본문 바로가기

분석 정보874

국내 금융 회사 앱으로 위장한 악성 앱 주의 비대면 금융 업무 수요가 증가함에 따라 모바일 뱅킹을 이용하는 사용자들이 급격하게 늘어나고 있다. 공격자들은 이러한 점을 노리고 국내/해외 구분 없이 금융사를 사칭한 악성 앱을 제작하고 유포하는데, 그 중 국내 유명 은행을 사칭한 악성 앱이 지속적으로 발견되어 사용자들의 각별한 주의가 요구된다. 해당 악성 앱은 아래와 같이, 정상 앱과 악성 앱을 구분하기 힘들 정도로 위장되어 있다. 정상 앱을 설치하고 실행하면 가장 먼저 사용자에게 전화 권한에 대해서만 요구하는 반면, 악성 앱 같은 경우 과도한 권한을 요구하는 화면이 출력된다. 앱이 정상적으로 실행되었을 때 먼저 정상 앱은 로그인을 가장 먼저 하도록 구성되어 있는 반면, 악성 앱은 로그인 과정 없이 바로 여러 금융 상품들에 대해 신청하도록 구성되어 있다.. 2021. 8. 6.
[주간 랜섬웨어 동향] – 8월 1주차 잉카인터넷 대응팀은 2021년 7월 30일부터 2021년 8월 5일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "BlackMatter" 외 2건, 변종 랜섬웨어는 "Stop" 외 3건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 "Ryuk" 랜섬웨어의 빌더라고 주장했던 "Chaos" 랜섬웨어 빌더의 새로운 버전이 출시됐다. 2021년 8월 1일 BlackMatter 랜섬웨어 파일명에 ".[랜덤 문자열]" 확장자를 추가하고 "fwdHOW_TO_DECRYPT.txt"라는 랜섬노트를 생성하는 "BlackMatter" 랜섬웨어가 발견됐다. Stop 랜섬웨어 파일명에 ".nooa" 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견.. 2021. 8. 6.
VNC로 원격 조종하는 Vultur 해외 정보 보안 회사 ThreatFabric 에서 새로운 안드로이드 악성 파일에 대해 발표했다. 이 악성 파일은 장기간 머무르며 먹잇감을 찾는 독수리와 같은 모습에 비유하여 Vultur 라는 이름이 붙여졌다. Vultur 는 최근 유행하는 다른 악성 파일과 마찬가지로 단말기 정보 탈취, 키로깅 기능과 VNC 를 통한 화면 녹화 및 원격 제어 기능을 보유하고 있다. 설치된 악성 앱을 실행하면 가장 먼저 사용자에게 접근성 서비스 권한을 요청하는 화면이 출력된다. 접근성 서비스는 본래 사용자를 지원하기 위해 제공되는 향상된 기능이지만, Vultur 는 이를 악용하여 시스템을 모니터링하고 사용자 동의 없이 버튼을 클릭하는 등의 행위에 악용한다. 접근성 서비스 권한을 얻은 Vultur 는 접근성 서비스 이벤트가 .. 2021. 8. 5.
Youtube 사칭 정보탈취 앱 지난 7월, Youtube를 사칭한 악성 앱이 등장하였다. 해당 앱은 "Kurulum.apk" 이라는 이름으로 유포되었으며, 악성 앱을 실행하면 정상 Youtube 실행화면으로 띄워 사용자를 속이면서, 백그라운드에서는 사용자의 문자메시지를 탈취하는 등의 악성 동작을 수행한다. 하단의 이미지와 같이, 정상 Youtube 앱(파란 상자)와 유사한 형태의 아이콘을 사용하여 사용자가 구분하기 어렵도록 한다. 그리고 정상 Youtube 패키지 정보를 획득하여, 악성 앱 실행할 때 정상 실행화면을 띄워 실제 Youtube 가 실행되는 것처럼 보이도록 한다. 위의 코드가 실행되면 앱은 여러 권한을 획득한 다음, 하단 우측 그림과 같이 Youtube 가 실행된다. Loop 핸들을 생성하여 AudioRecoder클래스의.. 2021. 8. 3.
[주간 랜섬웨어 동향] – 7월 4주차 잉카인터넷 대응팀은 2021년 7월 23일부터 2021년 7월 29일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Keversen” 외 2건, 변종 랜섬웨어는 “LegionLocker” 외 2건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 Egregor 랜섬웨어 대화 녹취록이 공개됐으며 Kaseya 측에서 “REvil” 랜섬웨어 디크립터를 획득했다고 알렸다. 또한, “LockBit” 랜섬웨어 v2.0 버전에서 기능이 추가됐고, “BlackMatter” 랜섬웨어를 사용하는 새로운 조직이 등장했다. 2021년 7월 23일 Keversen 랜섬웨어 파일명에 “.keversen” 확장자를 추가하고 “Recovery_Instructions.mht”라는 랜섬노트를 생성하는 “Keve.. 2021. 7. 30.
지속적으로 유포되고 있는 NetWire 악성코드 "NetWire"은 백도어 악성코드로 2012년 등장한 이후 현재까지 지속적으로 유포되고 있다. 올해 발견된 유포 사례를 살펴보면 공격자는 "NetWire" 악성코드를 실행 할 수 있는 악성 파일을 제작하고, 정상 파일인 것처럼 위장하여 피싱 메일로 전달한 것으로 알려졌다. 유포된 악성 파일은 유포 시기에 따라 차이를 보이며 3월에는 악성 매크로가 삽입된 워드 문서, 6월에는 악성 스크립트가 삽입된 소프트웨어 설치 파일이 발견되었다. 만약 사용자가 첨부된 파일을 정상 파일로 착각하여 실행한다면, 첨부 파일에 삽입된 매크로 혹은 스크립트를 통해 “NetWire" 악성코드가 실행되어 파일을 조작하거나 사용자의 다양한 정보를 탈취한다. 악성 스크립트가 삽입된 가짜 소프트웨어 설치 파일 2021년 3월, 공격자.. 2021. 7. 30.

티스토리툴바