잉카인터넷 시큐리티대응센터 블로그

RevengeRAT은 2016년 6월경 처음 등장한 악성코드로 지속적인 업데이트를 통해 현재까지도 유포되고 있다. “Palo Alto Network”의 “Unit 42” 연구팀은 2018년 12월경 서비스업, 특히, 호텔 예약 문서로 위장한 메일을 통해 고객들에게 RAT을 유포해 신용 카드 정보 및 사용자 정보를 탈취한 캠페인이 있었다고 밝혔다. 해당 캠페인에는 다양한 RAT이 사용되었으며 그 중에는 RevengeRAT도 포함되어 있다. (출처 : https://unit42.paloaltonetworks.com/operation-comando-or-how-to-run-a-cheap-and-effective-credit-card-business) 최근 이러한 캠페인이 다시 등장해 브라질의 호텔 체인 기업 ..

2020년 “인천광역시 코로나바이러스 대응 긴급 조회”라는 제목의 악성 한글 문서가 발견되었다. 해당 한글 문서는 코로나 19 바이러스와 관련된 내용으로 공공기관을 사칭하여 유포되었는데, 사용자가 정상 문서처럼 위장한 내용에 속아 악성 한글 문서를 실행한다면 문서에 삽입된 EPS(Encapsulated PostScript)를 통해 “CRAT” 악성코드를 다운로드하고 사용자의 정보를 탈취한다. 한글 프로그램에서는 그래픽 이미지를 화면에 표현하기 위해 EPS 파일을 사용한다. 공격자들은 한글 문서에 악성 EPS 파일을 삽입하고, EPS 파일이 9.21 이하 버전의 인터프리터(gbb.exe, gswin32c.exe)를 통해 실행되는 과정에서 발생하는 CVE-2017-8291 취약점을 이용하여 악성 동작을 수행..

1. 개요 및 분석 정보 1-1. 개요 최근 디스코드에서 제공하는 웹훅을 악용하여 디스코드 사용자의 데이터를 훔치는 “TroubleGrabber” 악성코드가 발견되었다. 디스코드(Discord)는 게임상에서 음성 채팅을 위해 제작된 프로그램으로 약 2억 명 이상의 사용자가 있으며, 자체적으로 웹훅(Webhook) 기능을 제공한다. 웹훅은 서버에서 작업이 발생했을 때 그 정보를 외부에 전달하는 방식을 의미하며, 디스코드에서는 이 기능을 이용하여 원하는 정보를 메시지로 받을 수 있다. 이번에 발견된 "TroubleGrabber"는 디스코드에서 제공하는 웹훅을 악용하여 사용자 PC에서 정보를 탈취하는 데 사용하며, 추가로 특정 버전에서는 디스코드 클라이언트 파일을 수정하여 사용자가 로그인할 때마다 공격자에게 ..

지난 해에 등장한 ‘WSH RAT’이 최근 다시 모습이 나타나고 있다. 해당 악성코드는 PDF Reader Installer 을 가장한 파일로, 자바 스크립트 파일을 드롭하여 악성 동작을 수행한다. 악성 동작이 수행될 때, 정상 Installer 파일도 함께 실행하여 사용자가 눈치채지 못하게 하기에 큰 주의가 필요하다. 해당 악성코드가 실행되면, 정상 PDF Reader Installer을 드롭하고 실행한다. 정상 Install 파일의 화면을 띄우고, 악성 자바 스크립트 파일을 드롭 및 실행한다. 해당 스크립트 파일은 난독화 되어있어 일반 사용자는 파일 내용을 확인하기 힘들도록 한다. 아래의 빨간색 상자는 인코딩된 메인 코드이다. 인코딩된 메인 코드를 base64로 디코딩하면 다음과 같은 스크립트를 확인..

지난 2019년에 최초로 등장한 ‘Matiex Keylogger’가 최근 다시 모습을 드러내고 있다. 해당 악성코드는 유료 악성코드로서 온라인에서 판매 중이며, 사용자의 개인정보를 탈취하는 등 다양한 악성 동작을 보유하고 있어 주의가 필요하다. 이번 보고서에서는 ‘Matiex Keylogger’ 의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 사용 가능한 기간에 따라 가격대는 다양하며, 누구나 쉽게 접할 수 있도록 설계되어있다. ‘Matiex Keylogger’가 실행되면 사용자의 PC 정보를 획득한 뒤, 텍스트 파일로 생성한다. 위와 같이 생성된 파일의 내용을 C2 서버에 전송한다. 사용자 PC의 정보를 탈취한 뒤, 다양한 사용자 계정 정보를 탈취한다. Outlook 을 사용중인 사용자라면 아래의..

