본문 바로가기

분석 정보877

메신저 앱을 위장한 악성 앱 최근 메신저 앱을 위장하여, 사용자의 개인적인 정보를 탈취하는 악성 앱이 등장하였다. 해당 악성 앱은 사용자 단말기에 나타나는 알림메시지의 정보를 획득하고, 타 메신저 애플리케이션에 접근하여 사용자의 채팅 내용을 탈취한다. 국내외 사용자가 많은 Whatsapp 과 Signal 메신저 앱을 대상으로 악성 동작을 수행한다. 해당 앱은 아래의 이미지와 같이 'Crazy Talk'라는 이름의 메신저 앱으로 유포되었다. 앱을 실행하면, 아래의 그림과 같이 전화번호 인증을 요구한다. 사용자가 입력한 번호가 정상적인 번호인지 OTP번호를 통해 확인한다. 단말기에 연락처가 저장되어 있는지 확인하고, 연락처의 이름과 전화번호를 탈취한다. 그리고 Whatsapp 의 기본 앱과 Business 용 앱에 대해 각종 정보를 탈.. 2022. 1. 18.
[주간 랜섬웨어 동향] - 1월 2주차 잉카인터넷 대응팀은 2022년 1월 7일부터 2022년 1월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 변종 랜섬웨어는 "SFile"외 2건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 "NightSky" 랜섬웨어 발견됐으며, "BlackMatter" 랜섬웨어의 논리 오류 발견과 "AvosLocker" 및 "TellYouThePass' 랜섬웨어의 변종이 발견된 이슈가 있었다. 2022년 1월 7일 NightSky 랜섬웨어 발견 파일명에 ".nightsky" 확장자를 추가하고 "NightSkyRadMe.hta"라는 이름의 랜섬노트를 생성하는 "NightSky" 랜섬웨어가 발견됐다. 외신에 따르면 "NightSky" 랜섬웨어 측은 약 80만 달러의 랜섬머니를 사용자에게 요구한 것으로 .. 2022. 1. 14.
[주간 랜섬웨어 동향] - 1월 1주차 잉카인터넷 대응팀은 2021년 12월 31일부터 2022년 1월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "PyCryptor" 외 3건, 변종 랜섬웨어는 "Conti" 외 5건이 발견됐다. 2021년 12월 31일 HelloXD 랜섬웨어 파일명에 ".hello" 확장자를 추가하고 "Hello.txt"라는 랜섬노트를 생성하는 "HelloXD" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다. PyCryptor 랜섬웨어 파일명에 ".CRYPT" 확장자를 추가하고 "README.txt"와 [그림 1]의 랜섬노트를 실행하는 "PyCryptor" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도한다. Conti 랜섬웨어 파일명.. 2022. 1. 6.
서명된 인증서를 활용하는 Blister 로더 악성코드 캠페인 "Blister" 로더는 합법적인 서명 인증서를 훔치거나 직접 기관에서 구매한 서명 인증서를 활용하여 정상 파일로 위장된다. 관련 인증 기관에서는 해당 활동을 공개하고, "Blister" 악성코드에 남용된 서명 인증서를 폐기하는 등의 조치를 취했다. 처음 유포되는 파일은 추가 파일을 드랍하고, 정상 프로세스에 로드되어 실행된다. 추가 파일은 자동 분석을 어렵게 하기 위해 10분간의 대기 상태 이후 동작하고, 내부 리소스 섹션에 저장된 페이로드를 복호화한다. 이후 정상 프로세스에 페이로드가 주입되어 실행되며 주입된 바이너리 코드는 "CobaltStrike" 또는 "BitRAT"로 사용자의 PC를 원격으로 제어한다. ① Blister Loader 파일을 "%AppData%" 경로에 드랍한다. ② 정상 프로그.. 2021. 12. 31.
[주간 랜섬웨어 동향] - 12월 5주차 잉카인터넷 대응팀은 2021년 12월 24일부터 2021년 12월 30일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Ranzon"외 2건, 변종 랜섬웨어는 "Karma"외 1건이 발견됐다. 2021년 12월 24일 Ranzon 랜섬웨어 파일명을 변경하지 않고 [그림 1]의 랜섬노트를 생성하는 "Ranzon" 랜섬웨어가 발견됐다. 2021년 12월 25일 Karma 랜섬웨어 파일명에 ".KARMA_V2!" 확장자를 추가하고 "KARMA_V2-ENCRYPTED.txt"라는 랜섬노트를 생성하는 "Karma" 랜섬웨어의 변종이 발견됐다. 2021년 12월 26일 LokiLocker 랜섬웨어 파일명에 ".Loki" 확장자를 추가하고 "Restore-My-Files.txt"라는.. 2021. 12. 30.
파일리스 공격 방식을 사용하는 DarkWatchman 악성코드 최근 자바스크립트로 작성한 "DarkWatchman" 악성코드가 발견됐다. 해당 악성코드는 공격자가 운영하는 C&C 서버에서 명령을 받아 사용자 PC를 조작하며, 키로거 악성코드를 실행해 사용자가 키보드로 입력한 값을 수집 및 공격자에게 전송한다. "DarkWatchman" 악성코드의 유포 및 실행 과정은 [그림 1]과 같이 진행한다. 1. 공격자는 악성파일을 첨부한 메일을 사용자에게 보내 첨부 파일의 다운로드를 유도한다. 2. 사용자가 첨부 파일을 다운로드 한 후, 압축을 해제하면 WinRAR SFX 형태의 압축 파일을 생성한다. 3. 압축 해제 후 생성한 실행 파일을 실행하면 자바스크립트로 작성한 “DarkWatchman” 악성코드를 실행한다. 4. “DarkWatchman” 악성코드는 키로거 파일의.. 2021. 12. 29.

티스토리툴바