잉카인터넷 시큐리티대응센터 블로그

브라질 헬스케어 회사인 Grupo Fleury가 사이버 공격을 받아 서비스가 중단 됐다. 해당 업체는 웹사이트에 "외부로부터 공격을 받아 현재 시스템을 사용할 수 없으며, 서비스 복원을 우선순위로 하고 있다"는 공지를 게시했다. BleepingComputer 측은 Grupo Fleury가 REvil 랜섬웨어의 공격을 받았으며, 공유받은 랜섬웨어 샘플 및 도난파일에 대한 유출과 암호해독을 빌미로 500달러의 랜섬머니를 요구하고 있다고 알렸다. Grupo Fleury는 환자 개인정보 및 의료정보 탈취 여부 등에 대한 공식적인 답변을 하지 않고 있다. 사진 출처 : https://www.fleury.com.br/ 출처 [1] BleepingComputer (2021.06.28) – Healthcare gian..

사이버 범죄 서비스인 Malware-as-a-Service(MaaS)가 최근 들어 더욱 활발하게 모습을 나타내고 있어 주의가 필요하다. 그 중, Matanbuchus Loader는 새롭게 등장한 악성코드로 해당 악성코드는 원격지와 통신하며 사용자 정보를 탈취하고 그 외 추가적인 명령 및 제어 동작을 수행한다. 한 해킹 포럼에서 처음 광고되었으며 $2500 달러에 판매가 되었다. 해당 게시글을 작성한 BelialDemon은 이전에TriumphLoader를 개발하여 판매한 것으로 추정된다. 사진 출처: https://unit42.paloaltonetworks.com/matanbuchus-malware-as-a-service/ 엑셀 문서 파일을 통해 최초 유포되었으며, 최종 페이로드인 Matanbuchus.d..

최근 불법 복제 프로그램으로 위장해 유포 중인 “Vigilante” 악성코드가 발견됐다. 해당 악성코드는 호스트 파일을 수정해 토렌트 파일을 공유하는 사이트인 “The Pirate Bay” 등을 차단하며, 실행 과정에서 악성코드를 추가로 다운로드 받아 정보를 탈취한다. “Vigilante” 악성코드는 음성 채팅을 위해 제작된 프로그램인 디스코드(Discord) 또는 토렌트를 통해 유포된 것으로 알려졌으며, 유포된 파일을 다운로드한 후 압축을 해제하면 [그림 1]과 같이 파일을 생성한다. 추가로, “Vigilante” 악성코드가 위장한 유명한 게임 또는 소프트웨어는 [그림 2]와 같다. Vigilante 악성코드 “Vigilante” 악성코드를 실행하면 호스트 파일에 불법 복제 소프트웨어 사이트 도메인을 ..

2019년부터 백신 프로그램 탐지 회피 및 다양한 OS 사용자 타겟으로 공격이 가능하다는 이유에서 기존의 프로그래밍 언어가 아닌 GO 언어로 제작된 악성코드가 등장하기 시작했다. 최근에는 점차 GO 언어를 사용해 제작된 악성코드가 증가하고 있다. 2021년 2월경, 자사에서는 GO 언어로 제작된 "Electro RAT" 분석글을 게시하였으며 해당 글의 링크는 아래에 첨부되어 있다. 2021.02.09 - [악성코드 분석] ElectroRAT 악성코드 분석 보고서 최근 GO 언어로 제작된 새로운 악성코드 "Klingon RAT"이 등장했다. "Klingon RAT"은 백신 프로그램 종료를 시도하며 관리자 권한을 획득한다. 최종적으로 해당 악성코드는 C&C 서버를 이용해 정보를 탈취하고, 사용자의 PC를 제..

잉카인터넷 대응팀은 2021년 6월 18일부터 2021년 6월 24일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Mansory" 외 4건, 변종 랜섬웨어는 "Magniber" 외 1건이 발견됐다. 또한, "Lockbit" 랜섬웨어가 더욱 강력해진 새로운 버전 v2.0으로 다시 모습을 나타냈다. 2021년 6월 18일 Mansory 랜섬웨어 파일명에 ".MANSORY" 확장자를 추가하고 "MANSORY-MESSAGE.txt"라는 랜섬노트를 생성하는 "Mansory" 랜섬웨어가 발견됐다. Poteston 랜섬웨어 파일명에 ".poteston" 확장자를 추가하고 "readme.txt"라는 랜섬노트를 생성하는 "Poteston" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 ..

