잉카인터넷 시큐리티대응센터 블로그

LuoYu 해킹 그룹은 2014년에 처음 등장하여 2017년도 까지는 한국을 포함해 중국, 홍콩, 일본, 대만 등 동아시아 지역의 IT 산업을 대상으로 공격을 시도했다. 하지만 2017년도부터 IT 기업뿐만 아니라 교육 서비스 직종 및 미디어 기업과 같은 업종을 공격 대상에 포함시켰다. 해당 해킹 그룹은 Mac, Linux, Windows 및 Android 시스템을 대상으로 하며 "WinDealer" 뿐만 아니라 "ReverseWindow", "SpyDealer"과 같은 악성코드도 함께 사용한다. "WinDealer" 악성코드는 특정 폴더에 존재하는 데이터 파일들을 이용하여 공격자의 C&C 서버 정보 및 공격자가 필요로 하는 특정 정보를 읽어온다. 최종적으로 "WinDealer" 악성코드 내부에 하드코딩..

잉카인터넷 대응팀은 2021년 10월 29일부터 2021년 11월 04일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "CryptoCrazy"외 2건, 변종 랜섬웨어는 "BlackMatter"외 6건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 FBI에서 “HelloKitty” 랜섬웨어를 주의할 것을 권고했고, “BlackMatter” 랜섬웨어가 활동 중단을 선언한 이슈가 있었다. 2021년 10월 29일 BlackMatter 랜섬웨어 파일명을 “[랜덤 문자열].[랜덤 문자열]"로 변경하고 “[랜덤 문자열].README.txt”라는 랜섬노트를 생성하는 "BlackMatter" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화하고 공격자의 C&C 서버와 연결을..

최근 정상 프로그램으로 위장해 사용자의 정보를 탈취하는 악성코드가 발견됐다. 해당 악성코드는 다수의 계정에 로그인할 수 있도록 지원하는 Multilogin 프로그램으로 위장해 사용자의 다운로드를 유도하며, 사용자 PC에 정보 탈취를 위한 악성코드를 설치한다. “MultiStealer” 악성코드의 유포 및 실행되는 과정은 [그림 1]과 같다. 1. 공격자는 사용자가 악의적으로 제작된 피싱 사이트에 접속해 Multilogin 설치 프로그램으로 위장한 악성코드를 다운로드하도록 유도한다. 2. 사용자가 피싱 사이트에서 다운로드한 파일을 실행하면 “MultiStealer” 악성코드를 사용자 PC에 설치 및 실행한다. 3. 해당 악성코드는 사용자 PC에서 브라우저 로그인 정보 등의 주요 정보를 수집한 후 공격자가 ..

잉카인터넷 대응팀은 2021년 10월 22일부터 2021년 10월 28일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Bronya" 외 1건, 변종 랜섬웨어는 "Stop" 외 5건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 보안 업체가 AtomSilo 및 LockFile 랜섬웨어의 무료 복호화 툴을 공개했다. 2021년 10월 22일 Stop 랜섬웨어 파일명에 ".zaps"로 변경하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도한다. Bronya 랜섬웨어 암호화를 하지 않고, [그림 1]의 랜섬노트를 실행하는 "Bronya" 랜섬웨어가 발견됐다. 2021년 10월 23일 Th..

중국어를 구사하는 사이버 범죄 그룹 APT41은 2018년에 처음 등장했으며 "SideWalk" 또는 "Earth Baku"라는 명칭으로 사용되기도 한다. 해당 그룹은 주로 북미, 동남아시아의 IT 산업을 타겟으로 공격하고 있으며 최근 글로벌 항공 IT 제공 업체 SITA가 APT41의 공격을 받아 대규모 고객 정보가 유출된 사건이 있었다. APT41의 첫 등장 당시, 오픈 소스 악성코드인 "LavagokLdr" 로더를 이용해 "CrossWalk" 악성코드를 실행했다. 2020년부터 해당 APT 그룹은 "StealthMutant" 와 "StealthVector" 로더를 제작하여 자신들의 공격 루틴을 구축했으며 현재까지 해당 악성코드로 인한 많은 피해 사례가 등장하고 있다. 본 보고서에서 설명하는 것은 A..

