분석 정보877 태국을 대상으로 유포되는 Yokai 백도어 Yokai 백도어는 2024년 12월 처음 등장했으며 태국을 대상으로 미국 법무부 및 협력 요청 등의 문서로 위장한 LNK 파일 형태로 유포됐다. 해당 LNK 파일의 ADS(Alternate Data Stream) 영역에 Yokai 백도어가 포함돼 있었으며 LNK 파일 실행 시 ADS 영역에서 악성 파일을 추출한 후 DLL 사이드로딩을 이용해 실행하는 방식이 사용됐다. 2025년 8월에는 Yokai 백도어 유포에 SnakeDisk라는 USB 웜 악성코드가 사용되기도 했다. ADS를 이용한 방식과 SnakeDisk로 유포되는 두 가지 방식 모두 정상적인 EXE 파일에 DLL 형태의 Yokai 백도어를 DLL 사이드로딩을 이용해 실행하는 공통점을 가지고 있으며 해당 EXE 파일과 DLL 파일을 전달하는 과정.. 2025. 12. 24. DLL 사이드 로딩으로 실행하는 ToneShell 백도어 ToneShell은 백도어 악성코드로 2022년 말에 처음 발견됐으며 주로 동남아시아 지역을 대상으로 삼으며 올해 7월까지 공격에 사용됐다. 이 보고서에서 분석할 샘플은 가장 최근에 등장한 ToneShell 샘플 3종을 대상으로 한다. ToneShell은 DLL 파일 형태로 정상 파일과 함께 압축 파일 형태로 유포돼 DLL 사이드로딩으로 실행되며 공격자의 C&C 서버에서 수신되는 명령어와 C&C 서버와 통신할 때에 사용되는 데이터 암호화 키 생성 방식이 조금씩 변경돼왔다. 이 악성코드는 RAR 아카이브 파일로 유포되며 사용자에게 압축 파일 내부의 run.bat 파일 실행을 유도한다. run.bat 파일은 함께 압축돼있던 정상 파일에 인자 값을 지정해 실행하며 이때 같은 경로 내의 악성 DLL인 Tone.. 2025. 12. 24. 중국 해커그룹 Mustang Panda, Pubload 백도어 유포 Pubload 악성코드는 2022년 2월 처음 등장해 Bespoke Stager라는 이름으로 보고됐으며 러시아 및 유럽을 대상으로 우크라이나 분쟁과 NATO 관련 보고서로 위장해 유포됐다. 문서 파일로 위장한 EXE를 실행하면 DLL 사이드로딩 방식을 활용해 Pubload가 로드되고 공격자의 C&C 서버와 통신해 악성 동작을 수행한다. 이후에도 Pubload는 지속적으로 다양한 Mustang Panda의 활동에서 발견됐으며 유포 방식은 대부분 국제적인 이슈를 다루는 보고서 및 문서로 위장하는 형태를 채택하고 있다. Pubload는 실행 시 입력된 파라미터가 특정 문자열(ex - “EdgeBLA”)와 비교해 일치하지 않으면 EXE 및 DLL 파일을 ProgramData 경로에 복사하고 Run 레지스트리.. 2025. 12. 24. 오픈 소스 코드를 이용하는 Phantom Stealer Stealerium 은 2022년 교육적인 목적으로 오픈 소스로 공개된 정보 탈취형 악성 파일로, 분석가들이 악성 파일을 연구하는데 도움이 되기도 했지만 공격자들이 쉽게 유사한 변종을 제작할 수 있는 계기를 제공하기도 했다. Phantom Stealer 도 이러한 변종 중 하나로, Stealerium 과 유사하게 모듈화된 정보 탈취 기능을 이용해 사용자 인증 정보, 암호 화폐 관련 정보를 탈취하거나 추가 악성 파일을 다운로드하는 기능을 수행한다. 본 보고서에서 분석한 샘플은 다음과 같은 흐름에 따라 공격이 진행된다. 최초 실행되는 자바스크립트 이후의 후속 스크립트와 최종 페이로드(payload)는 디스크에 파일을 생성하지 않고 메모리상에서 즉시 실행되는 파일리스(Fileless) 기법을 사용한다. 공격.. 2025. 12. 24. Git으로 위장한 Cephalus 랜섬웨어 최근 오픈 소스 버전 관리 시스템인 Git으로 위장한 Cephalus 랜섬웨어가 발견됐다. 파일 정보에는 Git for Windows.exe의 2.49.0 버전이라는 설명과 Git 프로그램의 아이콘 및 인증서를 사용하며 정상 파일로 위장해 사용자의 실행을 유도한다. Cephalus 랜섬웨어를 실행하면 파일을 암호화하고 Windows Defender 예외 목록에 해당 랜섬웨어 파일을 추가해 탐지를 방지한다. 그리고 공격자는 사용자 PC를 암호화할 뿐만 아니라 정보를 탈취해 데이터 유출 사이트인 DarkForum에 게시한다. 보안 업체 헌트리스에 따르면 DLL 사이드로딩으로 실행되는 또다른 Cephalus 랜섬웨어를 발견했다고 전했다. 해당 랜섬웨어는 다중 인증(MFA)이 없는 계정을 이용한 원격 데스트톱 .. 2025. 10. 28. SMS를 이용해 악성 링크를 전파하는 ClayRat 최근 WhatsApp, TikTok 및 Youtube 등의 인기 앱으로 위장한 악성 안드로이드 앱 ClayRat이 발견됐다. 해당 악성 앱은 실제 정상적인 홈페이지 화면을 모방한 가짜 사이트를 이용해 유포되며 사이트에서 APK 파일을 호스팅하거나 방문자를 연결된 텔레그램 채널로 리디렉션한다. 텔레그램 채널에서는 댓글, 다운로드 수 및 사용 후기 등을 허위로 게시해 사용자를 속이고 앱의 다운로드 및 설치를 유도한다. 다운로드 및 설치된 ClayRat은 감염된 장치에서 통화 기록, 알림 및 설치된 앱 목록 등을 수집해 공격자가 운영하는 C&C 서버로 유출하고 연락처에 저장된 번호로 SMS 메시지를 전송해 악성 링크를 전파한다. 외신에 따르면 지난 3개월 동안 약 600개 이상의 ClayRat 샘플과 50개 .. 2025. 10. 28. 이전 1 2 3 4 5 ··· 147 다음