Trickbot 악성코드는 모듈형 악성코드로 로더와 모듈이 존재한다. 로더는 악성 모듈을 다운받고 실행하는데, 과거에 Trickbot악성코드는 금융 정보를 탈취하는 기능을 가진 악성 모듈이 유포되어 Banker 악성코드로도 유명하다. 현재 유포되는 모듈 중에는 웹 브라우저에 저장된 사용자 계정 정보를 탈취하기 때문에 사용자의 주의가 필요하다. 이번 보고서에서는 ‘Trickbot’ 악성코드의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 먼저 “%AppData%/TimeEr” 폴더를 생성하고 로더의 설정 파일을 생성한다. 생성된 설정 파일은 C2 서버 목록이 존재하며, C2 서버와 연결이 될 경우 “%AppData%/TimeEr/Data” 폴더에 암호화된 악성 모듈과 모듈의 구성 파일을 함께 생성한다...

지난 8월 중순, Anubis Stealer가 등장하였다. 해당 악성코드는 사용자의 PC에 저장된 정보를 탈취할 뿐 아니라, C&C 서버와 연결하여 탈취한 정보를 송신하고, 파일을 다운로드 하는 등의 동작을 하여 2차 피해가 발생할 수 있기에 주의가 필요하다. 이번 보고서에서는 Anubis Stealer의 동작에 대해 알아보고자 한다. Anubis Stealer는 사용자 PC에 대한 정보를 비롯한 브라우저 정보 등을 탈취하여 ‘AX7574VD.tmp’ 디렉토리에 저장한다. 악성코드가 시작되면 가장 먼저, 현재 웹캠과 모니터 화면을 캡처한다. 하기의 이미지, 표와 같이 사용자 PC에 저장되어 있는 다양한 정보를 탈취한다. FileZilla 브라우저에서 사용자 비밀번호와 사용자가 사용하는 사이트의 정보를 탈..

1. 개요 최근 러시아 사이버 포럼에서 판매되고 있는 “PurpleWave Stealer”가 발견되었다. 판매자가 게시한 내용에 따르면 해당 악성코드는 C++로 작성되었고 평생업데이트 버전은 5000 루블, 두 번의 업데이트 지원 버전은 4000 루블에 판매하고 있다. 또한 탈취한 정보를 확인할 수 있는 패널을 제공하고 있으며, 사용자의 시스템에서 실행 시 민감한 정보가 탈취될 수 있어 주의가 필요하다. 이번 보고서에서는 “PurpleWave Stealer”에 대해 알아보고자 한다. 2. 분석 정보 2-1. C&C 연결 “PurpleWave Stealer” 실행 시, C&C 서버에 연결한다. 이때 공격자로부터 JSON 형식으로 전달되는 패킷 정보에 따라 [표 1]과 같이 가짜 알림 창, 파일 수집 경로 ..

1. 개요 최근 마이크로소프트의 윈도우, 오피스 제품에 대한 불법 정품인증 툴인 ‘KMSAuto’로 위장한 악성코드 유포 사례가 발견되었다. 해당 샘플은 SFX 형태의 압축파일로 내부에는 정품인증을 위한 ‘KMSAuto Net.exe’, 감염 PC의 네트워크 정보를 획득하기 위한 ‘script.vbs’ 및 정보를 탈취하는 ‘build.exe’가 있다. 만약, 사용자가 비밀번호를 정상적으로 입력한 후, OK 버튼을 누르면 “C:\Program\Data” 에 3개의 파일이 드롭된다. 첫 번째 드롭 파일은 KMSAuto Net.exe v1.5.1 크랙판(KMSAuto Net.exe)이고, 두 번째 드롭 파일은 IP Logger를 사용하여 감염 PC의 네트워크 정보를 수집하는 스크립트 파일(script.vbs)..

1. 개요 최근 해외 보안업체에 따르면 올해 3월경, 정보 탈취형 악성코드 ‘Poulight Stealer’가 새롭게 발견되었다고 알려진다. 또한 러시아 언어로 된 C2 패널에서 해당 악성코드의 판매가 이루어지고 있기 때문에 추가적으로 유포량이 증가할 가능성이 있어 주의가 필요하다. 이번 보고서에서는 ‘Poulight Stealer’ 악성코드의 주요 악성 동작에 대해 알아본다. 2. 분석 정보 2-1. 파일 정보 2-2. 실행 과정 해당 악성코드를 실행하면 먼저 실행된 환경이 가상 환경인지 체크한다. 가상 환경이 아닐 경우 정상적으로 실행되어 사용자의 데이터를 수집하기 위한 임의의 폴더(pf-tu4ap)를 “C:\Users\사용자 계정명\AppData\Local” 위치에 생성한다. 이후 시스템 기본정보,..