잉카인터넷 시큐리티대응센터 블로그

최근, Google Play를 비롯한 삼성의 Galaxy Store, Amazon의 Appstore 등 여러 앱 스토어에 AbstracEmu악성코드가 다량 배포되었다. 해당 악성 앱은 안드로이드를 대상으로 하며, CVE-2020-0069을 포함한 여러 취약점을 사용하는 특징을 가지고 있다. AbstracEmu는 최종적으로 원격지와 통신하며, 감염된 단말기를 모니터링하고 녹음 및 녹화하는 등의 원격 제어 동작을 수행한다고 밝혀졌다. Google Play에서 10,000건 이상의 다운로드를 기록했던 악성 앱은 현재 스토어에서 삭제되었다. 사진 출처: Lookout 출처 [1] Lookout (2021.10.29) – Rooting Malware Makes a Comeback: Lookout Discovers..

Microsoft에 따르면, 최근 새로운 회피 기술이 추가된 WizardUpdate가 최근 발견되었다. WizardUpdate는 MacOS를 타겟으로 공격하는 악성코드로 UpdateAgent나 Vigram으로도 불린다. 2020년 11월 처음 발견된 이후 지속적으로 해당 악성코드의 기능이 업데이트 되었으며, 최근 발견된 변종은 MacOS의 보안 기능인 Gatekeeper를 우회하는 등의 기능이 추가되었다. 해당 변종은 플래시 설치 프로그램을 위장하여 유포되었으며, MiTM(Man-in-The-Middle) 기법을 사용하여 웹 페이지에 광고를 삽입하는 등의 동작으로 금전적 이득을 취하는 것으로 전해진다. 사진 출처: MS Security Intelligence 출처 [1] Microsoft Security..

최근 MacOS에서 루트 권한을 획득하여 루트킷을 설치할 수 있는 Shrootless 취약점이 발견되었다. Shrootless는 Microsoft에 의해 발견되었으며, CVE-2021-30892로 명명되었다. 해당 취약점은 MacOS의 보안 기술인 SIP를 우회하여 발생하는 것으로, 이를 악용하여 루트킷이나 보안 프로그램이 탐지할 수 없는 멀웨어를 설치할 수 있다. 이에 대해 Apple은 지난 26일 보안 업데이트를 발표하였다. 사진 출처: MS 출처 [1] Microsoft (2021.10.29) - Microsoft finds new macOS vulnerability, Shrootless, that could bypass System Integrity Protection https://www.mic..

최근 일본을 대상으로 하는 Android 정보탈취 앱인 FakeCop이 발견되었다. FakeCop은 일본의 통신회사인 KDDI를 사칭하는 피싱 캠페인을 통해 유포된 것으로 전해진다. 해당 앱은 일본 인기 백신 제품인 Anshin Security를 가장하였으나, SMS 문자메시지와 연락처 및 계정정보 등을 획득할 뿐 아니라 단말기에 저장된 데이터 베이스를 삭제하는 등의 악성 기능이 있는 것으로 밝혀졌다. 또한, 장치에 저장된 앱 목록을 확인하여 보안 프로그램이 있는 경우, 자가 삭제 동작을 수행하여 사용자가 악성 앱인 것을 눈치채지 못하도록 한다. 사진 출처: Cyble 출처 [1] Cyble (2021.10.29) – New Variant Of FakeCop Targeting Users From Japa..

최근 국내 VPN 기업의 제품에서 발견된 제로데이 취약점이 공개된 정황이 발견됐다. 외신에 따르면 러시아어를 사용하는 다크웹 포럼에서 해당 취약점을 5만 달러에 판매했으며, 이후에 새롭게 발견된 사이버 범죄 포럼에서 해당 취약점이 무료로 공개됐다고 알려졌다. 현재, 취약점 판매 글이 게시된 포럼은 가입에 제한이 있어 접속되지 않았다. 사진 출처 : Therecord 출처 [1] Therecord (2021.10.29) - Ransomware gangs are abusing a zero-day in EntroLink VPN appliances https://therecord.media/ransomware-gangs-are-abusing-a-zero-day-in-entrolink-vpn-appliances/

