본문 바로가기

시큐리티대응센터2133

Telegram 설치 프로그램을 위장한 PurpleFox 최근 PurpleFox가 'Telegram Desktop.exe' 라는 이름으로 유포되었다. 해당 파일은 악성 다운로더를 드롭 및 실행하여 사용자 PC에 PurpleFox를 설치한다. PurpleFox는 보안 프로그램을 탐지하고, RAT의 기능을 수행할 수 있는 것으로 알려져 있다. 유포된 PurpleFox 중에는 RootKit의 기능이 존재하는 경우도 있는 것으로 전해진다. 유포된 악성 파일은 사용자를 속이기 위해, 다운로더와 함께 Telegram 인스톨러로 보이는 파일을 함께 생성하는데 이 파일은 정상적으로 실행되지 않는다. 사진 출처: Minerva Labs 출처 [1] Minerva Labs (2022.01.06) - Malicious Telegram Installer Drops Purple Fo.. 2022. 1. 6.
[주간 랜섬웨어 동향] - 1월 1주차 잉카인터넷 대응팀은 2021년 12월 31일부터 2022년 1월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "PyCryptor" 외 3건, 변종 랜섬웨어는 "Conti" 외 5건이 발견됐다. 2021년 12월 31일 HelloXD 랜섬웨어 파일명에 ".hello" 확장자를 추가하고 "Hello.txt"라는 랜섬노트를 생성하는 "HelloXD" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다. PyCryptor 랜섬웨어 파일명에 ".CRYPT" 확장자를 추가하고 "README.txt"와 [그림 1]의 랜섬노트를 실행하는 "PyCryptor" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도한다. Conti 랜섬웨어 파일명.. 2022. 1. 6.
2021년 12월 악성코드 동향 보고서 1. 악성코드 통계 악성코드 Top20 2021년12월(12월 1일 ~ 12월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan이며 총 14,133 건이 탐지되었다. 악성코드 진단 수 전월 비교 12월에는 악성코드 유형별로 11월과 비교하였을 때 Trojan, Exploit, Backdoor, Adware의 진단 수가 증가하고, Worm 의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 12월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 11월에 비해 증가한 추이를 보이고 있다. 2. 악성코드 동향 2021.. 2022. 1. 4.
2021년 12월 랜섬웨어 동향 보고서 1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된, 데이터 유출 사이트 49곳의 정보를 취합한 결과이다. 2021년 12월(12월 1일 ~ 12월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "LockBit" 랜섬웨어가 59건으로 가장 많은 데이터 유출이 있었고, "Conti” 랜섬웨어가 41건으로 두번째로 많이 발생했다. 2021년 12월(12월 1일 ~ 12월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 41%로 가장 높은 비중을 차지했고, 독일과 호주가 각각 8%와 7%, 프랑스와 캐나다가 6%로 그 뒤를 따랐다. 2021년 12월(12월 1일 ~ 12월 31일)에 발생한 데이터 유출 건을 산업별로.. 2022. 1. 4.
동아시아 기업을 표적으로 삼는 Flagpro 악성코드 등장 대만, 일본 및 홍콩의 기업을 공격하여 기술 및 데이터를 탈취하는 Flagpro 악성코드가 등장했다. 이번 캠페인은 1년 전부터 일본 기업을 주요 대상으로 공격하기 시작했으며 일본의 국방, 미디어 및 통신 분야등 다양한 직종의 기업을 타겟으로 삼았다. 해당 악성코드는 중국 정부가 지원하는 것으로 추정되는 BlackTech APT 그룹이 제작한 악성코드로 추정되며 이번 캠페인에서는 신뢰할 수 있는 영업 파트너의 메시지로 위장하여 대상 기업에 피싱 메일을 보내는 것으로 알려졌다. “Flagpro” 악성코드는 감염된 기업 시스템의 정보를 탈취하고, 공격자의 C&C 서버로 전송한다. 또한, 명령을 공격자 서버에서 받아와 시스템을 원격으로 제어하거나 악성코드를 추가적으로 다운로드할 수 있다. 출처 [1] Blee.. 2021. 12. 31.
서명된 인증서를 활용하는 Blister 로더 악성코드 캠페인 "Blister" 로더는 합법적인 서명 인증서를 훔치거나 직접 기관에서 구매한 서명 인증서를 활용하여 정상 파일로 위장된다. 관련 인증 기관에서는 해당 활동을 공개하고, "Blister" 악성코드에 남용된 서명 인증서를 폐기하는 등의 조치를 취했다. 처음 유포되는 파일은 추가 파일을 드랍하고, 정상 프로세스에 로드되어 실행된다. 추가 파일은 자동 분석을 어렵게 하기 위해 10분간의 대기 상태 이후 동작하고, 내부 리소스 섹션에 저장된 페이로드를 복호화한다. 이후 정상 프로세스에 페이로드가 주입되어 실행되며 주입된 바이너리 코드는 "CobaltStrike" 또는 "BitRAT"로 사용자의 PC를 원격으로 제어한다. ① Blister Loader 파일을 "%AppData%" 경로에 드랍한다. ② 정상 프로그.. 2021. 12. 31.

티스토리툴바