잉카인터넷 시큐리티대응센터 블로그

잉카인터넷 대응팀은 2021년 6월 25일부터 2021년 7월 1일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Spyro” 외 6건, 변종 랜섬웨어는 “WannaCry” 외 2건이 발견됐다. 또한, “Sodinokibi” 랜섬웨어가 NAS 환경에서 실행 가능하도록 제작한 리눅스 버전의 변종이 발견됐다. 2021년 6월 25일 Spyro 랜섬웨어 파일명에 “.[공격자 메일][사용자 ID].Spyro” 확장자를 추가하는 “Spyro” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템복원을 무력화한다. Mishmash 랜섬웨어 파일명을 “.txt” 확장자로 변경하고 [그림 1]의 랜섬노트를 생성하는 “Mishmash” 랜섬웨어가 발견됐다. Poliex 랜섬웨어 파일명에 “.Po..

많은 안드로이드 악성 앱은 피해자의 단말기에서 정보를 탈취하고, 관리자 권한을 얻기 위해 노력한다. 이 중 Hydra 는 유명 원격 모니터링 프로그램 TeamViewer 를 악용하여 감염된 단말기를 조종한다. 이번에 발견된 Hydra 앱은 Adobe Flash Player 와 관련된 앱으로 위장하여 사용자의 설치를 유도한다. 설치된 악성 앱을 실행하면 가장 먼저 사용자에게 접근성 서비스 권한을 요청하는 화면을 출력한다. 접근성 서비스는 본래 사용자를 지원하기 위해 제공되는 향상된 기능이지만, Hydra 는 이를 악용하여 시스템을 모니터링하고 사용자 동의 없이 버튼을 클릭하는 등의 행위에 사용할 수 있다. 접근성 서비스 권한을 얻은 Hydra 는 단말기 내 사용자 정보를 수집하여 C&C 서버로 송신한다. ..

스마트폰의 운영체제와 상관없이 많은 스마트폰의 사용자들은 다양한 정보를 검색하거나 필요한 자료를 얻기 위해 브라우저를 많이 사용한다. 이 브라우저 가운데 가장 많이 사용하는 브라우저로 손꼽히는 Chrome 앱을 사칭하는 악성앱이 등장하여 주의가 필요하다. Analysis Chrome 을 사칭한 악성앱을 실행하면 가장 먼저 사용자에게 접근성 서비스 권한을 요청한다. 이는 접근성 서비스기능을 악용하여 사용자의 동의 없이 여러 악성 행위에 사용할 수 있다. Chrome 아이콘을 사칭한 해당 악성앱의 주요 동작은 C&C서버와 통신하며, 명령을 받아 단말기 내 사용자 정보를 탈취하거나 추가 악성 동작을 수행한다. 탈취 대상이 되는 파일은 전화번호 목록, 설치 된 앱 목록, 미디어 파일, 키로거 파일 등이 있으며 ..

최근 "Molerats" 해커 그룹의 소행으로 추정되는 피싱 메일 공격이 발견되었다. 해당 해커 그룹은 TA402, Gaza Hacker Team, Gaza Cybergang 등의 이름으로도 불리우며, 2020년도에는 악성 PDF 파일을 통해 "SharpStage" 등의 악성코드를 유포한 것으로 알려졌다. 이번에 발견된 피싱 메일은 중동의 정부 기관을 대상으로 유포되었으며, 메일에는 가자 지구 분쟁과 같은 중동의 지정학적 문제와 관련된 내용과 함께 악성 PDF 파일이 첨부되었다. 악성 PDF 파일에는 파일을 다운로드 할 수 있는 링크가 포함되어 있으며, 이를 통해 정상 문서 파일처럼 위장한 "LastConn" 악성코드를 다운로드 후 실행하도록 유도한다. "LastConn" 악성코드는 "SharpStage..

사이버 범죄 서비스인 Malware-as-a-Service(MaaS)가 최근 들어 더욱 활발하게 모습을 나타내고 있어 주의가 필요하다. 그 중, Matanbuchus Loader는 새롭게 등장한 악성코드로 해당 악성코드는 원격지와 통신하며 사용자 정보를 탈취하고 그 외 추가적인 명령 및 제어 동작을 수행한다. 한 해킹 포럼에서 처음 광고되었으며 $2500 달러에 판매가 되었다. 해당 게시글을 작성한 BelialDemon은 이전에TriumphLoader를 개발하여 판매한 것으로 추정된다. 사진 출처: https://unit42.paloaltonetworks.com/matanbuchus-malware-as-a-service/ 엑셀 문서 파일을 통해 최초 유포되었으며, 최종 페이로드인 Matanbuchus.d..

