잉카인터넷 시큐리티대응센터 블로그

국내 기업 표적으로 계속되는 Ammyy RAT 유포 메일 주의 1. 개요 이전부터 국내 기업을 표적으로 Ammyy RAT 을 다운로드하는 악성 메일이 유포되어 왔다. 최근에는 단순히 기존 방식대로 유포할 뿐만 아니라 악성 파일의 포맷을 바꾸고 악성 코드를 숨기는 등, 다양한 방법으로 백신의 탐지를 우회하는 시도를 하고 있다. Ammyy RAT 에 감염되면 정보 탈취, 랜섬웨어 설치와 같은 추가 공격이 이어질 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 Ammyy RAT 유포 메일의 변화 과정과 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 C739054.xls 파일크키 167,628 bytes 진단명 Suspicious/X97M.Downloader.Gen..

송장(Invoice)을 위장한 엑셀파일 주의 1. 개요 최근 국내 기업을 대상으로 악성 파일이 첨부된 메일이 유포되고 있다. 해당 메일에는 송장(invoice)을 위장한 엑셀 파일이 첨부되어 있고, 해당 엑셀 파일의 매크로를 통해 백도어 기능을 하는 악성파일을 다운받아 사용자 PC에 설치한다. 이와 유사한 방식의 첨부파일을 포함한 형태의 메일이 꾸준히 유포되고 있어 사용자들의 주의를 요한다. 이번 보고서에는 최근에 발견 된 송장(Invoice)을 위장한 엑셀 파일에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 L680273.xls 파일크키 216,064 byte 진단명 Suspicious/X97M.Obfus.Gen.1 악성동작 매크로 실행을 통한 악성파일 다운 구분 내용..

다수의 정보 탈취 악성 파일 다운로드하는 Scranos 루트킷 감염 주의 1. 개요 최근 Youtube, Facebook, 등 인기 사이트와 관련된 개인 정보를 탈취하는 Scranos 루트킷이 전파되고 있다. 이뿐만 아니라 해외 보안 업체 Bitdefender 에 따르면 추가 기능을 보유한 변종이 발견되고 있으며, 실행 이후에는 다수의 추가 악성 페이로드를 다운로드한다고 알려져 있다. 또한 Scranos는 시스템의 Shutdown 명령 발생 시 자기 자신을 다시 생성하고, 시스템 날짜를 기반으로 일정 주기마다 C&C 서버 주소를 바꾸기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].sys 파일크키 621,928 bytes 진단명 Trojan-Downloa..

DarkCloud Bootkit 악성코드 감염 주의 1. 개요 부트킷 악성코드는 시스템이 부팅할 때 필요한 정보가 저장되어있는 MBR(Master Boot Record) 영역을 감염시키고 백신을 무력화시키며 추가로 악성 파일을 다운받거나 사용자의 정보를 탈취할 수 있는 악성코드이다. 부팅 시 MBR의 정보로 운영체제를 구동시키기 때문에 MBR 영역에 악성코드가 존재하면, 시스템에서 악성코드를 삭제해도 악성코드는 지속적으로 존재할 수 있기 때문에 사용자의 각별한 주의가 필요하다. 이번 보고서에서는 “DarkCloud Bootkit” 악성코드에 대해 알아보고자 한다 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 임의의 문자열.exe 파일크키 737,280 Byte 악성 동작 MBR 변조, 추가 파일 ..

Slack, Github을 이용해 통신하는 SLUB 백도어 감염 주의 1. 개요 얼마 전 해외 보안 업체 Trend Micro 에서 팀 협력 도구 Slack 과 분산 버전 관리 툴 Github 을 이용하여 통신하는 백도어를 발견하였고, 두 서비스의 이름을 합쳐 SLUB 백도어라 명명했다. 해당 악성 파일은 시스템에 특정 백신이 실행 중이면 백도어 실행 없이 스스로 종료되거나, Github 으로부터 수행할 명령을 수신받고 Slack 채널로 결과를 전송하는 등, 탐지 회피 기능을 가지고 있기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 78,848 bytes 진단명 Trojan-Downloader/W32.SLUB.78848 악성동작 파일 다..

