파일 정..

악성코드 제작자는 체포되었지만 여전히 유포되는 NanoCore RAT 1. 개요 최근 피싱 메일의 첨부파일을 통해 ‘Nanocore RAT’(원격 관리 툴)이 다수 유포되고있다. 원격 관리 툴은 합법적인 프로그램이지만 공격자에 의해 악용될 수 있는데, ‘NanoCore RAT’의 경우에는 ‘NanoCore RAT’을 만든 제작자가 악의적인 목적으로 ‘NanoCore RAT’을 제작 및 배포하여 징역을 받았다. 하지만 악성코드 제작자가 체포되어도 ‘Nanocore RAT’ 악성코드는 공격자들에 의해 여전히 유포되고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 ‘NanoCore RAT’ 악성코드가 유포된 사례와 악성 동작에 대해 알아본다. 2. 분석 정보 2-1. 유포 사례 ‘NanoCore RAT’은..

비정상적인 로그인 활동 관련 피싱 메일 유포중! 1. 개요 현재 비정상적인 로그인 활동을 알리는 내용으로 피싱 메일의 유포가 지속적으로 이루어지고 있어 사용자의 주의가 필요하다. 피싱 메일의 내용은 바뀌었지만, 피싱 메일에 첨부된 링크를 클릭하면 이전 사례와 동일하게 cPanel(웹 호스팅 업체)의 가짜 webmail 로그인 페이지로 연결되어 사용자의 이메일 로그인 계정정보를 기재하도록 유도하고 있다. 2. 분석 정보 2-1. 유포 경로 이번에 유포 중인 피싱 메일은 사용자의 이메일 계정이 의심스러운 장소에서 로그인 시도가 있었다는 내용이다. 피싱 페이지로 연결되는 링크는 두 개로 늘어났으며 사용자가 링크를 클릭하면 이메일 계정에 로그인하기를 요구하는 내용은 동일하다. 2-2. 실행 과정 사용자가 본인의..

이메일 계정 보안 경고로 위장한 피싱 메일 주의 1. 개요 최근 이메일 계정에 의심스러운 접근을 알리는 보안 경고내용으로 피싱 메일이 유포되고 있다. 피싱 메일에 첨부된 링크를 클릭하면 cPanel(웹 호스팅 업체)의 webmail 로그인 페이지로 위장한 가짜 사이트로 연결되고, webmail 로그인을 위해 암호를 요구한다. 이 밖에도 피싱 사이트의 도메인에는 윈도우 계정 로그인을 모방한 페이지도 확인되기 때문에 유사한 공격에 주의할 필요가 있다. 2. 분석 정보 2-1. 유포 경로 유포된 피싱 메일은 사용자의 이메일 계정에 의심스러운 접근을 알리는 보안 경고 내용과 함께 가짜 로그인 페이지로 연결되는 링크를 클릭하도록 유도한다. 그리고 사용자가 링크를 클릭하면 이메일 계정에 로그인하기를 요구한다. 2-..

사무국을 사칭한 피싱 메일 주의 1. 개요 최근 사무국을 사칭한 피싱 메일이 유포되고 있다. 해당 메일에는 파일을 위장한 링크가 첨부되어 있고, 해당 링크를 클릭하면 변조된 URI를 포함한 Microsoft 로그인 사이트로 접속되며 로그인을 위해 암호를 요구한다. 이 과정에서 ‘OAuth(오픈 인증)’ 이라고 불리는 개념이 적용되어, 간략하게 소개하고자 한다. 2. 분석 정보 2-1. 유포 경로 해당 메일은 마치 사무국을 사칭하여 기밀문서를 첨부한 것으로 보인다. 파일로 보이는 부분을 클릭하면 유포자가 의도한 사이트로 연결되는 링크이다. 이와 유사한 방식의 메일이 다수 유포 되고 있다. 2-2. 실행 과정 사용자가 첨부되어 있는 링크를 클릭하면, 변조된 URI를 포함한 MS 로그인 사이트에 접속하게 된다..

진화하는 Ammyy RAT 주의 1. 개요 피싱 메일을 통한 APT 공격은 2018년부터 급격하게 상승세를 보이고 있다. 대다수의 APT 공격에 사용되는 악성코드는 랜섬웨어가 상위권을 차지하였지만, 최근에는 랜섬웨어가 아닌 RAT (Remote Access Trojan) 를 유포하여 공격하는 방식이 증가하여 사용자들의 주의가 요구 된다. 잉카인터넷에서는 해당 RAT 에 대한 분석 정보를 두 차례 게시하였다. “송장(Invoice)을 위장한 엑셀파일 주의” - https://isarc.tachyonlab.com/2328 “국내 기업 표적으로 계속되는 Ammyy RAT 유포 메일 주의” - https://isarc.tachyonlab.com/2351 이번 보고서에서는 계속해서 유포 방식이 변화하는 ‘Ammy..

이미지 파일에 숨겨진 Remcos RAT 악성코드 분석 보고서 1. 개요 ‘Remcos RAT’은 과거부터 현재까지 악성 메일의 첨부파일을 통해 꾸준히 유포되고 있는 악성코드 중 하나이다. 본래의 Remcos 자체는 해외 보안 업체에서 합법적으로 윈도우를 관리하기 위해 개발된 프로그램이지만, 공격자들의 원격 접근 툴(RAT)로 악용되고 있다. 악용된 ‘Remcos RAT’은 사용자의 시스템을 장악하고 정보를 탈취할 수 있으며 원격 명령 수행, 키로거, 화면 캡처, 파일 다운로드, 웹 브라우저 로그인 정보 저장 등의 다양한 기능을 갖고 있다. 이번 보고서에서는 Remcos RAT의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 Rokko 新订单请求,pdf.exe ..

신용카드 결제 영수증으로 위장한 피싱 공격 주의 1. 개요 최근 신용카드 결제 영수증으로 위장한 피싱 메일이 유포되고 있어 주의가 필요하다. 해당 이메일은 외국어를 번역한 듯한 부자연스러운 한국어로 작성되어 있으며, 특정 링크를 클릭하도록 유도하는 내용을 담고 있다. 현재는 링크가 끊어져 작동하지 않지만 VirusTotal 에 게재된 정보에 따르면 최근 유사한 URL 을 다수 생성한 것으로 추정되므로 추가 공격에 주의할 필요가 있다. 2. 분석 정보 2-1. 유포 경로 해당 피싱 메일은 외국어를 번역한 듯한 어수룩한 한국어로 작성되었다. 피싱 메일은 특정 링크를 따라 들어가 비밀번호를 사용하도록 유도하는 내용을 담고 있다. 2-2. 실행 과정 현재는 링크가 끊어져 있으나, VirusTotal에서 검색되는..