잉카인터넷 시큐리티대응센터 블로그

잉카인터넷 대응팀은 2021년 5월 14일부터 2021년 5월 20일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Sick” 외 3건, 변종 랜섬웨어는 “Nefilim” 외 3건이 발견됐다. 이 중, 연결된 네트워크를 감염할 수 있는 기능이 추가된 “MountLocker” 랜섬웨어가 발견됐고, 미 당국이 “DarkSide” 랜섬웨어 조직의 자원을 모두 압수해 해당 조직의 운영이 중단됐다. 2021년 5월 14일 Nefilim 랜섬웨어 파일명에 “.NEFILIM“ 확장자를 추가하고 “NEFILIM-HELP.txt"라는 랜섬노트를 생성하는 "Nefilim" 랜섬웨어의 변종이 발견됐다. 2020.03.27 - [랜섬웨어 분석] Nefilim 랜섬웨어 2021년 5월 17일 ..

최근 FBI에서 미국 내에서 6번째로 큰 은행인 Truist Bank로 위장한 스피어 피싱 캠페인을 발견하였다. 지난 2021 년 2 월 재생 에너지 회사를 표적으로 한 공격 중 하나로 정상적인 Truist Financial SecureBank 앱을 모방 한 악성 Windows 앱을 다운로드하도록 유도하였다. 다운로드되는 악성 앱은 키로거, 스크린샷 캡처 및 DNS, HTTP 등 네트워크 통신을 비롯하여 다운로더 등의 악성 기능을 가지고 있다. 해당 스피어 피싱 캠페인에서 MayBank 나 Cumberland Private과 같은 다른 미국 및 영국의 금융기관을 사칭한 메일도 발견되었다. 출처 [1] Bleepingcomputer (2021.05.20) – FBI spots spear-phishing p..

유명 해커 포럼들이 최근 랜섬웨어의 광고를 금지하였다. 해커포럼 XSS 가 랜섬웨어 광고를 금지하겠다고 발표했다. 이번 조치는 DarkSide로 알려진 랜섬웨어 조직이 Colonial Pipeline의 네트워크를 암호화 한 사건 이후, 법 집행 기관의 관심을 회피하기 위한 시도인 것으로 알려졌다. XSS 포럼의 발표 하루 뒤, 또 다른 해커 포럼인 Exploit 관리자는 "포럼에 RaaS 프로그램이 존재하는것이 적절하지 않다. 모든 제휴프로그램을 제거하고 랜섬웨어 광고를 금지하기로 결정했다."고 알렸다. 사진 출처 : 해커 포럼 XSS 출처 [1] Security Affairs (2021.05.18) - Major hacking forums XSS and Exploit ban ads from ransom..

"RoyalRoad" 악성문서 빌더로 생성된 RTF 파일을 통해 "PortDoor"라는 악성코드 유포 사례가 발견되었다. 최근 러시아의 국립 연구 센터의 책임자를 대상으로 피싱 메일이 유포되었으며, 해당 이메일에는 "RoyalRoad”로 생성된 악성 RTF 파일이 첨부되었다. 첨부된 파일 실행 시 감염환경에서 “PortDoor” 악성코드를 실행한 뒤 C&C 서버로 연결하여 정보 탈취, 파일 실행 등 공격자의 명령을 수행한다. RoyalRoad "RoyalRoad"는 "8.t Dropper" 또는 “8.t RTF Exploit Builder”로도 불리며 Tick, Tonto 및 Persicope 등 중국의 해커 그룹이 사용하는 악성 RTF 문서 생성 도구로 알려져 있다. 해당 도구로 생성된 RTF 파일을 ..

최근 침입차단시스템을 우회하기 위해 ICMP 패킷에 데이터를 추가해 공격자와 통신하는 "PingBack" 백도어 악성코드가 발견됐다. 해당 악성코드는 MSDTC 서비스가 로드하는 DLL로 위장한 후 DLL 하이재킹을 이용해 사용자의 컴퓨터에서 실행하며, 공격자는 명령어가 포함된 ICMP 패킷을 감염된 컴퓨터에 보내 악의적인 행위를 수행한다. "PingBack" 악성코드는 사용자의 컴퓨터에 백도어를 설치하기 위해 [그림 1]과 같이 MSDTC 서비스가 로드하는 "oci.dll"로 위장한다. MSDTC(Microsoft Distributed Transaction Coordinator) 서비스는 여러 시스템에 분산된 트랜잭션을 처리하기 위해 사용하며, "oci.dll"은 오라클 데이터베이스를 조작하는데 사용하..

