잉카인터넷 시큐리티대응센터 블로그

1. 허위 메시지 창으로 인터넷 이용자들을 현혹 잉카인터넷 대응팀은 2013년 09월 04일 마치 특정 공식 사이트들과 금융결제원이 협력하여 보안서비스를 수행하는 것처럼 위장하고, 개인정보 유출이 의심된다는 허위 메시지 창을 출력하여 이용자들을 현혹시키는 악성파일을 발견하였다. 이 악성파일은 특정 포털 사이트 및 전자상거래 사이트 접속시 팝업되도록 만들어져 있다. 악성파일은 윈도우 경로 하위 임시폴더(Temp)에 "svohcst.exe", "temp1.exe", "temp2.exe", "temp3.exe", "temp4.exe" 등으로 생성되고, 온라인 게임 계정 탈취 및 파밍기능 등의 다양한 형태가 감염되며, 변종도 다수 존재한다. [temp1.exe] https://www.virustotal.com/..

1. 잠재적 보안위협, 악성 문서파일을 방어하라! 잉카인터넷 대응팀은 한글과컴퓨터(한컴)사의 문서파일 취약점을 이용한 표적 공격을 집중 모니터링 하던 과정 중 "박근혜의 외교정책.hwp" 이름의 악성파일을 발견했다. 이 파일은 실행 시 HWP 파일의 보안 취약점을 이용해서 시스템 폴더 경로에 "ESTsoftReg.exe", "mncomun.dll", "mnkyst.dll", "mnsandp.dll" 등의 악성파일을 몰래 설치하고, 사용자 화면에는 「박근혜 정부의 외교·안보 정책의 기조와 딜레마」제목의 정상적인 문서파일을 보여준다. 그렇기 때문에 이용자에게는 마치 정상적인 파일로 보여지게 된다. 이러한 문서파일 취약점을 이용한 악성파일은 지능적인 표적공격에 은밀하게 사용되고 있으며, 피해자들은 자신이 어떤..

1. 보안설정 변경 내용으로 사칭한 스미싱 출현 잉카인터넷 대응팀은 각종 모바일 보안위협을 실시간으로 관제하던 중 기존 스미싱과는 방식이 다른 한 단계 지능화된 공격수법을 확인했다. 이번 방식은 스미싱 문자메시지에 포함되어 있는 단축 인터넷 주소(URL)를 클릭할 경우 바로 악성앱(APK)이 다운로드되는 기존 방식과 더불어 마치 정상적인 안내 페이지처럼 조작된 화면 등을 추가로 보여주어 이용자로 하여금 좀더 신뢰할 수 있는 내용으로 현혹될 수 있도록 이미지를 추가한 점이 가장 큰 특징이라 할 수 있다. 기존의 스미싱 방식은 문자메시지 내용으로 이용자를 현혹하는 것이 핵심이었다면, 이번에 발견된 수법은 거기에 더해 별도 안내 화면과 함께 이용자 스스로 알 수 없는 출처(소스)의 보안 옵션을 변경하도록 유인..

1. 한국맞춤형 전자금융사기 악성파일(KRBanker) DLL 파일로 귀환 잉카인터넷 대응팀은 국내 시중은행의 인터넷 뱅킹 이용자들을 겨냥한 악성파일을 집중 모니터링하던 중 기존과 다르게 작동하는 유형을 발견했다. 이번 악성파일은 워드패드 파일의 아이콘처럼 자신을 위장하고 있으며, 중국어로 제작되어 있다. 최근 며칠 사이에 변종이 계속 증가하고 있는 추세이다. 악성파일이 작동되면 루트 드라이브에 임의의 폴더를 생성하고 내부에 정상적인 "csrss.exe" 파일과 임의의 파일명으로 악성 dll 파일을 생성한다. 특징적인 점은 기존에 윈도우 운영체제에서 사용하던 "rundll32.exe" 파일을 "csrss.exe" 파일명으로 생성한다는 점인데, 이것은 악성파일 자신을 최대한 은닉하기 위한 수법으로 활용했다..

1. 악성 HWP 파일의 생명보험은 바로 제품 업데이트 잉카인터넷 대응팀은 한글과컴퓨터(한컴)사의 HWP 문서파일 취약점을 이용하는 악성파일을 지속적으로 발견하고 있다. 문서파일의 취약점을 이용한 공격은 특정기업이나 기관을 겨냥한 1차침투 및 정찰용 악성 이메일을 은밀하게 발송하는 스피어피싱(Spear Phishing)기법이 활용된다. 이러한 공격기법은 과거부터 많이 사용되던 매우 고전적인 수법이지만, 외부에 쉽게 노출되지 않고, 이용자들의 보안의식에 따라 공격대비 성공율이 나름대로 높아 주로 이용되는 방식 중 하나이다. 평소 업무에도 자주 이용하는 친숙한 문서파일은 이용자로 하여금 악성파일로 의심받을 확률이 낮고, 감염여부를 쉽게 판단하기 어렵다는 점에서 특정인이나 조직을 겨냥한 표적공격에 꾸준히 악용..

