잉카인터넷 시큐리티대응센터 블로그

1. 개 요 최근 해외를 중심으로 감염 증상 해결을 위해 금전적 요구를 하는 형태의 Ransomware가 지속적으로 등장하고 있어 일반 사용자들의 각별한 주의가 요망되고 있다. 일단 감염이 이루어지면 PC 사용 자체가 불가능해지며, 일정 금액을 지불해야만 해당 증상 해제를 위한 일종의 키값을 받을 수 있기 때문에 시간적, 물리적, 금전적 손실이 뒤따르게 된다. 이번 글을 통해 지속적으로 출현중인 Ransomware에 대해 살펴 본 후 혹시 있을지 모를 피해에 대비할 수 있도록 하자. 2. 감염 경로 및 증상 Ransomware는 취약점이 존재하는 특정 웹 사이트를 통해 유포될 수 있으며, 이메일의 첨부파일이나, 인스턴트 메신저 혹은 SNS(Social Network Services)등을 통해서도 유포가 ..

1. 개 요 최근 온라인 게임 계정 정보 탈취를 목적으로 하는 악성파일이 국내에 다량 유포되고 있는 것으로 확인되었다. 그중 정상파일인 "lpk.dll" 파일명을 사용하는 악성파일의 변종 유포가 매우 활발히 이루어지고 있으며, 최초 감염을 유발하는 숙주파일의 파일명으로 국내 유명 백신 업체의 파일명을 도용하는 악성파일이 발견되어 사용자들의 각별한 주의가 필요한 상황이다. 위와 같은 경우 일반 사용자들은 감염 사실을 파악하기가 매우 어려워 지속적인 감염 상황이 발생할 수 있다. 온라인 게임 계정 정보 탈취를 목적으로 하는 악성파일은 다수의 사용자들을 대상으로 금전적 피해를 유발할 수 있는만큼 이번 글을 통해 이와 같은 유형의 악성파일에 대해 살펴보고 혹시 있을지 모를 피해에 미리 대비할 수 있도록 하자. ..

1. 개 요 2011년 5월 11일 한국시간 오후 5시경 인도의 특정 트위터 계정을 통해서 제우스(Zeus) 악성파일 자동화 개발 도구의 가장 마지막 버전의 소스코드가 암호와 함께 트위터 등을 통해서 빠르게 전파되고 있는 것이 잉카인터넷 대응팀 보안 관제 중에 발견되어 인터넷 사용자들의 각별한 주의가 요망되고 있다. 기존에 발견되었던 제우스 빌더의 소스코드는 암호화 압축되었던 파일들만 인터넷에 공개되어 있었고, 복호화할 수 있는 암호가 공개되어 있지 않아서 실제로 사용하는데는 제약이 있었지만 금일부터는 사용이 가능한 소스가 공유되고 있는 것이 공식적으로 확인된 것이다. 잉카인터넷 시큐리티 대응센터는 2011년 5월 11일부터 급속도로 공유되고 있는 제우스 오리지널 소스 코드를 이미 2011년 5월 2일에..

1. 개 요 최근 YouTube로 위장한 사이트에서 자바 애플릿을 이용해 악성파일을 유포한 사실이 발견되어 사용자들의 주의를 요망하고 있다. 세계적으로 널리 알려진 동영상 전문 커뮤니티 등으로 위장할 경우 일반 사용자들은 별다른 의심 없이 클릭할 수 있으며, 동영상 내용이 일반인들의 흥미를 쉽게 불러일으킬 만하다면 그 피해는 더욱 커질 수 있다. 때문에 이번 글을 통해 해당 악성파일을 살펴보고 발생할 수 있는 피해에 미리 대비할 수 있는 시간을 가져볼 수 있도록 하자. 2. 유포 경로 및 감염 증상 아래의 그림과 같은 특정 동영상 전문 커뮤니티로 위장한 사이트뿐만 아니라 일반 사용자들을 현혹하기 쉬운 여러 사이트 등을 통해서도 해당 악성파일을 유포할 수 있다. 위와 같은 사이트로 이동할 경우 자바 애플릿..

1. 개 요 2011년 5월 초부터 미연방수사국인 "FBI(Federal Bureau of Investigation)에서 발송된 것처럼 교묘하게 위장된 악성 이메일이 발견"되고 있어, 인터넷 사용자들의 각별한 주의가 요망되고 있다. 이메일의 특징은 보낸 사람이 "FBI" 라고 지정되어 있고, 발신지 이메일 주소 역시 fbi.gov 로 조작되어 있다. 수신자가 실제 FBI 측에서 발송한 이메일로 오인하여 첨부되어 있는 압축파일을 열고 실행 할 경우 "악성 파일에 노출되어 감염"되는 위험성이 존재한다. ※ 악성 이메일의 특성 보통 악성파일을 첨부한 이메일 전파수법은 사용자로 하여금 신뢰할 수 있는 조직이나 기관 등에서 발송한 것처럼 위장하기 위해서 다양한 속임수를 쓰는 것이 보편화 되어 있는데, 특징적으로 ..

