잉카인터넷 시큐리티대응센터 블로그

한국인터넷진흥원에서 최근 러시아-우크라이나 전쟁과 중동 분쟁 등 국제정세의 변화가 국내에 영향을 미치고 있어 관련 공지를 발표했다. 한국인터넷진흥원 측은 먼저 포트 스캐닝과 웹 취약점 등을 이용하는 랜섬웨어 감염 사례를 소개했다. 또한, 취약점 보안 패치 미적용과 기업 채용 담당자에게 전송된 이력서로 위장한 악성 파일 및 유지보수를 위해 허용한 원격 접속 등도 랜섬웨어 감염 원인이라고 전했다. 랜섬웨어에 감염되면, 공격자는 파일 암호화뿐만 아니라, 내부 민감 정보를 탈취하고 이를 공개한다는 빌미로 랜섬머니를 요구하는 이중 갈취를 한다고 설명했다. 이 외에도 국제 해킹그룹이 국내 정부와 금융기관 등을 대상으로 디도스(DDoS) 공격을 감행하는 정황을 언급했다. 이에 대해 한국인터넷진흥원은 외부 접속과 계정..

국민건강보험공단에서 국가건강점진 수검자가 집중되는 연말에 공단을 사칭한 피싱 문자가 발송될 수 있어 주의를 당부했다. 공단 측은 고객센터 번호(1577-1000)를 도용하거나 공단을 사칭한 피싱 문자가 연말에 증가한다고 언급했다. 피싱 문자는 주로 건강검진 대상자 또는 검진결과 안내를 빌미로 문자에 첨부된 악성 링크에 접속하도록 유도한다고 전했다. 사용자가 해당 링크에 접속해 모바일 기기가 감염되면서 개인정보와 금융 정보가 유출된 사례가 있다고 설명했다. 이 외에도 피싱 메일의 피해 사례도 발견됐다고 덧붙였다. 이에 대해, 국민건강보험공단 측은 검진 결과를 문자로 안내하지 않으며, 공단에서 실시하는 안내 문자에는 고객센터 번호만 명시하고 링크를 포함하지 않는다고 당부했다. 또한, 이메일의 발신자 주소가 ..

보안 업체 Kaspersky가 은행과 암호화폐 지갑을 공격 대상으로 삼는 Grandoreiro라는 뱅킹 맬웨어의 새로운 변종에 대해 보고했다. Google의 악성 광고 또는 피싱 메일로부터 공격이 시작되며, 사용자에게 ZIP 아카이브 파일을 다운로드하도록 유도한다. 해당 파일에 포함된 MSI 파일 형태의 로더는 사용자의 시스템에서 지원하는 언어와 샌드박스 환경을 확인하고 악성코드를 다운로드 후 실행한다. 이후, 호스트 정보와 IP 주소 기반의 위치 데이터 및 사용자 활동 정보를 수집하고 공격자의 C&C 서버로 전송한다. 또한, 사용자의 자격 증명을 얻어 금융 앱과 암호화폐 및 기프트 카드 등을 이용해 운반 계좌로 자금을 현금화한다. Kaspersky는 Grandoreiro가 행동 생체 인식과 머신 러닝을..

보안 업체 Kaspersky가 최근 이탈리아 사용자를 표적으로 공격하는 SambaSpy 악성코드 캠페인에 대해 보고했다. HTML 첨부 파일이나 감염 프로세스를 시작하는 내장된 링크가 포함된 피싱 이메일로부터 공격이 시작된다. 사용자가 내장된 링크를 클릭했을 때 웹 브라우저의 언어가 이탈리아어로 설정되어있는 경우에만 악성 웹 서버로 연결된다. 이때, 의도한 대상이 아닐 경우 FattureInCloud에 호스팅된 합법적인 청구서 페이지에 머물러있게 된다. 한편, 의도한 대상과 일치할 경우 호스팅된 PDF 문서로 이동하게 되고 사용자가 문서 보기로 표시되어있는 하이퍼링크를 클릭하면 다운로더가 실행된다. 다운로더는 사용자가 현재 VM 환경에서 실행 중인지 검사하고, 시스템 환경이 이탈리아어로 설정되어 있는지 ..

한국인터넷진흥원에서 추석 연휴 동안 사이버 공격에 대비할 주의사항을 공지했다. 최근, 국내 기업을 대상으로 한 랜섬웨어 침해사고와 개인을 공격 목표로 발송된 스미싱이 급증하고 있다고 언급했다. 먼저, 기업에서 탈취한 VPN 계정이나 유지보수 용도로 허용한 원격 접속을 악용하는 등의 랜섬웨어 침해사고 주요 사례를 소개했다. 이어서 공공기관이나 쇼핑몰을 사칭해 교통법규 위반 범칙금 안내와 명절 선물 무료 배송 등의 내용으로 악성 사이트 주소를 함께 발송한 스미싱 사례도 전했다. 이에 대해 한국인터넷진흥원 측은 기업에 계정 관리와 원격 접근 제어를 강화하는 등의 보안 권고 사항을 안내했다. 또한, 개인 사용자는 문자를 수신할 경우 출처가 불분명한 사이트 주소는 클릭하지 말고 문자를 삭제하라고 당부했다. 사진 ..

