잉카인터넷 시큐리티대응센터 블로그

C&C 동작의 악성코드 분석 보고서 1. 개요PC나 시스템을 자유자제로 조작하고 감시하는 것은 해킹의 궁극적인 목적이다. 만약 사용자가 자신이 해킹 공격을 당하고 있다는 사실을 인지하지 못한다면 공격의 기간도 길어질 것이고, 피해의 심각성은 커질것이다. 윈도우 필수 프로세스에 인젝션되어 동작하는 악성코드들은 겉으론 보이지 않기 때문에 일반사용자가 쉽게 찾아내기 힘들다. 또한 C&C 악성동작을 겸비하고 있는 악성코드에 감염된 PC라면 추후 공격에 사용될 가능성이 크다. 악성코드 Trojan.GenericKD.3003712 (factuur2390.exe) 를 분석하며 PC에서 동작하고 있을지 모르는 C&C 악성코드의 위험성에 대해 설명하고자 한다. 2. 분석 정보2-1. 파일 정보구분내용파일명factuur2..

dkmpr4.2.exe 악성코드 분석 보고서 1. 개요금융권, 검찰 등의 기관을 사칭하여 가짜 사이트로 연결을 유도한 후 계좌번호, 비밀번호 및 개인정보를 탈취하는 파밍의 시도가 나날이 증가하고 있으며, 그 수법 또한 발전하여 더욱 정밀해지고 있다. 이 보고서에서는 최근 새로운 기법을 사용하여 파밍 동작을 수행하는 악성파일이 발견되었기에 동일한 형태의 악성 동작이 의심되는 경우 피해를 방지하고자 해당 파일의 감염방식과 파밍 기법에 대해 기술하였다. 2. 분석 정보2-1. 파일 정보구분내용파일명dkmpr4.2.exe파일크기78,197 byte진단명Trojan/W32.KRBanker.78197악성동작파일 생성, 금융권 파밍, 인증서 탈취네트워크192.***.***.249192.***.***.39 (파밍) 2..

2016년 2월 악성코드 통계 악성코드 Top202016년 2월(2월 1일 ~ 2월 29일) 한 달간 잉카인터넷 시큐리티 대응센터는 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 아래 [표]는 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 3,181건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Virus/W32.Virut.Gen Virus 3181건 2위 Trojan/XF.XF.Sic Trojan 3117건 3위 W32.Ramnit Virus 2231건 4위 Adware/LemonWebtoon.D Adware 1565건 5위 Gen:Trojan.Heur.JP.ju2@aOy0xLkP Tro..

전자서명을 도용해 유포된 악성코드 분석 보고서 1. 개요최근 한 전자서명 업체의 코드서명(코드사인)이 해킹되어, 악성코드 유포에 악용된 사건이 발생했다. 특정 프로그램의 게시자 정보를 알려줘 믿고 다운받을 수 있게 해주는 코드서명을 이용해, 사용자가 서명된 악성파일을 의심없이 다운받고 실행하도록 한 것이다. 본 보고서에선 코드서명을 악용하여 유포된 악성코드 Trojan/W32.Agent.78592.I 를 분석하여, 운영체제의 서명 파일 취급과정과 해당 악성코드의 악성동작에 대해 알아보고자 한다. 2. 분석 정보2-1. 파일 정보구분내용파일명275b7.exe파일크기78,592 byte진단명Trojan/W32.Agent.78592.I악성동작다운로더네트워크165.***.***.67:443 2-2. 용어 설명일..

smo.exe(인터넷 뱅킹 파밍) 악성코드 분석 보고서 1. 개요 최근, 금융권 피싱 사이트를 통한 사용자 정보탈취 악성코드가 기승을 부리고 있다. 악성코드 유형별 비율 통계(한국인터넷진흥원, 2015.12)에 따르면 금융사이트파밍 악성코드 유형이 정보유출(금융정보) 유형에 이어 전체에서 높은 비율을 차지하고 있다. 최근에는 국내뿐만 아니라 일본 금융사이트를 대상으로 한 악성코드도 발견되고 있다. 금융권 계정 탈취용 악성코드의 경우, 피싱 사이트를 통해 정보 유출을 유도하므로, 사용자가 피싱 사이트에 쉽게 접속할 수 있도록 여러 파밍 기법을 쓰고 있다. 이번 보고서에서는 일본 금융 사이트를 대상으로 제작된 Trojan/W32.JPBanker.64696(smo.exe)를 분석하며 한동안 파밍 악성코드에서 ..

