본문 바로가기

분석 정보/악성코드 분석 정보396

불법 복제 프로그램으로 위장한 Vigilante 악성코드 최근 불법 복제 프로그램으로 위장해 유포 중인 “Vigilante” 악성코드가 발견됐다. 해당 악성코드는 호스트 파일을 수정해 토렌트 파일을 공유하는 사이트인 “The Pirate Bay” 등을 차단하며, 실행 과정에서 악성코드를 추가로 다운로드 받아 정보를 탈취한다. “Vigilante” 악성코드는 음성 채팅을 위해 제작된 프로그램인 디스코드(Discord) 또는 토렌트를 통해 유포된 것으로 알려졌으며, 유포된 파일을 다운로드한 후 압축을 해제하면 [그림 1]과 같이 파일을 생성한다. 추가로, “Vigilante” 악성코드가 위장한 유명한 게임 또는 소프트웨어는 [그림 2]와 같다. Vigilante 악성코드 “Vigilante” 악성코드를 실행하면 호스트 파일에 불법 복제 소프트웨어 사이트 도메인을 .. 2021. 6. 25.
GO 언어로 제작된 악성코드 Klingon RAT 2019년부터 백신 프로그램 탐지 회피 및 다양한 OS 사용자 타겟으로 공격이 가능하다는 이유에서 기존의 프로그래밍 언어가 아닌 GO 언어로 제작된 악성코드가 등장하기 시작했다. 최근에는 점차 GO 언어를 사용해 제작된 악성코드가 증가하고 있다. 2021년 2월경, 자사에서는 GO 언어로 제작된 "Electro RAT" 분석글을 게시하였으며 해당 글의 링크는 아래에 첨부되어 있다. 2021.02.09 - [악성코드 분석] ElectroRAT 악성코드 분석 보고서 최근 GO 언어로 제작된 새로운 악성코드 "Klingon RAT"이 등장했다. "Klingon RAT"은 백신 프로그램 종료를 시도하며 관리자 권한을 획득한다. 최종적으로 해당 악성코드는 C&C 서버를 이용해 정보를 탈취하고, 사용자의 PC를 제.. 2021. 6. 25.
다양한 방법으로 유포된 RedLine Stealer 악성코드 "RedLine Stealer" 는 정보탈취형 악성코드로 해커 포럼에서 판매중이며 크랙 버전도 발견되고 있다. 해당 악성코드는 코로나 19 이슈를 악용한 피싱 메일을 통해 처음 등장하였으며 정상 프로그램 위장, 피싱 페이지 등의 방식을 이용하여 유포된 사례가 지속적으로 발견되고 있다. 또한 최근에도 디지털 아티스트들에게 업무를 의뢰한다고 접근하여 "RedLine Stealer" 악성코드를 다운로드하고 실행을 유도한 사례가 발견되었다. 실행된 "RedLine Stealer" 악성코드는 브라우저, FTP 및 게임 프로그램 등 사용자 PC의 다양한 정보를 탈취한다. 최신 유포 사례 "RedLine Stealer" 악성코드는 2020년 3월 경 코로나 19 이슈를 악용한 피싱 메일 유포를 시작으로 피싱 웹 사이.. 2021. 6. 21.
제로데이 취약점을 사용한 PuzzleMaker 제로데이 취약점을 사용한 PuzzleMaker 최근 Google Chrome 및 Microsoft Windows의 제로 데이 취약점을 사용한 공격이 등장하였다. 해당 공격은 여러 기업을 타겟으로 하였으며, 아래의 흐름도와 같이 취약점을 통해 사용자 PC에 접근하여 시스템 프로세스에서 악성코드를 실행한다. 공격은 Google Chrome에서 시작된다. Chrome 웹 브라우저의 취약점은 Java Script 엔진인 V8의 유형 혼돈으로 인해 공격자가 만든 HTML 페이지로 샌드 박스 내에서 원격 코드 실행 (RCE)를 실행하는 취약점으로 CVE-2021-21224로 추정되지만, 정확한 스크립트는 발견되지 않았다. 그리고 CVE-2021-31955와 CVE-2021-31956로 지정된 Windows의 취약점.. 2021. 6. 18.
변종으로 돌아온 모듈형 악성코드 Gelsemium 2014년에 처음 등장한 Gelsemium 사이버 공격 그룹은 정부, 대학교, 전자 제품 제조업체 및 종교 단체 등을 공격했다. 현재는 Gelsemium이 더욱 정교해진 백도어로 업데이트되어 서남아시아 및 동아시아를 주 타겟으로 공격하고 있으며 최근 PC용 안드로이드 에뮬레이터인 NoxPlayer로 위장해 백도어를 유포한 사례가 있다. 보안 기업 ESET에서는 "Gelsemine", "Gelsenicine", "Gelsevirine" 를 사용하여 백신 프로그램 탐지를 우회하고, 관리자 권한을 획득하는 등 더욱 정교해진 새로운 버전의 Gelsemium 백도어가 유포되고 있다고 발표했다. 출처 : https://www.eset.com/ca/about/newsroom/press-releases/eset-res.. 2021. 6. 17.
군사 및 정부 기관을 대상으로 한 캠페인에 사용된 SkinnyBoy 악성코드 최근 “SkinnyBoy”로 불리는 새로운 악성코드가 발견됐다. Clust25가 공개한 보고서에 따르면 해당 악성코드는 러시아에서 활동하는 APT28 조직이 사용자 PC의 정보를 수집하고, 최종 페이로드를 다운로드 받기 위해 사용하는 것으로 알려졌다. 출처 : https://cluster25.io/2021/06/03/a-not-so-fancy-game-apt28-skinnyboy/ 현재, “SkinnyBoy”는 국제 행사 초대와 관련된 내용을 지닌 조작된 문서를 사용해 유포한 것으로 알려졌으며, 실행 흐름은 [그림 1]과 같다. 드롭퍼 (Dropper) “SkinnyBoy” 악성코드를 실행하면 [표 1]과 같이 런처(Launcher)와 다운로더(Downloader) 특징을 지닌 파일을 드롭하고 자가삭제한.. 2021. 6. 11.

티스토리툴바