잉카인터넷 시큐리티대응센터 블로그

이메일 계정 보안 경고로 위장한 피싱 메일 주의 1. 개요 최근 이메일 계정에 의심스러운 접근을 알리는 보안 경고내용으로 피싱 메일이 유포되고 있다. 피싱 메일에 첨부된 링크를 클릭하면 cPanel(웹 호스팅 업체)의 webmail 로그인 페이지로 위장한 가짜 사이트로 연결되고, webmail 로그인을 위해 암호를 요구한다. 이 밖에도 피싱 사이트의 도메인에는 윈도우 계정 로그인을 모방한 페이지도 확인되기 때문에 유사한 공격에 주의할 필요가 있다. 2. 분석 정보 2-1. 유포 경로 유포된 피싱 메일은 사용자의 이메일 계정에 의심스러운 접근을 알리는 보안 경고 내용과 함께 가짜 로그인 페이지로 연결되는 링크를 클릭하도록 유도한다. 그리고 사용자가 링크를 클릭하면 이메일 계정에 로그인하기를 요구한다. 2-..

2019년 6월 악성코드 통계 악성코드 통계 악성코드 Top20 2019년06월(06월 1일 ~ 06월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 3,227 건이 탐지되었다. 악성코드 유형 비율 6월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 76%로 가장 높은 비중을 차지하였고, Exploit(익스플로잇)과 Adware(애드웨어)가 각각 8%와 5%, Virus(바이러스)와 Backdoor(백도어)가 각각 2%, 2%씩으로 그 뒤를 따랐다. 악성코드 진단 수 전월..

6월 랜섬웨어 동향 및 LooCipher 랜섬웨어 분석보고서 1. 6월 랜섬웨어 동향 2019년 6월(6월 01일 ~ 6월 30일) 한 달 간 랜섬웨어 동향을 조사한 결과, 1년 넘게 전 세계 사용자를 대상으로 악명을 떨치던 GandCrab 랜섬웨어가 특정 해킹 포럼을 통해 운영 중단을 선언했다. 또한 룩셈부르크에 있는 한 실험 기관이 랜섬웨어 공격을 받아, 시스템과 서버가 마비되는 사건이 있었고, 벨기에에 본사를 두고있는 비행기 부품 공급업체가 랜섬웨어 공격을 받아 생산공장이 중단되어 직원들이 강제 휴가를 떠난 사건이 있었다. 이번 보고서에서는 6월 국내/외 랜섬웨어 소식 및 신/변종 랜섬웨어와 6월 등장한 LooCipher 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 소..

사무국을 사칭한 피싱 메일 주의 1. 개요 최근 사무국을 사칭한 피싱 메일이 유포되고 있다. 해당 메일에는 파일을 위장한 링크가 첨부되어 있고, 해당 링크를 클릭하면 변조된 URI를 포함한 Microsoft 로그인 사이트로 접속되며 로그인을 위해 암호를 요구한다. 이 과정에서 ‘OAuth(오픈 인증)’ 이라고 불리는 개념이 적용되어, 간략하게 소개하고자 한다. 2. 분석 정보 2-1. 유포 경로 해당 메일은 마치 사무국을 사칭하여 기밀문서를 첨부한 것으로 보인다. 파일로 보이는 부분을 클릭하면 유포자가 의도한 사이트로 연결되는 링크이다. 이와 유사한 방식의 메일이 다수 유포 되고 있다. 2-2. 실행 과정 사용자가 첨부되어 있는 링크를 클릭하면, 변조된 URI를 포함한 MS 로그인 사이트에 접속하게 된다..

진화하는 Ammyy RAT 주의 1. 개요 피싱 메일을 통한 APT 공격은 2018년부터 급격하게 상승세를 보이고 있다. 대다수의 APT 공격에 사용되는 악성코드는 랜섬웨어가 상위권을 차지하였지만, 최근에는 랜섬웨어가 아닌 RAT (Remote Access Trojan) 를 유포하여 공격하는 방식이 증가하여 사용자들의 주의가 요구 된다. 잉카인터넷에서는 해당 RAT 에 대한 분석 정보를 두 차례 게시하였다. “송장(Invoice)을 위장한 엑셀파일 주의” - https://isarc.tachyonlab.com/2328 “국내 기업 표적으로 계속되는 Ammyy RAT 유포 메일 주의” - https://isarc.tachyonlab.com/2351 이번 보고서에서는 계속해서 유포 방식이 변화하는 ‘Ammy..

