잉카인터넷 시큐리티대응센터 블로그

가짜 영화 스트리밍 서비스를 통해 BazaLoader 악성코드를 유포하는 캠페인이 발견됐다. 해당 캠페인은 가짜 영화 스트리밍 서비스인 BravoMovies를 가장한 요금 청구 스팸 메일을 통해 사용자가 고객센터에 전화 하도록 유도하고, 전화상담을 통해 BazaLoader를 다운로드하는 매크로가 포함 된 악성 엑셀(Excel)문서 다운로드를 유도한다. Proofpoint 연구원은 전화 상담을 통해 악성 다운로드를 유도하는 이 방법을 "BazarCall" 이라고 명명했으며, BazaLoader 및 Trickbot 배후의 위협 행위자가 앞으로도 이러한 기술을 계속 사용할 것으로 예상한다고 설명했다. 사진 출처 : https://www.proofpoint.com/us/blog/threat-insight/baz..

Microsoft Threat Intelligence Center는 미국 국제 개발처(USAID)의 마케팅 계정을 사칭한 피싱 메일을 발견하였다. 발견된 피싱 메일 캠페인은 러시아 기반의 Nobelium(APT29) 해킹 그룹의 공격으로, 합법적인 메일 서비스인 'Constant Contact'를 활용하여 유포되었다. 해당 캠페인에서는 정부 기관 및 조직을 포함한 150개 이상 그룹의 약 3000개의 메일 계정을 대상으로 피싱 메일이 전송되었으며, 'EnvySout'와 'Boombox' 등 4개의 새로운 악성코드가 등장하였다. 사진 출처: Microsoft Security Intelligence Center 출처 [1] Mircosoft (2021.05.31) – New sophisticated emai..

'TeaBot' 또는 'Anatsa' 로 알려진 안드로이드 악성코드가 발견되었다. 해당 악성코드는 'TeaTV', 'VLC MediaPlayer', 'DHL', 'UPS' 와 같은 유명 택배 회사나 스트리밍 서비스 애플리케이션으로 위장하여 다양한 정보를 탈취하기 때문에 주의가 필요하다. 출처 : https://www.cleafy.com/documents/teabot Analysis 해당 악성 앱의 주요 동작은 정보 탈취이다. 악성 앱은 원활한 악성 동작을 수행하기 위해 사용자에게 접근성 서비스를 활성화 해야한다는 알람을 지속적으로 발생시켜 사용자로 하여금 접근성 서비스를 활성화 하도록 유도한다. 그 후, 해당 단말기의 정보를 확인하여, 각각의 단말기 별로 오버레이 공격을 수행한다. 오버레이 공격 기법은 ..

지난 2월경, AutoHotKey(AHK) 스크립트 언어를 기반으로 만든 실행 파일을 통해 악성코드를 유포시키는 캠페인이 등장했으며 현재까지 더욱 정교한 공격을 위해 패치를 거듭하고 있다. AutoHotKey 스크립트는 매크로를 정의하여 사용할 수 있도록 해 주는 유틸리티로 해당 캠페인에서 vbs 파일을 삽입해 페이로드를 드랍하고, 실행한다. 악성 페이로드는 사용자가 알아차릴 수 없도록 파일의 형체가 없는 파일리스 형태로 실행되어 감염 사실을 숨긴다. 해당 캠페인을 이용하여 유포된 RAT에는 "Revenge RAT", "Async RAT", "Houdini RAT", "Vjw0rm"이 있다. 또한, 캠페인에는 "AHK 로더 공격 방식", "PowerShell 공격 방식", "HCrypt 공격 방식"이 존..