1. 개 요 ESTsoft에서 제공중인 무료 백신 알약으로 위장한 악성파일이 등장하여 사용자들의 주의를 필요로 하고 있다. 해당 악성파일은 알약과 유사한 아이콘 및 디스크립션(설명)을 가지고 있어 일반 사용자의 경우 쉽게 현혹될 수 있으므로, 이번 글을 통해 해당 악성파일을 살펴보고 혹여, 발생할 수 있는 피해에 대비해 미리 예방할 수 있는 시간을 가져볼 수 있도록 하자. 참고적으로 금년 상반기 최고의 보안 이슈였던 3.3 DDoS 기간 때도 알약으로 위장한 악성파일이 출현하여 이슈가 되었던 전례가 있었다. [국내 백신사의 DDoS 전용백신으로 위장한 악성파일 등장] ☞ http://erteam.nprotect.com/134 3.3 DDoS 당시 발견되었던 알약 위장 악성파일의 경우 DDoS기능은 존재하..

최근 미국에 대한 9.11 테러의 배후로 알려진 국제적 테러 조직 알 카에다를 이끌고 있는 오사마 빈 라덴이 사망하여 세계적인 이슈가 되고 있다. 이러한 세계적인 이슈에 발 맞춰(?) 사회공학 기법을 이용하는 Scam 형태의 페이스북용 악성 어플리케이션이 유포되고 있어 사용자들의 주의가 필요한 상황이다. 이번 글을 통해 해당 페이스북용 악성 어플리케이션을 살펴보고 미리 대비할 수 있는 시간을 가져보도록 하자. 해당 악성 어플리케이션은 특정 어플리케이션 광고 목적을 가지고 유포 중에 있으며, 이를 위해 오사마 빈 라덴의 사망 관련 소식을 악용해 사회공학 기법을 채용하는 형태로 아래의 그림처럼 특정 페이지를 통한 유포 방식을 취하고 있다. 또한, 감염되면 친구로 등록되어 있는 사용자들의 담벼락에 관련 글을 ..

1. 개 요 한글 이력서 내용으로 위장되어 유포 되어지는 악성 이메일이 최근 발견 되었다. 해당 이메일 내에는 실행 가능한 악성파일이 첨부되어진 상태이며 이를 실행시 추가적인 감염 행위가 발생할 수 있으므로 이와같이 발신처가 불분명한 이메일에 대해서는 열람시 주의가 필요할 것으로 보인다. 2. 감염 경로 및 증상 해당 이메일을 살펴보면 정상적인 이력서 내용을 포함한 메일처럼 위장 되어져 있으며, 개인정보 프로필과 같은 첨부파일이 내부에 포함 되어져 이를 열람하여 볼수 있도록 유도하고 있다. "Resume.rar(98,006 바이트)" 첨부파일 내부에는 "Resume.chm(101,511 바이트) " 파일이 포함 되어져 있으며, "Resume.chm" 파일을 실행 할 경우 내부에 포함되어진 svchost...

최근 스마트폰을 통한 사용자 위치추적이 화제가 되고 있다. 아이폰은 물론, 안드로이드 기반의 스마트폰에서도 동일하게 사용자의 위치정보를 지속적으로 저장해온 것으로 알려지면서 해당 제조업체들의 해명에 따라 불법적인 개인 사생활 침해가 지속적인 논란거리로 작용할 전망이다. 스마트폰 사용자의 위치정보는 기존에도 이미 스마트폰용 어플리케이션에 의해 주기적인 시간 단위로 저장되어 특정 서버로 전송되는 사례가 있었으며, 몇몇 어플리케이션들은 이미 악성 어플리케이션으로 분류되어 있기도 하다. 악용 가능성이 있는 위와 같은 기능이 스마트폰 OS 및 단말기 제조사에서 사용자 몰래 버젓이 사용되고 있는 것으로 밝혀지면서 이제는 점차 확대되고 있는 스마트폰 보안 위협에 대한 패러다임을 재조명하고 사회적 관심 및 사례를 통해..

1. 개 요 imm32.dll 패치형 악성파일과 관련하여 앞서 소개한 바 있다. 그러나 최근 imm32.dll 패치 외 악성 svchost.exe 파일을 추가로 생성하여 동작하는 악성파일이 확인 되었다. 해당 악성파일은 사용자 계정정보 유출을 통한 2차 피해를 유발시킬수 있으므로 인터넷 사용자의 각별한 주의가 필요한 상황이다. 2. 감염 방식 및 감염 증상 이번에 발견되어진 악성파일은 정상 imm32.dll 패치 외에 윈도우 시스템 폴더에 악성 svchost.exe 파일을 추가로 생성하여 동작하는 등 새로운 방식의 감염 형태로 확인 되었다. 또한, 국내 특정 온라인 게임 및 메신저, Internet Explorer 파일에 인젝션되어 사용자 로그인시 로그인 정보를 후킹하여 외부로 전송하는 시도를 하게 된다..