바로가기 파일로 위장하여 악성파일 다운로드하는 Cephalo 랜섬웨어 감염 주의 1. 개요 최근 발견된 Cephalo 랜섬웨어는 바로가기(.lnk) 파일을 정상인 것처럼 위장하여 사용자의 실행을 유도하고 있으며, 실행 시 악성파일을 다운로드 하고 실행하여 악성 동작을 수행하는 방식을 사용하고 있다. 이러한 방식은 사용자로 하여금 의심없이 파일을 실행시킬 수 있으며, 이로 인해 많은 피해가 발생할 수 있어 사용자의 주의가 필요하다. 이번 보고서에서는 .ceph 감염 확장자를 사용하는 Cephalo 랜섬웨어에 대해 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].lnk 파일크키 3,205 bytes 진단명 - 악성 동작 파일 다운로드 구분 내용 파일명 Cep..

이미지 파일에 숨겨진 Remcos RAT 악성코드 분석 보고서 1. 개요 ‘Remcos RAT’은 과거부터 현재까지 악성 메일의 첨부파일을 통해 꾸준히 유포되고 있는 악성코드 중 하나이다. 본래의 Remcos 자체는 해외 보안 업체에서 합법적으로 윈도우를 관리하기 위해 개발된 프로그램이지만, 공격자들의 원격 접근 툴(RAT)로 악용되고 있다. 악용된 ‘Remcos RAT’은 사용자의 시스템을 장악하고 정보를 탈취할 수 있으며 원격 명령 수행, 키로거, 화면 캡처, 파일 다운로드, 웹 브라우저 로그인 정보 저장 등의 다양한 기능을 갖고 있다. 이번 보고서에서는 Remcos RAT의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 Rokko 新订单请求,pdf.exe ..

RIG Exploit Kit으로 유포되는 Buran 랜섬웨어 감염 주의 1. 개요 최근 Internet Explorer 취약점을 악용해 RIG Exploit Kit 공격으로 유포되는 Buran 랜섬웨어가 발견되었다고 알려진다. RIG Exploit Kit은 주로 Internet Explorer, Adobe Flash Player, Java의 보안 취약점을 악용한 악성코드 유포 도구로 이용되며, 해당 공격 도구를 이용해 사용자 PC에 Buran 랜섬웨어를 다운 및 실행시킬 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 Buran 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 796,160 bytes 진단명 Rans..

신용카드 결제 영수증으로 위장한 피싱 공격 주의 1. 개요 최근 신용카드 결제 영수증으로 위장한 피싱 메일이 유포되고 있어 주의가 필요하다. 해당 이메일은 외국어를 번역한 듯한 부자연스러운 한국어로 작성되어 있으며, 특정 링크를 클릭하도록 유도하는 내용을 담고 있다. 현재는 링크가 끊어져 작동하지 않지만 VirusTotal 에 게재된 정보에 따르면 최근 유사한 URL 을 다수 생성한 것으로 추정되므로 추가 공격에 주의할 필요가 있다. 2. 분석 정보 2-1. 유포 경로 해당 피싱 메일은 외국어를 번역한 듯한 어수룩한 한국어로 작성되었다. 피싱 메일은 특정 링크를 따라 들어가 비밀번호를 사용하도록 유도하는 내용을 담고 있다. 2-2. 실행 과정 현재는 링크가 끊어져 있으나, VirusTotal에서 검색되는..

5월 랜섬웨어 동향 및 Maze 랜섬웨어 분석보고서 1. 5월 랜섬웨어 동향 2019년 5월(5월 01일 ~ 5월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 학원 관리 시스템 개발업체가 랜섬웨어 공격을 받아 해당 시스템을 이용하는 여러 학원들이 피해를 받았다. 또한, 국내 여러 기업들을 대상으로 메일을 통한 랜섬웨어 유포가 이루어진 사건이 있었고, 해외에서는 미국 볼티모어 시청이 랜섬웨어 공격을 받은 사건이 있었다. 이번 보고서에서는 5월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 5월 등장한 Maze 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 학원 관리 시스템 개발업체 랜섬웨어 피해 사례 5월 11일 새벽, 국내 학원 관리 시스템 개..