MS Exchange 서버 취약점을 활용해 컴퓨터를 암호화하는 "Epsilon Red" 랜섬웨어가 발견됐다. "Epsilon Red" 랜섬웨어는 Golang(Go) 언어로 작성됐으며 암호화 단계 이전에 12개 이상의 파워셸 스크립트를 실행해 복구 무력화, 프로세스 종료 등의 행위를 수행한다. 또한, 해당 랜섬웨어에 감염되면 파일명에 ".epsilonred" 확장자를 추가하고 “Revil” 랜섬웨어의 랜섬노트와 유사한 랜섬노트를 보여준다. Sophos 분석가들은 최근 해당 랜섬웨어의 피해 기업 중 한 곳이 약 4.28BTC(약 $210,000)의 랜섬머니를 지불했다고 알렸다. 출처 [1] Sophos (2021.05.31) - A new ransomware enters the fray: Epsilon Re..

애플리케이션을 빌드하기 위한 프로그램인 "MSBuild"의 기능을 악용하여 악성코드를 유포한 사례가 발견되었다. "MSBuild" (Microsoft Build Engine)는 애플리케이션을 빌드하기 위해 마이크로소프트에서 제공하는 개발도구이며, 일반적으로 Visual Studio에서 애플리케이션을 빌드할 때 사용한다. 또한 Visual Studio가 설치되지 않은 환경에서도 빌드 할 수 있도록 기능을 제공하는데, 최근 발견된 사례의 경우 "MSBuild"의 기능을 악용해 악성코드를 실행하고 추가 악성행위를 수행한다. 악성 프로젝트 파일 "MSBuild"는 빌드 시 프로젝트 파일(.proj)을 읽어 빌드를 수행하는데, 프로젝트 파일에는 데이터베이스 설정, 다른 프로젝트 정보 가져오기 및 수행할 작업 지정..

최근 웜 기능을 추가한 “MountLocker” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 액티브 디렉터리를 사용하는 기업 네트워크 환경을 대상으로 공격하며, 웜 기능을 사용하기 위해 “/NETWORK”라는 인자를 사용한다. “MountLocker” 랜섬웨어는 2020년 7월에 등장했으며 주로 기업을 대상으로 공격한다. 이들은 서비스형 랜섬웨어(Ransomware as a Service, RaaS)라는 비즈니스 모델을 사용해 운영 중이며, 지난 3월에는 “MountLocker” 랜섬웨어의 커스텀(Custom) 버전을 사용하는 “AstroLocker” 랜섬웨어 조직이 등장했다. 당시에는 “MountLocker” 랜섬웨어 조직이 “AstroLocker”로 이름을 변경해 활동하는 것으로 알려졌다. 하지만, 현재 “..

잉카인터넷 대응팀은 2021년 5월 21일부터 2021년 5월 27일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Nohacker" 1건, 변종 랜섬웨어는 "Stop" 외 5건이 발견됐다. 또한, "Qlocker" 랜섬웨어 조직은 랜섬머니 협상 사이트를 폐쇄하여 운영을 잠정적으로 중단했다. 2021년 5월 21일 Stop 랜섬웨어 파일명에 ".nusm" 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 HiddenTear 랜섬웨어 파일명에 ".[랜덤 숫자]" 확장자를 추가하고 [그림 1]의 랜섬노트를 실행하는 "HiddenTear" 랜섬웨어의 변종이 발견..

개요 VMware 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 중요(Important) 및 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - VMware vCenter Server v6.5 U3n, v6.7 U3I, v7.0 U1c (CVE-2021-21972) - VMware vCenter Server v6.5 U3p, v6.7 U3n, v7.0 U2b (CVE-2021-21985) - VMware Cloud Foundation (vCenter Server) v3.10.1.2, v4.2 (CVE-2021-..

개요 QNAP 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - QTS 4.5.2 HBS 3 v16.0.0415 및 이후 버전 - QTS 4.3.6 HBS 3 v3.0.210412 및 이후 버전 - QTS 4.3.3 HBS 3 v3.0.210411 및 이후 버전 - QTS 4.3.4 HBS 3 v3.0.210411 및 이후 버전 - QuTS hero h4.5.1 HBS 3 v16.0.0419 및 이후 버전 - QuTScloud c4.5.1~c4.5.4 HBS 3 v16.0.0419 및 이후 버전 참고자료 https://www..