Donot Team은 APT-C-35라고도 불리며, 2020년 처음 등장한 이래로 특정 국가를 대상으로 지속적인 공격을 수행하였다. 주로 모바일 단말기를 대상으로 Firestarter 악성코드를 사용하여 APT 공격을 수행하였는데, 최근에 변종이 등장하였다. 이번에 등장한 변종은 지난 캠페인의 악성 동작과 유사하지만, 코드를 난독화 하거나 추가적인 악성동작을 수행하는 등 더욱 치밀하게 제작되었다. 지난 4월의 APT 공격은 자사 블로그에서도 언급한 바가 있어 아래의 링크에서 확인할 수 있다. https://isarc.tachyonlab.com/3919 앱을 실행하면 아래의 이미지와 같이, 각종 권한을 획득한 다음 아무런 화면도 띄우지 않지만, 각종 악성 동작이 수행된다. 해당 악성코드는 단말기의 유심 정..

최근 코발트 스트라이크(Cobalt Strike)를 다운로드 받아 실행하는 "Squirrelwaffle" 악성코드가 발견됐다. 해당 악성코드는 다운로드 받은 코발트 스트라이크를 사용해 추가 파일을 다운로드 받아 사용자 정보 탈취 등의 행위를 수행한다. "Squirrelwaffle" 악성코드를 사용해 사용자 PC에서 최종 페이로드를 실행하기 위한 흐름도는 [그림 1]과 같다. 1. 악성 문서를 실행하면 문서에 포함된 매크로를 실행해 VBS 파일과 파워쉘(PowerShell) 스크립트를 생성한다. 2. 이전 단계에서 생성한 스크립트를 실행해 공격자의 C&C 서버에서 악성코드를 다운로드 및 실행한다. 3. 다운로드한 악성코드는 최종 페이로드 다운로드를 위한 코발트 스트라이크를 다운로드 및 실행한다. 4. 코발..

잉카인터넷 대응팀은 2021년 10월 15일부터 2021년 10월 21일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "QuantumLocker"외 3건, 변종 랜섬웨어는 "Thanos"외 1건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 CISA에서 "BlackMatter" 랜섬웨어 관련 정보를 게시했고, Trustwave가 "BlackByte" 랜섬웨어의 디크립터를 공개한 이슈가 있었다. 2021년 10월 15일 J3ster 랜섬웨어 파일명에 “.j3ster" 확장자를 추가하고 “J3ster ReadMe.txt”라는 랜섬노트를 생성하는 " J3ster" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 바탕화면 배경을 변경하고 자가 복제한다. QuantumLocker 랜섬웨어 파일명..

공격자는 언제나 사람들을 유혹하기 위해 유행하는 콘텐츠를 활용한다. 최근 넷플릭스의 오징어 게임이 세계적인 인기를 끌면서 이와 관련된 안드로이드 악성 앱이 우후죽순으로 늘고 있다. 이번에 발견된 안드로이드 앱은 겉으로는 바탕화면을 오징어 게임과 관련된 이미지로 바꾸는 기능을 가졌지만, 백그라운드에서 Joker 라는 이름으로 알려진 악성 앱을 다운로드하고 실행한다. 악성 앱을 실행하면 서버로부터 so 확장자의 추가 악성 파일을 다운로드하고 로딩한다. so 확장자 파일은 또 다른 서버로부터 암호화된 Joker 악성 앱을 다운로드하며, 복호화 후 실행하여 본격적인 악성 행위를 준비한다. 다운로드된 Joker 는 사용자 몰래 유료 구독 서비스를 결제하는 기능을 수행한다. C&C 서버로부터 이와 관련된 작업 데이..

최근 중동 지역의 항공 우주 통신 산업체를 표적으로 공격하는 "Novel RAT"이 발견됐다. "Novel RAT"의 배후로 "MalKamak"이라는 명칭을 사용하는 이란의 해커가 식별됐으며 추가적으로 미국, 러시아, 유럽 등의 피해가 밝혀졌다. 해당 악성코드는 코드 내부에 버전 정보가 저장되어 있으며 2018년에 처음 등장한 것으로 추정된다. 현재까지 지속적인 버전 패치를 통해 2021년 10월에 ‘4.0’ 버전까지 출시된 것으로 확인된다. "Novel RAT" 악성코드는 Microsoft에서 제작된 정상 프로그램으로 위장하여 유포된다. 또한, '4.0' 이전 버전은 파일 내부에 지정된 공격자의 C&C 서버와 연결하며 '4.0' 및 이후 버전부터 웹 기반의 파일 공유 서비스인 "Dropbox"의 기능을..