2019년 처음 등장하여 꾸준히 RaaS(Ransomware-as-a-Service)로 판매되던 Lockbit 랜섬웨어가 새로운 버전으로 다시 모습을 나타냈다. 최근 발표한 Lockbit 2.0은 20분 이내 100GB의 데이터를 유출할 수 있다고 주장하며 가장 빠른 암호화 및 데이터 유출 제공을 약속한다. 해당 버전은 실시간 압축 및 드래그 앤 드롭 기능을 지원하고 StealBit이라는 새로운 도구를 사용한다. 전세계적으로 활발하게 활동하는 Lockbit 랜섬웨어는 작년 스위스의 헬리콥터 제조그룹인 Kopter을 공격하였으며, 탈취한 데이터를 유출 사이트에 공유하기도 하였다. 사진 출처: Technadu 출처 [1] Technadu (2021.06.24) – LockBit Returns to the R..

TrendMicro의 연구원이 Bash 스크립트로 작성된 "DarkRadiation" 랜섬웨어에 대한 분석 보고서를 게시했다. 게시된 분석 내용에 따르면 "DarkRadiation" 랜섬웨어는 RedHat, CentOs, Debian 기반의 Linux와 Docker 클라우드 컨테이너를 대상으로 제작되었으며, 메시징 서비스인 Telegram의 API를 사용하여 C&C 서버와 통신하고 파일을 암호화 한 뒤 확장자에 방사능 기호인 "☢"를 추가한다. 이번에 발견된 "DarkRadiation" 랜섬웨어는 랜섬웨어 공격에 필요한 악성 도구들과 함께 Twitter 사용자에 의해 보고된 것으로 알려졌다. 사진 출처 : https://www.trendmicro.com/en_us/research/21/f/bash-ran..

한국원자력연구원이 시사저널에서 작성한 사이버 침해사고 은폐 의혹 기사와 관련해 설명자료를 게시했다. 한국원자력연구원이 공개한 자료에 따르면 신원불명의 공격자가 VPN 시스템의 취약점을 사용해 접속을 시도한 흔적을 확인했으며 이에 따라 관련 IP 차단 및 VPN 시스템의 보안 업데이트를 진행했다고 한다. 또한, 사건 발생 당시 있었던 침해사고 은폐의혹에 대해서는 조사 과정에서 벌어진 실무진 답변의 착오라고 설명했다. 현재, 한국원자력연구원은 관계기관과 이번 사이버 침해사고에 대해 조사중이라고 밝혔다. 출처 : https://www.kaeri.re.kr/board/view?menuId=MENU00326&linkId=9181 출처 [1] kaeri (2021.06.22) - [설명자료] 시사저널 "원자력연구원..

"RedLine Stealer" 는 정보탈취형 악성코드로 해커 포럼에서 판매중이며 크랙 버전도 발견되고 있다. 해당 악성코드는 코로나 19 이슈를 악용한 피싱 메일을 통해 처음 등장하였으며 정상 프로그램 위장, 피싱 페이지 등의 방식을 이용하여 유포된 사례가 지속적으로 발견되고 있다. 또한 최근에도 디지털 아티스트들에게 업무를 의뢰한다고 접근하여 "RedLine Stealer" 악성코드를 다운로드하고 실행을 유도한 사례가 발견되었다. 실행된 "RedLine Stealer" 악성코드는 브라우저, FTP 및 게임 프로그램 등 사용자 PC의 다양한 정보를 탈취한다. 최신 유포 사례 "RedLine Stealer" 악성코드는 2020년 3월 경 코로나 19 이슈를 악용한 피싱 메일 유포를 시작으로 피싱 웹 사이..

개요 Cisco 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 높음(High) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Cisco DNA Center SW v2.2.2.1 및 이후 버전 - Cisco Small Business 220 Series v1.2.0.6 및 이후 버전 - Cisco ESA 용 AsyncOS v12.5.3-035, v13.0.0-030, v13.5.3-010 - Cisco WSA 용 AsyncOS v11.8.3-021, v12.0.3-005, v12.5.1-043 - Windows용 Cisco Any..