본문 바로가기

분석 정보/악성코드 분석 정보389

인기 프로그램 크랙버전으로 위장하여 유포되는 PrivateLoader 캠페인 2021년 5월경 처음 등장한 "PrivateLoader" 캠페인이 인기 프로그램의 크랙버전으로 위장하여 유포되기 시작했다. 해당 악성코드는 'PPI(Pay-Per-Install) 악성코드 서비스'로 공격자가 불특정 다수의 타겟을 지정하여 악성코드를 유포할 수 있다. 'PPI 악성코드 서비스'란 악성코드 제작자가 고객(악성코드 의뢰인)이 원하는 페이로드를 다운로드 사이트에 정상 프로그램으로 위장하여 유포하고, 피해자가 해당 파일을 다운로드하여 실행할 때 고객에게 금전을 지불받는 형식의 서비스이다. "PrivateLoader" 악성코드 캠페인은 주로 백신 프로그램의 크랙 버전으로 위장되어 다운로드 사이트에 게시된다. 해당 파일을 피해자가 다운로드한 후 설치 파일을 통해 "Raccoon", "Redline".. 2022. 3. 22.
우크라이나에 가해지는 위협적인 사이버 공격 지난 2월 말, 우크라이나의 업체 및 정부 기관들을 대상으로 한 사이버 공격이 발견됐다. 공격자들은 이번 공격에 주로 와이퍼(Wiper) 악성코드를 사용해 기관들에 피해를 입혔으며, 랜섬웨어를 사용한 정황도 발견됐다. 그리고 공격에 사용된 악성코드 모두 Hermetica Digital Ltd에 발급된 코드 서명 인증서를 사용한다는 특징이 있다. 공격자들이 중동의 키프로스에 위치한 업체인 Hermetica Digital Ltd의 이름으로 인증서를 발급 받은 시기는 2021년 4월 13일로 [그림 1]에서 확인된다. 해당 인증서와 관련해 외신은 Hermetica 측에서 자신들은 인증서의 발급 사실도 몰랐다고 언급한 내용을 전했다. 현재, Hermetica 이름으로 발급된 인증서는 인증 기관에 의해 사용이 중.. 2022. 3. 22.
클립보드를 변경하는 ClipBanker 악성코드 발견 최근 다크웹 포럼에서 암호화폐를 훔치기 위한 목적의 악성코드 판매 정황이 발견됐다. 해당 악성코드는 사용자가 복사 및 붙여 넣기 기능을 사용할 때 클립보드에 저장된 데이터를 공격자가 지정한 데이터로 변경한다. “ClipBanker” 악성코드는 러시아어를 사용하는 다크웹 포럼에서 25 달러의 가격에 판매되고 있다. 먼저, “ClipBanker” 악성코드는 파일을 자가 복제해 숨김 속성으로 설정한 후, 지속적인 실행을 위해 작업 스케줄러에 등록한다. 해당 악성코드에서 사용하는 C&C 서버 주소나 공격자 암호 화폐 지갑 등의 정보는 리소스 섹션에 저장됐으며, 해당 정보를 디코딩하면 [그림 2]와 같이 악성코드에서 사용할 정보를 확인할 수 있다. "ClipBanker" 악성코드가 실행 중일 때 사용자가 복사한 .. 2022. 3. 7.
중동을 대상으로 공격하는 Molerats 해커 그룹 최근 중동 국가를 대상으로 공격하는 캠페인이 발견됐다. 해당 캠페인은 "Molerats" 해커 그룹의 소행으로 추정되며, 공격자들은 문서 파일을 사용해 악성코드를 유포했다. "Molerats" 해커 그룹은 악의적으로 조작한 문서 파일을 사용자가 실행하도록 유도한다. 먼저, 문서 내부의 매크로나 외부 링크를 변경해 공격자의 C&C 서버에서 파일을 다운로드한 후 실행한다. 이 과정에서 다운로드한 파일은 백도어 악성코드로 공격 대상 환경에서 명령을 실행하거나 추가 파일 다운로드 및 업로드 등의 행위를 수행한다. 먼저, 사용자가 “Molerats” 해커 그룹이 악의적으로 조작한 문서를 실행하면 내부의 매크로가 동작해 악성코드를 다운로드한 후 실행한다. [그림 2]와 같이 매크로를 사용하는 방식 외에도 [표 1].. 2022. 2. 17.
파키스탄 APT 그룹 SideCopy의 새로운 정보 탈취 악성코드 등장 2019년에 처음 등장한 "SideCopy" 해킹 그룹은 주로 남아시아 국가, 특히 인도와 아프가니스탄을 대상으로 공격하는 것으로 알려졌다. 해당 악성코드는 주로 MS Publisher 또는 이미지 뷰어로 위장한 아카이브 파일로 유포되며 현재 진행중인 캠페인은 주로 정부나 군 관계자들을 목표로 하여 맞춤화된 문서나 이미지로 유포된다. "SideCopy" 해킹 그룹의 악성코드는 페이로드가 포함된 MS Publisher 문서와 같은 아카이브 파일로 유포된다. 해당 문서 파일은 목표 대상이 흥미를 끌 수 있는 내용의 문서로 작성돼 있으며 실행 시, 페이로드를 로드하는 파일인 "Crebiz.exe"과 감염된 PC의 정보를 탈취한 후 공격자의 서버로 전송시키는 파일인 "TextShaping.dll" 파일을 드랍한.. 2022. 2. 15.
인도의 군사 및 외교 분야를 대상으로 공격하는 Crimson RAT 최근, 인도의 군사 및 외교 분야를 대상으로 공격하는 캠페인이 발견됐다. 해당 캠페인은 악성 문서를 첨부한 피싱 메일을 보내 메일 수신자의 실행을 유도한 후, 최종적으로 “Crimson RAT” 악성코드를 실행해 정보를 탈취하거나 PC를 조작한다. “Crimson RAT” 악성코드의 유포 및 실행 과정은 [그림 1]과 같이 진행한다. 1. 공격자는 악성파일을 첨부한 메일을 사용자에게 보내 첨부 파일의 다운로드를 유도한다. 2. 사용자가 메일에서 다운로드한 파일을 실행하면 문서 내부의 매크로가 동작해 지정된 경로에 Hbraeiwas.exe를 드롭 및 실행한다. 3. 이전 단계에서 실행한 파일은 압축 파일 형태의 리소스를 읽어 mdkhm.zip이란 이름으로 저장한다. 4. 이후, mdkhm.zip 파일의 압.. 2022. 1. 28.

티스토리툴바