잉카인터넷 시큐리티대응센터 블로그

최근, FBI가 미국 중간선거를 앞두고 선거 관계자를 대상으로 하는 피싱 캠페인에 대해 경고했다. FBI에 따르면, 공격자는 로그인 자격 증명을 도용하는 웹사이트 링크가 포함된 피싱 메일을 유포하며, 해당 피싱 메일은 청구서로 위장한 첨부파일을 포함한다. 이에 대해 FBI는 직원들이 의심스러운 이메일을 보고해야 하며, 확인되지 않은 이메일의 첨부파일을 열지 않을 것을 권고했다. 출처 [1] FBI (2022.03.29) - Cyber Actors Target US Election Officials with Invoice-Themed Phishing Campaign to Harvest Credentials https://www.ic3.gov/Media/News/2022/220329.pdf

최근, 이스라엘의 보안 업체 Intezer가 "IcedID" 악성코드 캠페인을 발표했다. 해당 업체에 따르면 "IcedID"는 미리 탈취한 계정의 메일에서 지인과 주고 받은 메일 중간에 피싱 메일을 회신하는 방법인 대화 하이재킹(conversation hijacking)을 통해 유포된다고 알려졌다. 또한, 피싱 메일에는 문서 파일로 위장한 링크 파일과 DLL 파일이 압축되어 있으며 링크 파일을 실행할 경우 DLL 파일이 "IcedID"의 페이로드를 메모리에 로드해 실행한다고 알렸다. Intezer는 "이러한 유형의 공격을 탐지하려면 메모리 내부의 악성 파일을 탐지할 수 있어야 한다."고 언급했다. 사진출처 : Intezer 출처 [1] Intezer (2022.03.28) – New Conversatio..

최근, 미국의 투자 은행 Morgan Stanley를 사칭한 보이스 피싱으로 인해 고객 계정이 유출되는 사건이 발생했다. Morgan Stanley는 공격자가 보이스 피싱을 통해 Morgan Stanley Online 계정 정보를 탈취한 후, 송금 서비스를 이용해 자신의 은행 계좌로 돈을 이체했다고 전했다. 이와 관련해 해당 업체는 이름, 주소 및 계좌번호 등의 정보가 노출됐을 수 있다고 언급했다. 현재, Morgan Stanley는 공격의 영향을 받는 모든 고객의 계정을 비활성화했으며 자사의 시스템은 안전하게 유지되고 있다고 알렸다. 출처 [1] Morgan Stanley (2022.03.18) - Morgan Stanley Wealth Investment data breach https://www.d..

최근 Juniper Threat Labs의 연구원들이 CVE-2022-0543 취약점을 악용해 Redis 서버를 표적으로 삼는 공격을 발견했다. CVE-2022-0543은 Redis에서 패키징 문제로 인해 발생하는 원격 코드 실행 취약점이다. 연구원들은 공격자가 해당 취약점을 악용해 악성 셸 스크립트("russia.sh")를 다운로드하며, 해당 스크립트는 Muhstik 봇의 변종 바이너리를 다운로드한다고 알렸다. 또한, 연구원들은 Muhstik 봇이 파일 다운로드, 셸 명령, Flood attacks 및 SSH 무차별 대입 공격 등의 명령을 수신한다고 언급하며 Redis 서비스를 최신 버전으로 패치할 것을 권고했다. 사진 출처 : Juniper Threat Labs 출처 [1] Juniper Threat..

최근, 미국의 보안 업체 Trustwave가 Microsoft 도움말 파일에 숨겨진 "Vidar" 악성코드를 발견했다고 발표했다. 해당 업체에 따르면 "Vidar"는 메일의 첨부파일을 통해 유포되며 첨부파일 안에 ".chm" 확장자를 가진 도움말 파일을 실행할 경우 "Vidar"가 실행된다고 알려졌다. 또한, 해당 악성코드는 브라우저와 애플리케이션에서 정보를 수집하며 수집한 데이터는 공격자 C&C 서버로 전송한다고 알렸다. 사진출처 : Morphisec 출처 [1] Trustwave (2022.03.24) – Vidar Malware Launcher Concealed in Help File https://www.trustwave.com/en-us/resources/blogs/spiderlabs-blog/..

