잉카인터넷 시큐리티대응센터 블로그

세계적으로 악명 높았던 이모텟 악성코드가 4월 25일을 기점으로 자동 삭제된다. 지난 1월 유로폴이 국제 사법기관들의 공조로 이모텟(Emotet) 악성코드의 운영진을 검거하고, 이와 관련한 모든 인프라를 압수 및 운영 중단 조치했다고 공식 발표 했다. 이와 더불어 독일 연방범죄수사청(Bundeskriminalamt, BAK)이 이모텟 악성코드 제거 모듈을 제작하고, 압수한 서버의 악성코드와 교체하여 감염된 시스템에 배포했다. 해당 모듈은 지정된 기간까지 봇넷을 무력화하고 4월 25일 이후 삭제 루틴을 실행한 후 종료된다. 출처 [1] EUROPOL (2021.04.26) - WORLD’S MOST DANGEROUS MALWARE EMOTET DISRUPTED THROUGH GLOBAL ACTION htt..

최근 게이머들은 출처가 밝혀지지 않은 사이트에 게시된 게임 프로그램 광고를 보고 의심없이 파일을 다운로드하는 경향이 있다. 이러한 심리를 이용해 공격자는 게이머들을 표적으로 해당 프로그램에 악성코드를 숨겨 사용자의 PC 및 모바일을 감염시키는 사례가 증가하고 있다. 게임 개발사인 Activision이 게임 치트 프로그램을 이용한 악성코드에 대해 경고하고, 정보를 공유했다. 또한, 보안 업체 Cisco Systems는 최근 XtremeRAT이 주로 게이머를 표적으로 유포되고 있다고 발표했다. 그리고 Minecraft 모바일의 모드 프로그램으로 위장한 앱을 통해 지속적으로 광고를 출력하는 악성코드가 현재까지도 유포되고 있으며 PC뿐만 아니라 모바일을 암호화하는 랜섬웨어가 인기 게임 Cyberpunk 2077..

최근 EtterSilent라는 Office 악성문서 빌더가 발견되었다. 해당 악성 빌더는 2020년부터 해커 포럼에 게시되어 판매되고 있으며, 보안 솔루션에서 탐지되지 않고 있어 Trickbot, IcedID, Ursnif 밍 QakBot 등 악명 높은 악성코드 제작자들이 사용하고 있다. EtterSilent 빌더를 통해 생성된 악성문서는 피싱 메일을 통해 사용자들에게 유포되며, 매크로 혹은 취약점을 사용해 파일을 다운로드하여 추가적인 악성행위를 수행한다. 판매자는 해커 포럼에서 EtterSilent 빌더를 판매하고 있으며, 악성 빌더의 두 가지 버전과 함께 Windows Defender, Smart Screen, Gmail 및 이메일 서비스 우회 기능에 대해 홍보하고 있다. 첫 번째 버전은 취약점을 사..

지난 주말 약 5억 3300만 명의 Facebook 사용자의 개인정보가 해커 포럼에 공개되었다. 유출된 데이터에는 한국 사용자 약 12만 명의 개인정보가 포함되어 있으며 전화번호, 아이디, 이름, 거주지, 생일, 이력, 이메일 주소, 성별, 계정 생성날짜 및 이메일 등의 정보가 담겨 있다. 이를 유출한 해커는 2019년 Facebook 취약점을 통해 탈취된 데이터이며, $10,000 가격에 데이터를 구매하여 공개한다고 밝혔다. 해커는 미국 사용자의 데이터를 무료로 공개하였으며, 이외에 데이터는 해커 포럼의 화폐인 8 Credit을 통해 판매하고 있다. 무료로 공개된 미국 사용자의 데이터에는 Facebook의 설립자인 Mark Zuckerberg의 개인정보도 포함되어 있다. 유출된 데이터는 106개국의 5..

신용카드 거래 영수증을 사칭한 피싱 메일 유포 최근 상품 구매 영수증을 사칭한 피싱 메일이 유포되었다. 해당 메일에는 영수증 번호와 거래 일자, 사용 금액이 상세하게 적혀있어, 사용자로 하여금 첨부된 문서 파일을 클릭하도록 유도한다. 첨부된 파일은 악성 엑셀 문서로 매크로를 활성화하는 ‘콘텐츠 사용’ 버튼을 클릭하고 ‘OPEN & VIEW’ 박스를 클릭하면 매크로를 통한 악성동작이 시작된다. 매크로를 통해 원격지 서버에 연결하여 임의의 파일 명으로 %Temp% 경로에 dll 파일을 다운로드한다. 다운로드된 dll은 정상 파일에 인젝션되어, C2 서버에 연결을 시도한다. 현 분석 시점에는 해당 서버에 연결되지 않는다. 최근 피싱 메일은 사용자가 의심하지 않도록 내용이 더욱 정교화되고 있기 때문에, 사용자들..

