본문 바로가기

분석 정보877

Teams 설치 파일로 위장한 Oyster 백도어 최근 마이크로소프트의 Teams 설치 프로그램으로 위장해 유포되는 “Oyster” 백도어가 발견됐다. 공격자는 파일 아이콘과 파일 이름을 정상 설치 파일인 척 위장해 사용자의 다운로드와 실행을 유도한다. 그 후, 사용자가 실행한 해당 악성코드는 “Oyster” 백도어와 정상 파일을 드롭하고 실행하며 설치 과정을 보여줌과 동시에 감염된 PC 정보 수집과 공격자의 C&C 서버 통신 등의 악성 동작을 수행한다. Oyster 드롭퍼마이크로소프트의 Teams 설치 프로그램으로 위장한 악성코드를 실행하면 '%temp%' 경로에 2개의 파일을 드롭한다. 드롭한 파일 중 "CleanUp30.dll"은 "rundll32.exe”로 "Test" 함수를 호출해 실질적인 백도어 동작을 수행하며, "MSTeamsSetup_c_.. 2024. 9. 24.
Inc 랜섬웨어, 2024년 2분기 유출 사례 증가 2024년 상반기에 “Inc” 랜섬웨어 공격으로 데이터가 유출된 사례가 꾸준히 확인되고 있다. 자사에서 직접 확인한 결과 지난 1분기에는 총 24건의 사례가 있었고, 2분기에는 총 63건을 기록하며 1분기 대비 39건이 증가했다. 또한, 자사에서 게시한 5월 데이터 유출 통계에서 두 번째로 높은 수치를 기록했으며, 6월에는 18건의 데이터 유출 사례를 기록하면서 상위권을 유지하고 있다. 아래의 링크는 자사 블로그에 게시된 2024년 6월 랜섬웨어 동향 보고서이다.2024.07.04 - 2024년 06월 랜섬웨어 동향 보고서  “Inc” 랜섬웨어는 감염 대상을 지정하는 등의 옵션을 제공하며, 암호화를 완료한 파일에 “.INC” 확장자를 추가한다. 옵션을 사용하지 않으면 활성화된 드라이브를 대상으로 감염하고.. 2024. 8. 2.
구글 플레이 업데이트로 위장한 Antidot 최근 구글 플레이 업데이트로 위장해 유포되는 악성 안드로이드 앱 “Antidot”이 발견됐다. 해당 앱을 실행하면 “출처를 알 수 없는 앱 설치” 옵션의 활성화를 요청하고, 구글 플레이 업데이트로 위장한 추가 앱의 설치를 유도한다. 추가로 설치된 앱은 VNC(Virtual Network Computing)를 직접 구현해 감염된 단말기를 원격으로 제어하며, 오버레이 기술을 이용해 정보를 수집하고 공격자가 운영하는 C&C 서버로 정보를 전송한다. “Antidot”을 처음 실행하면 [그림 1]과 같이 구글 플레이 업데이트의 설치가 필요하다는 메시지를 띄우고, “출처를 알 수 없는 앱 설치” 옵션의 활성화를 요청한다. 사용자가 해당 옵션을 활성화하면 구글 플레이 업데이트로 위장한 추가 앱의 설치가 진행된다.  .. 2024. 7. 25.
취약한 드라이버를 악용하는 GhostEngine 최근 “GhostEngine” 악성코드를 유포해 EDR(Endpoint Detection and Response) 프로세스를 종료하고 코인 마이너를 실행해 암호화폐를 채굴하는 캠페인이 발견됐다. 해당 캠페인은 취약한 윈도우 드라이버를 악용해 감염된 호스트에서 EDR 프로세스를 종료하고 종료된 프로세스의 실행 파일을 삭제한다. 이후, 공격자가 운영하는 C&C 서버에서 “XMRig” 코인 마이너를 다운로드 및 실행한다. EXE 형식의 다운로더 “Tiworker.exe”와 “GhostEngine” 악성코드의 동작 흐름도는 [그림 1]과 같다. 먼저, “Tiworker.exe”는 파워쉘 스크립트인 “get.png”를 다운로드 및 실행하며, 스크립트는 각 모듈과 윈도우 드라이버를 다운로드한다. 다운로드된 모듈 중.. 2024. 6. 17.
디지털 인증서를 탈취하는 SoumniBot 최근 국내 사용자를 대상으로 모바일 악성 앱 “SoumniBot”을 유포해 디지털 인증서를 탈취하는 캠페인이 발견됐다. 디지털 인증서는 국가에서 일반 국민을 대상으로 발급하는 전자 서명용 공인 인증서로, 서버와 클라이언트 간의 신원을 확인하고 송수신되는 네트워크 데이터를 보호하는데 사용된다. 이번 캠페인에서 활용된 “SoumniBot”은 모바일 부고장 또는 민원 목적 등의 정상 앱으로 위장해 사용자의 설치를 유도한다. 이후, 감염된 디바이스의 NPKI 폴더에서 디지털 인증서와 개인키 파일을 훔치며, 이로 인한 인증서 유출은 심각한 추가 피해를 야기할 수 있어 주의가 필요하다. 민원APP으로 위장한 “SoumniBot”을 실행하면 사용자에게 연락처, SMS 메시지 및 저장소 등에 접근할 수 있는 권한을 요.. 2024. 5. 16.
이미지 스위칭을 이용하는 Ande Loader 최근 북미의 제조업을 대상으로 “Ande Loader”를 사용해 악성코드를 유포하는 캠페인이 발견됐다. 해당 캠페인에서 사용된 “Ande Loader”는 Base64로 인코딩된 후 VBScript 형태로 유포됐으며, 공격자의 C&C 서버에서 최종 페이로드인 “NjRAT”을 다운로드 후 실행한다. 이후, 실행된 “NjRAT”은 사용자 PC에서 C&C 서버 연결을 시도하고 파일을 다운로드하거나 명령에 따른 추가 동작을 수행한다. 공격자가 “Ande Loader”를 이용해 사용자 PC에서 최종 페이로드를 다운로드 및 실행하는 흐름도는 [그림 1]과 같다.  ①     VBS 파일 내부의 PE 데이터를 Baset64로 디코딩해 “Ande Loader”를 확보한 후, 별도의 드롭 과정 없이 실행한다.②     “.. 2024. 4. 25.

티스토리툴바