최신 보안 동향 420

합법적인 메일로 위장하는 SubdoMailing 캠페인

최근 합법적인 도메인으로 위장해 대량의 스팸 메일을 발송하는 “SubdoMailing” 캠페인이 발견됐다. 공격자는 SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail) 및 DMARC(Domain-based Message Authentication, Reporting and Conformance)의 이메일 인증을 이용해 스팸 필터를 우회한다. 또한, 더 이상 사용하지 않는 도메인을 가리키는 CNAME과 SPF 레코드를 하이재킹하는 등 합법적인 도메인의 하위 도메인을 탈취해 공격에 이용한다. 이로 인해 공격자는 합법적인 사용자로 위장해 스팸 메일을 정상 메일처럼 발송할 수 있다. 한편, 사용자는 메일 본문에 있는 버튼을 클릭할 경우 일련의 리다이렉..

다시 돌아온 Bumblebee 악성코드

작년에 자취를 감춘 “Bumblebee” 악성코드가 VBA 매크로를 사용하는 이메일 캠페인과 함께 돌아왔다. 보안 업체 Proofpoint는 미국 기업이 수신한 이메일 캠페인을 분석해 두 가지 특징을 발표했다. 첫 번째는 이메일의 OneDrive 링크가 연결하는 Word 문서이다. 이 문서는 VBA 매크로를 지원하며, 스크립트를 사용해 “Bumblebee”를 포함한 추가 페이로드를 다운로드한다. 이에 대해 기존에 발견된 캠페인 중 VBA 매크로를 사용한 사례가 전체 230개 중 1개에 불과하다며 그 차이를 언급했다. 두 번째 특징은 메일의 발신자 주소가 TA579로 알려진 조직에서 사용한 것과 동일하다는 것이다. 해당 특징을 최근 사이버 범죄 현황에 비추었을 때, 많은 악성코드와 조직이 활동을 중단했다가..

우크라이나 업체를 공격하는 Solntsepek 해커 그룹

우크라이나의 통신 서비스 제공 업체인 Kyivstar의 핵심 네트워크 시스템이 모두 삭제된 정황이 발견됐다. 우크라이나의 보안국(SSU)는 지난 23년 5월경에 피해 업체의 네트워크를 침해했다고 언급했다. 해당 사건으로 모바일 및 데이터 서비스가 중단돼, 약 2,500만 명의 모바일 및 가정용 인터넷 가입자 대부분이 인터넷에 접속하지 못했다고 전했다. 한편, 러시아의 Solntsepek 해커 그룹이 자신들이 피해 업체의 컴퓨터 10,000대와 서버 수천 대를 삭제했다고 주장하는 글을 텔레그램에 게시했다. 또한 피해 업체가 우크라이나 군대, 정부 기관 및 법 집행 기관에 통신을 제공하기 때문에 공격했다고 덧붙였다. 보안국은 Solntsepek 해커 그룹이 Sandworm 러시아 군사 해커 그룹의 배후에 있..

CISA와 FBI의 AndroxGh0st 악성코드 주의 권고

미국의 CISA와 FBI에서 “AndroxGh0st” 악성코드의 침해 지표와 기술 정보를 발표하면서 주의할 것을 권고했다. “AndroxGh0st” 악성코드는 웹사이트의 자격 증명을 탈취하거나 봇넷을 생성하는 Python 스크립트이다. CISA와 FBI 측은 해당 악성코드가 사용한 3개의 원격 코드 실행 취약점과 공격 방식을 공개했다. 첫 번째로 CVE-2017-9841로 번호가 매겨진 취약점을 이용해 PHPUnit 모듈을 공격한다. 해당 취약점은 PHPUnit 모듈에서 HTTP POST 요청에 있는 PHP 코드를 제대로 검증하지 않아 발생한다. 이를 이용한 공격자는 통합 자원 식별자(URI)를 이용해 악성 파일을 다운로드하거나 악성 웹사이트를 만들어 백도어로 사용하는 등의 공격을 한다. 두 번째는 오픈..

Zimbra 제로데이 취약점을 이용한 국제 정부 기관 공격

구글의 Threat Analysis Group (TAG)에서 국가 정부 기관이 공격받은 다수의 사건을 공개했다. TAG 측은 그리스와 튀니지 등 5개의 국가 정부 기관이 공격받은 사건을 소개하며, 공격자가 모든 사건에서 사용한 제로데이 취약점을 언급했다. 이 취약점은 CVE-2023-37580으로 알려졌으며, 이메일 솔루션 업체인 Zimbra의 프로그램에서 링크 내의 매개 변수를 제대로 처리하지 못해 발생하는 XSS 취약점이라고 설명했다. 해당 취약점을 사용한 첫 번째 공격은 6월 경 그리스 정부 기관에서 발생했다. 이때 공격자는 취약점을 악용한 링크를 메일 본문에 작성해 관계자에게 전송하는 방식으로 피해 기관에 침투했고 이메일과 첨부 파일 등의 데이터를 탈취했다. 며칠 후인 7월 초에 이 사건이 알려지..

