본문 바로가기

분석 정보/악성코드 분석 정보405

[악성코드 분석] Poulight Stealer 악성코드 분석 보고서 1. 개요 최근 해외 보안업체에 따르면 올해 3월경, 정보 탈취형 악성코드 ‘Poulight Stealer’가 새롭게 발견되었다고 알려진다. 또한 러시아 언어로 된 C2 패널에서 해당 악성코드의 판매가 이루어지고 있기 때문에 추가적으로 유포량이 증가할 가능성이 있어 주의가 필요하다. 이번 보고서에서는 ‘Poulight Stealer’ 악성코드의 주요 악성 동작에 대해 알아본다. 2. 분석 정보 2-1. 파일 정보 2-2. 실행 과정 해당 악성코드를 실행하면 먼저 실행된 환경이 가상 환경인지 체크한다. 가상 환경이 아닐 경우 정상적으로 실행되어 사용자의 데이터를 수집하기 위한 임의의 폴더(pf-tu4ap)를 “C:\Users\사용자 계정명\AppData\Local” 위치에 생성한다. 이후 시스템 기본정보,.. 2020. 5. 20.
[악성코드 분석] 서류 배송으로 위장한 피싱 메일 주의 서류 배송으로 위장한 피싱 메일 주의 최근 특정 기업을 사칭해 서류 배송 관련 내용으로 위장한 피싱 메일이 발견되어 사용자의 주의가 필요하다. 이번에 발견된 메일의 제목은 ‘[DHL KOREA] 서류 도착 통지’로 되어있으며 잘못된 세관 신고로 인해 첨부파일의 문서를 숙지해달라는 내용으로 첨부파일 실행을 유도하고 있다. 첨부 파일은 디스크 이미지 파일(.img) 형식으로 되어있으며 더블 클릭할 경우, 자동으로 마운트 되어 내부에 존재하는 실행 파일(‘DHL Assessment Package.exe’)을 볼 수 있다. 이를 서류 배송 관련 문서로 착각해 실행하면 구글 드라이브에서 암호화된 ‘Formbook’ 악성코드를 다운받고 복호화한 뒤 실행한다. 실행된 ‘Formbook’ 악성코드는 정상 프로세스에 인.. 2020. 4. 16.
[악성코드 분석] 코로나19 이슈 관련 피싱 메일 주의 코로나19 이슈 관련 피싱 메일 주의 코로나19 바이러스 사태가 발생하자 이와 관련된 내용으로 피싱 메일이 유포되고 있어 사용자들의 주의가 필요하다. 아래의 피싱 메일은 미국의 질병 통제 예방 센터(CDC)를 사칭하고 있으며 코로나19 안전 대책 및 기존 사례의 정보가 담긴 악성 첨부 파일을 다운 및 실행하도록 유도하고 있다. 첨부된 파일에는 화면 보호기(.scr)파일로 위장한 악성코드가 존재하는데, 해당 악성코드는 원격 명령 수행, 키로깅, 화면 캡처, 화면 녹화, 파일 다운로드 등 악성 행위를 할 수 있는 ‘Remcos RAT’ 악성코드이다. 또한 아래의 피싱 메일들은 코로나 바이러스 감염자 확인 자료, 세계 보건 기구 WHO를 사칭한 코로나 바이러스 발병에 대한 최신 업데이트 자료의 내용으로 첨부 .. 2020. 3. 13.
[악성코드 분석] Lokibot 악성코드 분석 보고서 견적 요청서로 위장한 Lokibot 악성코드 유포 주의 최근 국내 특정기업을 사칭해 견적 요청서로 위장한 스피어 피싱 메일이 발견되었다. 스피어 피싱은 특정한 개인이나 회사를 대상으로 공격을 시도하는데, 아래의 악성 메일처럼 정교한 내용으로 첨부된 대용량 악성 파일을 열람하도록 유도한다. 첨부 파일은 디스크 이미지 파일(.img) 형식으로 되어있으며 더블 클릭할 경우, 자동으로 마운트 되어 내부에 존재하는 실행파일(‘RFQ_UYK_1DED’, ‘kiriko_492B.exe’)을 볼 수 있다. 이를 견적서와 관련된 파일로 착각해 실행하면 ‘LokiBot’ 악성코드가 실행된다. 실행된 ‘Lokibot’ 악성코드는 웹브라우저, 메일, FTP 클라이언트 등 응용프로그램에 저장된 계정정보를 수집한 뒤, 데이터를 .. 2020. 2. 27.
[악성코드 분석] Emotet 악성코드 분석 보고서 국내 특정 기업을 사칭한 Emotet 악성코드 유포 주의 이모텟(Emotet)은 2014년 해외에서 처음 발견되어 금융정보를 탈취하는 악성코드로 현재까지도 유입량이 상위권에 속해있는 악성코드이다. 주로 견적서, 계약서 등 관련 내용의 피싱 메일을 통해 대량으로 유포되며 사용자 정보 탈취, 파일 다운로드 등 악성 동작을 수행한다. 최근 국내 특정기업을 사칭한 피싱 메일을 통해 ‘Emotet’ 악성코드가 유포되고 있어 사용자들의 주의가 필요하다. 해당 피싱 메일은 회의와 관련된 내용으로, 사용자가 첨부된 악성 워드 문서를 열람하도록 유도하고있다. 사용자가 피싱 메일에 첨부된 워드 문서를 열람할 경우, ‘콘텐츠 사용’ 클릭을 유도하고 있다. 본문 내용을 보기 위해 ‘콘텐츠 사용’ 버튼을 클릭할 경우, 악성 매.. 2020. 2. 13.
[악성코드 분석] Oski Stealer 악성코드 분석 보고서 개인정보를 탈취하는 Oski Stealer 분석 보고서 1. 개요 최근 발견된 정보 탈취형 악성코드 “Oski Stealer”는 현재 다크웹 및 러시아 포럼에서 판매 글이 게시되고 있다. 해당 악성코드가 사용자의 시스템에서 실행된다면 인터넷 브라우저 계정정보, 암호화폐 지갑정보, 시스템 정보와 같이 사용자의 중요한 개인정보를 탈취하고 있어 주의가 필요하다. 이번 보고서에서는 개인정보를 탈취하는 “Oski Stealer”에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 악성코드는 다크웹 및 러시아 포럼의 판매 글을 통해 유포되고 있으며, 해당 게시 글에는 악성코드의 정보와 텔레그램 아이디가 기재되어 있다. 2-3. 실행 과정 “Oski Stealer”가 실행되면 시스템.. 2020. 1. 30.

티스토리툴바