알려진 악성코드인 Quasar RAT의 변형을 사용해 콜롬비아의 보험 분야를 타겟으로 공격하는 캠페인이 발견됐다. 보안 업체 Zscaler ThreatLabz의 연구에 따르면 콜롬비아 세무 당국을 사칭한 피싱 이메일로부터 공격이 시작된다고 밝혔다. 공격자는 해당 이메일에 첨부된 PDF 첨부 파일 혹은 이메일 본문에 포함된 링크를 클릭하도록 유도한다. 사용자가 파일과 링크를 클릭하면 Google Drive 폴더의 ZIP 보관 파일로 연결되어, 최종 페이로드인 BlotchyQuasar라는 Quasar RAT의 변형 악성코드가 다운로드된다. 이후, BlotchyQuasar는 키 입력 기록, 셸 명령 실행 및 웹 브라우저와 FTP 클라이언트에서 데이터를 탈취한다. 또한, 콜롬비아와 에콰도르에 있는 특정 은행 및..

국내 안드로이드 사용자를 공격해 민감 정보를 탈취한 모바일 악성코드 SpyAgent가 발견됐다. 공격자는 소셜 미디어 메시지를 이용해 정부 서비스나 부고 연락 관련 앱 등의 다운로드 사이트로 위장한 악성 링크를 전송하고 사용자의 접속을 유도한다. 사용자가 링크에 접속해 앱을 다운로드하려고 하면 공격자가 준비한 악성 APK 파일이 설치된다. 이후, 해당 APK 파일이 앱을 설치하는 동안 메시지와 연락처 등의 민감 정보에 접근하고 백그라운드에서 실행할 수 있는 권한을 요구한다. 앱 설치가 완료되면, 부여된 권한으로 사용자의 기기에서 민감 정보를 탈취해 공격자가 제어하는 원격 서버로 전송한다. 보안 업체 McAfee 측은 SpyAgent를 사용해 이미지 파일에서 문자를 인식하는 OCR 기술로 암호화폐 지갑을 ..

최근 NFC 데이터를 훔쳐 비접촉식 결제 카드를 복제하는 새로운 안드로이드 맬웨어 NGate가 발견됐다. 보안 업체 ESET의 보고서에 따르면, 체코의 금융 기관 세군데를 타깃으로 NGate를 사용하는 캠페인을 발견했다고 밝혔다. 공격자는 사용자에게 Google Play 스토어에서 제공되는 합법적인 은행 웹사이트나 공식 모바일 뱅킹 앱을 가장한 후 악성 도메인으로 연결해 NGate를 설치하도록 유도한다. 이때 설치된 NGate는 사용자에게 스마트폰의 NFC 기능을 켜라고 요청하여 악성 앱이 카드를 인식할 때까지 스마트폰 뒷면에 지불 카드를 놓으라는 지시를 요청한다. 또한, 은행 ID, 생년월일 및 은행 카드의 PIN 코드를 포함한 민감한 금융 정보를 입력하도록 요청해 공격자의 안드로이드 기기로 전송시킨다..

Google Chrome에서 올해 10번째 제로데이 취약점 패치 소식을 알렸다. 이번 제로데이 취약점은 Chrome 브라우저에서 V8의 부적절한 구현을 제대로 처리하지 못해 발생하는 것으로 알려졌다. 해당 취약점은 CVE-2024-7965로 번호가 매겨졌으며, 윈도우와 리눅스 및 맥OS 환경의 Chrome 브라우저에 영향을 미친다고 전해졌다. 이에 대해 Google 측에서 리눅스 환경은 128.0.6613.84 버전으로, 윈도우와 맥OS 환경은 128.0.6613.84/.85 버전으로 업데이트할 것을 권고했다. 또한, 실제로 공격에 악용된 정황이 발견됐다고 덧붙였다. 출처[1] Google (2024.08.21) – Stable Channel Update for Desktophttps://chromere..

“Qilin” 랜섬웨어 조직이 Chrome 브라우저에 저장된 자격 증명을 탈취한 정황이 발견됐다. 보안 업체 Sophos 측은 “Qilin” 조직이 다중 인증(MFA)을 사용하지 않는 VPN 포털을 통해 내부로 침투한다고 설명했다. 이후, 18일간의 휴면 상태를 거쳐 도메인 컨트롤러로 이동하며, 기본 도메인 정책을 편집해 로그온 기반의 그룹 정책 개체(GPO)를 추가한다고 전했다. 해당 개체는 Chrome 브라우저에 저장된 자격 증명을 탈취할 PowerShell 스크립트와 이를 실행할 배치 스크립트를 포함한다고 덧붙였다. 한편, 공격자는 수집한 정보를 탈취한 후에도 도메인 컨트롤러와 이벤트 로그에서 흔적을 지운 후에 시스템 암호화와 랜섬노트 생성 등의 공격을 이어간 것으로 알려졌다. 이에 대해 Sopho..