최근, 백신 업체 Avast에서 Babuk 랜섬웨어 복호화 도구를 공개했다. 업체에 따르면 복호화 도구는 유출된 소스 코드와 암호 해독 키를 활용해 개발했으며 .babuk, .babyk, .doyho 확장자를 가진 파일을 복구 할 수 있다고 언급했다. Babuk 랜섬웨어는 2021년 상반기 수많은 기업들의 파일을 탈취 및 암호화해 피해를 준 랜섬웨어이다. 사진 출처 : Avast 출처 [1] Bleeping Computer (2021.10.28) – Babuk ransomware decryptor released to recover files for free https://www.bleepingcomputer.com/news/security/babuk-ransomware-decryptor-released..

PC 및 콘솔 컨트롤러 제조업체인 SCUF Gaming International은 해커가 유포한 악성 스크립트로 인해 고객들의 신용 카드 정보가 탈취되었다고 알렸다. 또한, SCUF Gaming 측에서 발표한 바에 따르면 PayPal을 통한 주문을 제외한 약 32,000명의 카드 정보가 탈취됐으며 탈취된 정보에는 카드 소유자 이름, 이메일 주소, 주소, 카드 번호, 만료 날짜 및 CVV가 포함돼 있다. 외신은 이번 공격에 의해 탈취된 신용카드 정보가 추후에 해킹 포럼이나 금융 사기에 사용될 수 있다고 경고했다. 출처 [1] BleepingComputer (2021.10.28) – SCUF Gaming store hacked to steal credit card info of 32,000 customers..

2021년 10월경, 보안 업체 Avast는 AtomSilo 또는 LockFile 랜섬웨어로 인해 암호화 된 파일을 복호화 할 수 있는 무료 복호화 툴을 공개했다. Avast 공식 홈페이지에는 AtomSilo 및 LockFile 랜섬웨어 분석 결과 및 동작 과정을 설명하는 글, 복호화 툴을 다운로드할 수 있는 링크와 사용법이 포함되어 있다. 또한, Avast는 공개한 무료 복호화 툴이 파일 포맷을 통해 복호화할 파일인지를 판단하기 때문에 모든 파일에 대한 복호화가 이루어지지 않을 수 있다고 알렸다. 사진 출처 : Avast 출처 [1] Decoded Avast (2021.10.28) – Avast releases decryptor for AtomSilo and LockFile ransomware http..

최근 네트워크 통신 방식이 변경된 "PurpleFox" 악성코드의 변종이 발견됐다. 해당 악성코드는 공격자의 명령을 받아 사용자 PC에서 프로세스 실행 및 파일 다운로드 등의 동작을 수행한다. 또한, 이번 변종은 네트워크 통신의 효율성을 높이기 위한 방법으로 Websocket을 사용해 공격자의 C&C 서버와 통신하는 기능을 추가한 것으로 알려졌다. 출처 [1] Trendmicro (2021.10.27) - PurpleFox Adds New Backdoor That Uses WebSockets https://www.trendmicro.com/en_us/research/21/j/purplefox-adds-new-backdoor-that-uses-websockets.html

최근 Lyceum 으로 알려진 해커 그룹이 중동의 에너지 및 통신 분야의 업체를 대상으로 공격한 정황이 발견됐다. Lyceum은 2019년부터 중동 지역을 대상으로 활동한 그룹으로 “DanBot"이라는 악성코드를 사용했다. 하지만 이번 공격에는 기존에 사용하던 악성코드가 아닌 "James"와 "Kevin" 악성코드를 사용했으며 C++로 새롭게 제작됐다고 한다. 또한, 기존에 사용하던 DNS Tunneling 등의 방식은 그대로 유지한 것으로 알려졌다. 출처 [1] Kaspersky (2021.10.27) - Lyceum group reborn https://securelist.com/lyceum-group-reborn/104586/