1. 악성파일로 바로가기하는 LNK 공격 등장 잉카인터넷 대응팀은 2013년 07월 중순 경부터 08월 초까지 한국과 일본의 특정 기관들을 노린 것으로 보이는 은밀한 방식의 지능형 표적공격 정황을 다수 포착했다. 이 공격방식은 바로가기(.LNK) 파일형식으로 만들어져 있고, LNK 내부에삽입된 악의적 스크립트 코드명령에 의해 특정 사이트로 연결이 된다. 이 과정에서 이용자 몰래 EXE 악성파일을 추가로 다운로드하여 몰래 실행하는 일종의 원격실행 취약점이 작동하게 된다. 또한, 공격자들은 바로가기 파일이 마치 문서파일처럼 보이도록 하기 위해서 아이콘을 워드패드(RTF)로 위장하거나 실제 가짜 문서화면을 실행하여 이용자로 하여금 정상적인 문서파일로 인지하도록 현혹한다. 현재까지 한국과 일본을 상대로 한 공격..

1. 유명 기업들 관리자 계정 탈취 목적의 악성파일 잉카인터넷 대응팀은 국내 주요 사이트의 관리자 계정을 수집하는 악성파일 숙주가 국내 특정 웹 사이트 2곳에서 유포 중인 것을 자체적으로 발견했다. 이 글을 작성하는 2013년 07월 26일 오후 1시경 현재 해당 웹 사이트가 정상적으로 작동하고 있어, 유관기관 등에 신속하게 악성파일 유포지 정보를 공유하고 차단협조를 요청한 상태이다. 해당 악성파일들은 언론사, 광고사, 게임사, 포털사, 교통, 통신, 커뮤니티, 보안장비 등의 웹 사이트 관리자 페이지 정보를 보유하고 있어, 각별한 주의가 필요하며, 기존 3.20 사이버 테러와 6.25 사이버전의 공격코드 형태와는 다른 종류이다. 이것을 미루어 보아 온라인 게임 계정 탈취기능의 사이버 범죄 조직들이 유명 ..

1. 불청객 애드웨어와 KRBanker, 내 안에 너 있다. 잉카인터넷 대응팀은 최근 금융사 보안모듈의 메모리를 변조하는 지능화된 공격방식의 파밍용 악성파일이 변칙적인 광고성 악성 프로그램(애드웨어)을 통해서 은밀하게 전파되는 정황을 포착하였고, 그 실체를 처음으로 공개하고자 한다. 그동안 전자금융사기를 위한 악성파일들은 불특정 다수의 웹 사이트에 각종 보안 취약점 코드를 삽입하고 보안상태가 허술한 이용자들에게 무작위로 감염시키는 이른바 Drive By Download 기법이 주류를 이루고 있어, 웹 관제 감시센서 등을 통해서 조기에 탐지하여 차단하는 효과를 발휘하고 있다. 그러나 이번과 같이 포털사이트의 블로그나 인터넷 카페 등에 마치 정상적인 프로그램처럼 둔갑한 애드웨어 파일의 내부에 별도 악성파일을..

1. 페이스북 이용자를 매개체로 한 피라미드식 보안위협 잉카인터넷 대응팀은 영화 해리포터 시리즈로 잘 알려져 있는 프랑스 여배우 엠마 왓슨(Emma Watson)과 미국의 여배우인 셀레나 고메즈(Selena Gomez)의 사생활 노출비디오 동영상처럼 사칭한 악성 메시지가 페이스북을 통해서 산발적으로 전파 중인 것을 발견했다. 이 메시지는 페이스북(Facebook) 사용자들을 현혹시켜 특정 사이트의 링크주소의 클릭을 유도하게 된다. URL 주소를 클릭하는 이용자가 증가할 수록 악성 메시지 전파가 비례적으로 증가할 수 있고, 피라미드식 악성메시지가 동시다발적 형태로 확산될 수 있다. 일부 악성 메시지는 코드내부적으로 광고기능이 포함되어 있어, 구글 광고수익(Adsense) 등을 통한 금전적 이득 목적의 악의..

1. Apache Struts2 원격코드 실행취약점 업데이트 권고 잉카인터넷 대응팀은 중국내 언더그라운드 사이트에서 아파치 Struts2 취약점을 이용한 Exploit 코드와 공격도구가 다수 배포되고 있는 점을 확인하였다. 아파치 Struts2 프로그램은 자바 웹 프로그램 구축을 위한 프레임 워크이다. 따라서 해당 취약점을 이용한 공격이 증가할 것으로 우려된다. 아파치 Struts2 버전을 이용하고 있는 웹서버 관리자는 신속히 2.3.15.1 이상의 상위버전으로 신속히 업데이트를 하여야 한다. 보안이 취약한 버전을 사용할 경우 해킹에 의해서 홈페이지 변조 및 데이터 베이스 정보 유출 등의 피해를 입을 수 있으므로, 서버 관리자들의 신속하고 적극적인 조치가 요구된다. [CVE-2013-2251 취약점 정보..