최근 이스라엘의 보안 업체 Morphisec이 "JSSLoader" 악성코드 분석 보고서를 발표했다. 해당 업체에 따르면 이 악성코드는 메일에 첨부된 악성 "XLL" 또는 "XLM"(엑셀 추가 기능 파일) 파일을 통해 유포되며, 이 파일을 실행할 경우 원격 서버에서 "JSSLoader" 악성코드를 다운로드해 데이터 유출 등의 악성 행위를 시도한다고 알렸다. Morphisec은 대부분의 EDR 솔루션이 이러한 악성 "XLL" 파일을 탐지하지 못한다고 언급했다. 사진출처 : Morphisec 출처 [1] Morphisec (2022.03.23) – NEW JSSLOADER TROJAN DELIVERED THROUGH XLL FILES https://blog.morphisec.com/new-jssloader-..

최근 보안 업체 Avast가 WPS Office의 취약점을 악용해 대만, 홍콩 및 필리핀의 베팅 회사를 공격한 APT 캠페인을 발표했다. Avast는 WPS Office 업데이트 프로그램인 wpsupdate.exe에서 새로운 취약점 CVE-2022-24934를 발견했으며, 공격자가 이를 악용한 것으로 의심했다. 해당 취약점은 레지스트리의 HKEY_CURRENT_USER를 수정해 발생하는 원격 코드 실행 취약점이며, 악용 시 시스템에 대한 지속성과 업데이트 프로세스에 대한 제어 권한을 얻을 수 있다. 현재, 해당 취약점은 수정된 상태이며, Avast는 공격의 배후를 중국어를 사용하는 APT 그룹으로 예상한다고 전했다. 출처 [1] Avast (2022.03.22) - Operation Dragon Cast..

최근, Facebook Protect를 사용하지 않은 일부 사용자들의 계정이 정지되는 사건이 발생했다. Facebook Protect는 인권 운동가 및 언론인 등 해커의 표적이 될 가능성이 높은 사용자들에게 이중 인증 기능을 제공하는 Facebook의 고급 보호 프로그램이다. 외신은 Facebook이 3월 초, 일부 사용자들에게 Facebook Protect를 사용하라는 메일을 보냈으며, 일정 기간까지 해당 기능을 활성화하지 않은 사용자의 계정을 정지했다고 알렸다. 이에 대해 일부 Facebook 사용자는 Facebook Protect를 사용하라는 메일을 받았지만, 피싱 메일과 유사해 응답하지 않아 계정이 정지됐다고 전했다. 사진 출처 : Twitter 출처 [1] The verge (2022.03.21..

최근, 미국의 보안 업체 Volexity가 "GIMMICK" 악성코드 변종을 발견했다고 발표했다. 해당 업체는 이 악성코드가 Apple사의 MAC 운영체제에서 발견됐으며 중국의 해킹 조직 "StormCloud"의 사이버 공격에 사용된다고 알렸다. 또한, "GIMMICK"은 클라우드 서비스인 Google Drive를 C&C서버로 사용하며 피해자의 파일 다운로드와 시스템 정보 수집 등의 악성 행위를 시도한다고 알려졌다. Volexity는 비정상적인 프록시 활동 및 내부 네트워크 검색에 대한 트래픽을 모니터링 할 것을 권고했다. 사진출처 : Volexity 출처 [1] Volexity (2022.03.22) – Storm Cloud on the Horizon: GIMMICK Malware Strikes at ..

최근 미국의 보안 업체 Pradeo가 "Facestealer"라는 악성 앱을 발견했다고 발표했다. 해당 업체에 따르면 이 악성 앱은 사진 편집 기능을 가진 앱으로 위장하고 있으며 Google Play Store에서 유포된다고 알려졌다. 이 악성 앱을 실행할 경우 Facebook 계정을 탈취하기 위한 로그인 페이지가 띄워지며 입력한 Facebook 계정 정보는 공격자에게 전송된다고 알렸다. Pradeo는 이러한 방법으로 탈취된 Facebook 계정이 피싱 링크 전송과 가짜 뉴스 유포 등의 사이버 범죄에 악용된다고 언급했다. 사진출처 : Pradeo 출처 [1] Pradeo (2022.03.21) – Spyware dubbed Facestealer infects 100,000+ Google Play user..