최근 불법 복제 프로그램으로 위장해 유포 중인 “Vigilante” 악성코드가 발견됐다. 해당 악성코드는 호스트 파일을 수정해 토렌트 파일을 공유하는 사이트인 “The Pirate Bay” 등을 차단하며, 실행 과정에서 악성코드를 추가로 다운로드 받아 정보를 탈취한다. “Vigilante” 악성코드는 음성 채팅을 위해 제작된 프로그램인 디스코드(Discord) 또는 토렌트를 통해 유포된 것으로 알려졌으며, 유포된 파일을 다운로드한 후 압축을 해제하면 [그림 1]과 같이 파일을 생성한다. 추가로, “Vigilante” 악성코드가 위장한 유명한 게임 또는 소프트웨어는 [그림 2]와 같다. Vigilante 악성코드 “Vigilante” 악성코드를 실행하면 호스트 파일에 불법 복제 소프트웨어 사이트 도메인을 ..

2019년부터 백신 프로그램 탐지 회피 및 다양한 OS 사용자 타겟으로 공격이 가능하다는 이유에서 기존의 프로그래밍 언어가 아닌 GO 언어로 제작된 악성코드가 등장하기 시작했다. 최근에는 점차 GO 언어를 사용해 제작된 악성코드가 증가하고 있다. 2021년 2월경, 자사에서는 GO 언어로 제작된 "Electro RAT" 분석글을 게시하였으며 해당 글의 링크는 아래에 첨부되어 있다. 2021.02.09 - [악성코드 분석] ElectroRAT 악성코드 분석 보고서 최근 GO 언어로 제작된 새로운 악성코드 "Klingon RAT"이 등장했다. "Klingon RAT"은 백신 프로그램 종료를 시도하며 관리자 권한을 획득한다. 최종적으로 해당 악성코드는 C&C 서버를 이용해 정보를 탈취하고, 사용자의 PC를 제..

잉카인터넷 대응팀은 2021년 6월 18일부터 2021년 6월 24일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Mansory" 외 4건, 변종 랜섬웨어는 "Magniber" 외 1건이 발견됐다. 또한, "Lockbit" 랜섬웨어가 더욱 강력해진 새로운 버전 v2.0으로 다시 모습을 나타냈다. 2021년 6월 18일 Mansory 랜섬웨어 파일명에 ".MANSORY" 확장자를 추가하고 "MANSORY-MESSAGE.txt"라는 랜섬노트를 생성하는 "Mansory" 랜섬웨어가 발견됐다. Poteston 랜섬웨어 파일명에 ".poteston" 확장자를 추가하고 "readme.txt"라는 랜섬노트를 생성하는 "Poteston" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 ..

"RedLine Stealer" 는 정보탈취형 악성코드로 해커 포럼에서 판매중이며 크랙 버전도 발견되고 있다. 해당 악성코드는 코로나 19 이슈를 악용한 피싱 메일을 통해 처음 등장하였으며 정상 프로그램 위장, 피싱 페이지 등의 방식을 이용하여 유포된 사례가 지속적으로 발견되고 있다. 또한 최근에도 디지털 아티스트들에게 업무를 의뢰한다고 접근하여 "RedLine Stealer" 악성코드를 다운로드하고 실행을 유도한 사례가 발견되었다. 실행된 "RedLine Stealer" 악성코드는 브라우저, FTP 및 게임 프로그램 등 사용자 PC의 다양한 정보를 탈취한다. 최신 유포 사례 "RedLine Stealer" 악성코드는 2020년 3월 경 코로나 19 이슈를 악용한 피싱 메일 유포를 시작으로 피싱 웹 사이..

잉카인터넷 대응팀은 2021년 6월 11일부터 2021년 6월 17일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Slam" 외 3건, 변종 랜섬웨어는 "Nefilim" 외 1건이 발견됐다. 이 중, 류크 랜섬웨어 빌더로 주장하는 악성 빌더가 발견됐고, "Avaddon" 랜섬웨어 운영진이 운영 중단을 위해 복호화 키를 공개했다. 또한, 러시아어를 사용하는 해킹 포럼에 "Paradise" 랜섬웨어의 소스 코드가 공개됐고, 우크라이나 경찰이 "Clop" 랜섬웨어 운영진을 체포한 사건이 있었다. 2021년 6월 11일 Slam 랜섬웨어 파일명에 ".SLAM" 확장자를 추가하고 [그림 1]의 랜섬노트를 생성하는 "Slam" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 작업 관리자 실..