KeePass 사이트를 사칭하는 Google Ads 캠페인 발견

공식 도메인으로 사칭한 가짜 KeePass 사이트를 광고로 표시해 악성 코드를 배포하는 Google Ads 캠페인이 발견됐다. 보안업체 Malwarebytes는 사용자가 해당 광고 링크를 클릭하면 Punycode URL을 사용한 가짜 웹사이트에 접속하게 된다고 전했다. Punycode는 특수 문자가 포함된 텍스트를 ASCII 인코딩으로 변환시켜주는 형식으로, 공격자는 이점을 악용해 공식 사이트와 유사해보이는 유니코드로 변경 후 도메인 이름을 등록한다. 해당 캠페인은 keepass.info의 k 문자와 비슷한 ķ 유니코드를 사용해 ķeepass.info로 도메인 이름을 설정했다. 사용자는 해당 링크를 기존 도메인과 동일하다고 인지 후 접속하게 되고 다운로드를 클릭하면 FakeBat 악성코드가 설치된다. 외..

미국 적십자를 사칭하는 AtlasCross 백도어 악성코드

AtlasCross라는 새로운 APT 해커 그룹이 미국 적십자를 사칭해 피싱 메일로 백도어 악성코드를 배포하는 캠페인이 발견됐다. 보안업체 NSFOCUS에 의하면 AtlasCross 측은 헌혈 캠페인에 참여할 것을 요청하는 피싱 메시지를 사용자에게 보낸다. 해당 메시지에는 워드 문서 첨부 파일이 포함돼 있으며 첨부 파일을 설치하면 악성 매크로가 실행된다. 매크로는 Windows 장치에서 ZIP 아카이브를 추출해 DangerAds 시스템 프로파일러 및 맬웨어 로더를 실행한다. 이후 Microsoft Office Updates 라는 스케쥴러를 생성하고 3일동안 DangerAds를 실행해 호스트 환경을 확인한다. 만약 시스템의 사용자 이름이나 도메인 이름에 특정 문자열이 있는 경우 내장된 쉘코드를 실행해 최종..

빠른 속도로 전파 중인 P2PInfect 악성코드

최근 봇넷으로 알려진 "P2PInfect" 악성코드가 급속도로 전파 중인 정황이 발견됐다. 보안 업체 Cado Security는 확인된 건수가 지난 8월 말과 비교해 600배 증가했다고 언급하며 리눅스 환경에서 발견된 샘플의 분석 보고서를 공개했다. 공격자는 클라우드 서비스의 인스턴스를 노드로 구성하고 SSH를 사용해 악성코드를 유포한다. "P2PInfect" 악성코드는 피해자 시스템에서 스케줄러인 cron을 사용해 30분마다 기본 페이로드를 실행하도록 지속성을 설정한다. 또한, 로컬 호스트의 소켓으로 기본 페이로드의 메인 프로세스를 모니터링하며, 프로세스 종료로 바이너리가 삭제되면 다른 노드에서 메인 바이너리를 가져와 실행한다. 이 외에도 공격자의 SSH 키로 SSH Authorized keys 파일을..

YouTube 앱을 사칭해 감시하는 CapraRAT 악성코드

최근 APT36 해커 그룹이 YouTube 앱을 사칭한 "CapraRAT" 악성코드를 배포하는 정황이 발견됐다. APT36 해커 그룹은 자체 운영 웹사이트와 사회 공학 기법을 사용해 구글 플레이 스토어 외부에서 악성코드를 배포한다. 사용자가 파일을 설치하면 "CapraRAT"은 마이크, 전면 및 후면 카메라를 이용한 녹음과 모니터링과 같은 수많은 위험 권한을 요청한다. 이때 사용자가 권한을 수락하면 공격자는 감염된 기기에서 통신 정보와 같은 민감한 개인 정보를 탈취한다. 보안 업체 SentinelLabs는 해당 공격이 카슈미르 분쟁 지역 관련 조직과 파키스탄 인권 운동가의 감시를 목적으로 사용된다고 언급했다. 외신은 해당 악성코드가 지속적으로 업데이트되고 있다고 덧붙이며, 공식 구글플레이 스토어 외부에서..

스마트폰의 비밀번호를 훔치는 WiKI-Eve 공격

최근 WiFi를 사용하는 스마트폰의 텍스트 전송을 가로채 비밀번호를 훔치는 'WiKI-Eve' 공격이 발견됐다. 'WiKI-Eve'는 2013년 WiFi5(802.11ac)에 도입된 기능인 BFI를 활용한다. 이때 BFI의 문제점은 정보 교환에 일반 텍스트 형식의 데이터가 포함돼 있어 암호화 키 크래킹 없이도 텍스트 데이터를 가로챌 수 있다. 해당 취약점으로 공격자는 단순히 네트워크 트래핑 모니터링 도구와 기계 학습 프레임 워크를 사용하여 비밀번호를 추론할 수 있다. 'WiKI-Eve'는 6자리 숫자 비밀번호일 경우 100회 미만의 시도에서 85%의 성공률을 가지며 모든 테스트에서 75%이상의 성공을 보이고 있다. 하지만 공격자와 액세스 포인트 사이의 거리가 멀 경우 추측 성공률이 감소하는 것으로 확인됐..