최근 안드로이드 단말기를 대상으로 하는 악성 어플리케이션이 많이 등장하여, 모바일 백신의 중요성이 커지고 있다. 이에 여러 보안회사에서 백신 프로그램을 배포하고 있는 한편, 이러한 백신 프로그램을 사칭한 악성 앱이 등장하였다. 해당 앱은 "Avast Android Antivirus Email Scanner 2021" 이라는 이름으로 유포되었으며, 단말기에 저장되어있는 사용자의 정보 탈취를 비롯하여 원격제어 동작을 하기에 주의가 필요하다. 해당 앱을 실행하면, 우측 하단 이미지에서 보이는 알림창을 빠르게 띄웠다 사라지며, 사용자가 눈치채지 못하게 백그라운드 모드에서 동작을 수행한다. 가짜 백신 앱은 사용자 단말기에 다양한 정보를 탈취한다. 먼저, 사용자의 화면을 캡처하여 파일로 저장한다. 해당 이미지는 외..

2018년 12월 말 처음 발견된 “LemonDuck”은 Linux 시스템을 대상으로 하여 Linux 루트 계정 비밀번호를 무차별 대입 공격을 통해 SSH 원격 접속을 하거나 Windows 시스템 대상으로 악성 문서 파일이 첨부된 메일을 통해 유포되었다. 하지만 2021년 3월경, “LemonDuck”이 공격 대상에 MS Exchange Server를 추가하였고, 해당 서버의 취약점을 악용하여 유포되기 시작했다. 해당 악성코드는 공격자의 서버에서 페이로드를 다운로드한 후 백신 프로그램으로 위장한 서비스를 생성해 코인 마이너를 등록하고, 공격에 사용된 웹 쉘을 사용자의 폴더에 숨긴다. 또한, 사용자의 PC에 관리자 권한이 있는 계정을 생성하여 RDP(원격 데스크톱) 연결을 활성화하고, 최종적으로 감염된 P..

사이버 범죄 집단 FIN7이 Windows 침투 테스트 툴을 위장하여 Lizar 백도어 악성코드를 배포한 것으로 알려졌다. BI.ZONE 사이버 위협 연구팀에 따르면, Lizar는 로더 및 다양한 플러그인으로 구성되어 있으며, 감염된 시스템에서 함께 실행되고, 봇 클라이언트로 결합하여 원격 서버와 통신한다. Lizar의 플러그인은 Mimikatz 및 Carbanak과 같은 다른 악성코드를 로드하고, 피해자 정보를 검색하며, 스크린샷을 찍고, 자격 증명을 수집하는 등의 악성행위를 수행한다. 닷넷 프레임워크로 작성된 Lizar 서버 애플리케이션은 원격 리눅스 호스트에서 실행되며, 봇 클라이언트와의 암호화된 통신을 지원한다. [사진 출처 : https://bi-zone.medium.com/from-pentes..

파일을 암호화하고, 데이터를 탈취하여 이중으로 랜섬머니를 갈취하는 "Lorenz" 랜섬웨어 그룹이 새롭게 등장했다. ID Ransomware의 연구원은 "Lorenz" 랜섬웨어의 암호화 동작이 이전에 등장했던 "ThunderCrypt"” 랜섬웨어와 유사하지만 두 랜섬웨어가 동일한 그룹인지 혹은 랜섬웨어의 소스 코드를 구입 했는지는 확실하지 않다고 밝혔다. 해당 랜섬웨어의 데이터 유출 사이트에는 현재 12개의 피해 기업이 나열되어 있으며 10개의 기업에 대한 데이터가 공개된 것으로 알려졌다. 출처 [1] Bleeping Computer (2021.05.17) – Meet Lorenz – A new ransomware gang targeting the enterprise https://www.bleeping..

미 당국에 의해 DarkSide 랜섬웨어 조직의 운영이 중단됐다. 지난 주말, REvil 랜섬웨어 측에서 해킹 포럼을 통해 DarkSide 랜섬웨어 측의 운영 중단을 알렸다. 해당 내용은 미 당국에서 랜섬웨어와 관련된 내용을 발표한 다음날 게시됐으며, 미 당국에 의해 DarkSide 랜섬웨어 조직이 운영하는 데이터 유출 사이트, 결제 서버 및 CDN 서버가 모두 압수 당했다고 한다. REvil 측은 이번 사건으로 인해 사회 부문(의료, 교육기관)과 모든 국가의 정보를 공격하지 말아야 한다고 언급했다. 사진 출처 : https://twitter.com/BleepinComputer/status/1393217115700830208/photo/1 출처 [1] BleepingComputer (2021.05.17)..