Radamant (랜섬웨어) 악성코드 분석 보고서 1. 개요파일을 암호화하고 암호를 풀기 위해 금전을 요구하는 악성 프로그램 랜섬웨어의 수가 급증하고 있다. 특히 2015년 상반기엔 유명 커뮤니티 사이트에서 랜섬웨어가 유포되어 많은 사용자가 피해를 입었다. 이후에도 많은 보안업체의 노력에도 불구하고 랜섬웨어의 피해는 점점 증가하고 있다. 인터넷뱅킹 파밍이나 계정정보 탈취를 시도하는 다른 악성코드들은 감염이나 피해에 따른 보안 툴이 있는 반면, 랜섬웨어의 경우 감염 즉시 PC의 데이터를 사용 불능으로 만들며 감염된 파일은 복구가 어려워 많은 피해를 일으키고 있다. 따라서, 잉카인터넷 시큐리티 대응센터는 해당 보고서에 Radamant 랜섬웨어(진단명: Trojan/W32.Bublik.208896.N) 를 분..

2016년 1월 악성코드 통계 악성코드 Top202016년 1월(1월 1일 ~ 1월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 아래 [표]는 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로이목마) 유형이며 총 4,729건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Gen:Trojan.Heur.JP.iu1@a847J8kP Trojan 4729건 2위 Gen:Trojan.Heur.GZ@B1ab4XA6LpO Trojan 4618건 3위 Trojan/XF.XF.Sic Trojan 2815건 4위 Gen:Variant.Graftor.2652 Trojan 2755건 5위 Ad..

BLACK ENERGY 악성코드 분석 보고서 1. 개요지난해 말 악성코드에 의한 최초의 정전사태로 기록된 우크라이나 정전사태의 주범으로 Black Energy(블랙에너지)가 주목 받고 있다. Black Energy는 하나의 악성 파일이 아닌, 침투-정보수집-확산-공격-파괴 의 절차를 가진 APT 공격 전체를 지칭하는 것으로, 다양한 목적을 가진 악성파일들과 악성행위들을 모두 일컫는 말이다. 이 보고서에서는 Black Energy의 시발점이 된 엑셀 문서 파일과, 전체 공격의 일부로 사용된 MBR 파괴 모듈에 대해 알아보고자 한다. 2. 분석 정보2-1. 파일 정보구분내용파일명BlackEnergy.xls파일크기734,724 byte진단명Trojan-Dropper/X97M.BlackEnergy악성동작xls ..

Autoshut.exe 악성코드 분석 보고서 1. 개요 국회 미래창조과학방송통신위원회 국정감사에 따르면, 금융권, 검찰 등의 기관을 사칭하여 가짜 사이트로 연결을 유도한 후 계좌번호, 비밀번호 및 개인정보를 탈취하는 파밍 사기 건수가 2012년 대비 2015년에는 3년만에 50배 이상 급증한 것으로 집계됐다. 건수와 비례하여 피해 금액 또한 대폭 증가하였다. 이러한 파밍 사기는 비단 국내 문제로만 국한되지 않는다. 최근 일본에서도 파밍 악성코드의 유포가 점점 활발해지는 정황이 포착되었으며, 다수의 변종이 지속적으로 업데이트 되면서 동작이 점차 정교해지고 있다. 우리나라와 달리 일본에서는 파밍 공격에 대해 알려진 사례가 거의 없다는 점에서 피해가 확산될 우려가 있다. 2. 분석 정보2-1. 파일 정보 구분..

토렌트를 통한 유포방식의 악성코드 분석 보고서 1. 개요 플로피 디스크, CD, DVD, 와레즈에 이어 토렌트까지. PC의 발전과 함께 자료의 공유방식도 발전해 왔다. 인터넷 접속이 빨라지면서 점차 물리적 매체가 아닌 인터넷을 통한 공유가 자리를 잡아갔고, 현재는 토렌트를 통한 공유가 매우 활성화 되었다. 토렌트란 사용자와 사용자 간의(peer-to-peer) 파일 전송 프로토콜이자 그것을 이용하는 응용 소프트웨어의 이름이다. 파일을 전송하기 위해 전송하고자 하는 파일이 아닌, 그 파일에 대한 정보를 갖고 있는 시드파일(.torrent)만을 공유하면 되기 때문에 파일의 공유가 간편하다. 또한 여러 사용자로부터 동시에 파일을 받기 때문에 속도가 빠르다. [출처 – 위키백과] 하지만 그 편의성과 접근성으로 ..