거래 확인 메일을 사칭한 피싱 메일 주의! 최근 거래 확인서를 사칭한 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 해당 피싱 메일은 파일이 첨부된 인보이스를 사칭한 메일로 거래 영수증과 함께 첨부 파일 문서를 숙지해 달라는 내용으로 첨부파일 실행을 유도하고 있다. 첨부된 문서 파일을 실행할 경우 “컨텐츠 사용” 버튼을 누르도록 유도한다. 컨텐츠 사용 버튼을 클릭하면 문서 파일에 적용된 VBA 스크립트 매크로가 실행되며 해당 매크로는 공격자의 C&C 서버에 연결하여 추가적인 악성 파일을 다운로드한다. 다운로드 된 악성 파일은 DLL 파일이며 정상 파일을 이용해 실행된다. 실행된 DLL 파일은 공격자의 C&C 서버로부터 추가 다운로드를 시도한다. 최종적으로 다운로드 된 파일은 사용자의 정보를 탈취하고,..

최근 음성 채팅을 위해 제작된 프로그램인 디스코드(Discord)에서 제공하는 기능을 사용하여 사용자에게 피해를 입히는 악성코드들이 발견되고 있다. 디스코드는 사용자의 편의를 위해 다양한 기능을 제공하며 그 중 대표적인 것이 원하는 정보를 메시지로 받을 수 있도록 하는 웹훅(WebHook)과 파일 전송을 위한 CDN(Contents Delivery Network)이다. 하지만 악성코드 제작자들은 이러한 기능들을 악용하여 사용자의 정보를 탈취하거나 추가적인 페이로드 실행으로 사용자에게 피해를 입힌다. 최근 반년 동안 디스코드를 사용한 악성코드를 조사한 결과 4가지의 특징을 보였으며 올해부터는 디스코드에서 제공하는 기능을 랜섬웨어에도 적용하는 추세이다. 첫 번째 특징은 웹훅을 이용하여 수집한 정보를 공격자에..

최근 중국의 사이버 범죄 단체 Hafnium에 의해 Microsoft Exchange Server 취약점을 악용한 공격이 발견되어 이슈가 되었다. 이에 마이크로 소프트 측에서는 해당 취약점 네 가지에 대해 긴급 패치를 진행하였으며 이번 공격에 악용된 취약점은 MS Exchange Online과는 상관 없다고 밝혔다. 공격의 시작이 되었던 Hafnium 그룹은 주로 미국 여러 산업 부문의 기업을 대상으로 공격한다. 과거에도 Hafnium은 네트워크 서버의 취약점을 악용하여 많은 서버를 감염시켰고, 합법적인 오픈 소스 프레임 워크를 사용하여 탐지를 우회했다. 이 후 감염을 마친 PC에서 정보를 탈취하고, 악성코드를 사용자의 PC에 다운로드하여 사용자를 협박 한 이력이 있다. 마이크로 소프트는 공식적으로 이번..

최근 외신에 따르면 APT 36으로 알려진 파키스탄의 해커 그룹이 유포한 “ObliqueRAT” 악성코드의 새로운 버전이 발견되었다. 이번에 발견된 악성코드의 버전은 6.3.5 로, 기존에 발견된 5.2 버전과 다른 악성코드 감염 방식을 사용하고 있으며, 지속적인 업데이트를 통해 기능의 변화가 확인되고 있다. 버전별 차이점 “ObliqueRAT” 악성코드는 2019년 11월 5.2 버전이 발견되었으며, 이후 업데이트를 통해 6.3.5 버전이 발견되었다. 6.3.5 버전에서는 뮤텍스, 유포 방식, 안티 기법 및 명령 코드 추가 등 기존의 기능이 변화되었으며, 파일 탈취 및 파일 목록 검색 등의 기능이 추가되었다. 유포 방식 악성문서에서 “ObliqueRAT” 악성코드를 드랍하여 실행하는 방식에서, 파일을 ..

Introduction 최근 외신에 따르면 “ApoMACROSploit”이라는 Office악성코드 빌더를 발견하였으며, 이를 이용하여 생성된 악성 XLS문서 파일 확인되었다. 생성된 악성 XLS 문서 파일은 피싱 메일로 사용자들에게 유포되었다. What is ApoMACROSploit? “APOMacroSploit”은 Office 매크로 악성코드 빌더로 Office 문서에 삽입 가능한 악성 매크로를 생성한다. 과거부터 “APOMacroSploit” 악성코드 제작자들은 커뮤니티에 광고를 하며 판매하고 있었다. 해당 빌더를 이용하여 만든 악성 매크로 문서 파일이 백신 프로그램(AV)과 Windows Defender를 우회 할 수 있다고 홍보한다. 이들은 페이로드를 실행 하기 전, 대상 컴퓨터에 Windows..