MS Outlook 사이트로 위장한 피싱 공격 주의 1. 개요 최근 MS Outlook 로그인 사이트로 위장하여 접속을 유도하는 피싱 메일이 유포되고 있다. 피싱 메일에 첨부된 링크를 클릭하면 Outlook 로그인 사이트로 위장한 피싱 사이트로 접속되며 로그인을 위해 암호를 요구한다. 이 밖에도 피싱 사이트의 도메인에는 애플, Paypal, 등 다른 유명 기업의 사이트로 위장한 주소도 확인되기 때문에 유사한 공격에 주의해야 한다. 2. 분석 정보 2-1. 유포 경로 해당 피싱 메일은 도메인 사용 기간이 만료되어 12시간 이내에 사용이 정지되므로 첨부된 링크를 따라 Outlook 계정에 접속하기를 요구한다. 2-2. 실행 과정 첨부된 링크를 클릭하면 Outlook 로그인 사이트로 위장한 피싱 사이트에 접속..

해킹된 ASUS社 서버로부터 유포되는 Shadow Hammer 악성 파일 주의 1. 개요 대만의 컴퓨터 제조사인 ASUS의 업데이트 서버가 해킹당해 악성 코드가 심어진 Live Update 파일을 유포했다. 최초로 이를 발견한 Kaspersky Lab 은 해당 악성 캠페인에 Shadow Hammer 라는 이름을 붙이고 트위터를 통해 발표했다. Shadow Hammer 는 감염 시스템의 MAC 주소에 따라 C&C 서버로부터 추가 악성 코드를 다운받아 실행하므로 주의가 필요하다. 현재 ASUS 에서는 해당 보안 문제를 해결하였다고 언급하며 감염 여부를 확인하는 진단 툴을 배포하고 있다. 이번 보고서에서는 Shadow Hammer 악성 파일의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 ..

화제의 여객기 사고 관련 정보로 위장한 피싱 메일 주의 1. 개요 얼마 전, 외국 보안 회사 360 Threat Intelligence Center 에서 트위터를 통해 보잉 737 여객기 추락 사고와 관련된 피싱 메일 캠페인이 발견되었다고 발표하였다. 피싱 메일에는 “다크웹에서 보잉 여객기 사고와 관련된 정보가 유출되었다.” 라고 언급하며 정보 탈취 기능을 가진 악성 첨부 파일을 실행하도록 유도하고 있다. 이 중 일부 메일은 국내 회사를 표적으로 발송되어 주의가 필요하다. 이번 보고서에서는 보잉 여객기 피싱 메일의 악성 동작에 대해 알아보고자 한다. 출처 : https://twitter.com/360TIC/status/1106524508612026369 2. 분석 정보 2-1. 파일 정보 구분 내용 파일..

헌법 재판소를 사칭한 메일 주의 1. 개요 최근, 글로벌 기업이나 공공기관을 사칭한 메일이 유포 되어 사용자들의 피해사례가 증가 하고 있는 가운데 이번에는 헌법재판소를 사칭한 메일이 유포되어 실제 헌법재판소 민원실에 많은 문의 전화가 오고 있는 것으로 알려진다. 이번 보고서에는 최근에 발견 된 헌법 재판소를 사칭한 메일에 대해서 간략히 알아보고, 피해를 예방하고자 한다. 2. 분석 정보 2-1. 유포 경로 해당 파일은 헌법 재판소를 사칭해서 첨부파일 형태로 유포 된다. 헌법 재판소에 출두해야 한다는 메일 내용과 함께, 첨부파일을 주의 깊게 읽으라는 내용을 포함하고 있다. 메일 내용이 자연스럽지 못한 것으로 보아 외국어로 제작된 후 한국어로 번역되어 유포 되었을 것으로 추정된다. 2-2. 파일 정보 현재 ..

nProtect KeyCrypt 관련 파일로 위장한 다운로더 주의 1. 개요 얼마 전, 자사에서 개발한 nProtect KeyCrypt 제품과 관련된 파일로 위장한 악성 파일이 발견되었다. 해당 파일은 자사에서 개발한 파일 중 하나인 “npkpdb.dll” 로 위장한 파일 정보를 가지고 있으나, 실제로는 다른 악성 파일을 다운로드하여 실행하는 exe 파일이다. 또한 Adobe, Mozilla 재단과 같이 유명 기업에서 개발한 파일로 위장한 유사 샘플이 존재하기 때문에 주의가 필요하다. 이번 보고서에서는 정상 기업 파일로 위장한 다운로더의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 158,040 bytes 진단명 Trojan/..