잉카인터넷 시큐리티대응센터 블로그

1. 개요 잉카인터넷 대응팀은 국내 불특정 다수의 인터넷 이용자를 겨냥하여 다양한 수법으로 금융정보 및 예금탈취 목적의 악성파일이 끊임없이 기승을 부리고 있어 주의 경보를 발령하고, 이상징후에 대한 예의주시 및 휴일포함 상시 집중관제와 긴급대응을 진행 중에 있다. 현재 악성파일은 변종이 지속적으로 유포되고 있는 상황이며, 감염될 경우 국내 인터넷 뱅킹 사이트 접속시 교묘하게 제작된 허위 사이트로 접속되고, 실제로는 존재하지 않는 보안승급서비스를 보여주고, 공인인증서(NPKI)유출과 금융 개인정보 입력을 유도하여 국내 시중은행 사용자들의 계좌정보를 탈취시도한다. 이렇게 유출된 개인금융 정보는 악의적 해커들에 의해서 불법적 금융계좌 접근으로 시도되고, [경우에 따라서 예금인출 피해로 확대]될 수 있다. 금번..

1. 개요 잉카인터넷 대응팀은 Adobe Flash Player 프로그램에 존재하는 최신 보안취약점을 이용한 악성파일이 해외에서 다수 유포되고 있는 정황을 포착하였다. 해당 취약점을 이용한 악성파일은 2012년 08월 13일 경부터 발견되고 있으며, Adobe Systems사에서는 2012년 08월 14일 CVE-2012-1535 취약점에 대한 보안 권고문을 공개한 상태이다. 공격자는 마치 정상적인 MS Word DOC 문서파일처럼 교묘히 위장하여 변종 악성파일을 제작하여 유포하고 있는 상황이므로, 최신 보안업데이트 설치가 무엇보다 중요한 상태이다. 아울러 플래시 플레이어 취약점의 경우 매우 자주 발생하고 있으므로, 수시로 제공되는 최신 업데이트를 반드시 설치하는 보안습관이 중요하다. [보안 권고문] S..

1. 개요 잉카인터넷 대응팀은 2012년 08월 02일 목요일 국내 특정분야의 정책을 통합조정하는 정부부처의 내부 공직자를 정조준하고 HWP 문서파일 취약점을 이용해서 은밀하게 표적공격을 감행된 지능형지속위협(APT) 정황을 포착하였다. 국가 정책을 담당하는 중앙행정기관의 내부 직원을 겨냥했다는 점에서 국가 내부 정보수집을 목적으로 한 표적형 공격의 일환으로 추정하고 있다. 공격자는 [한글문서(HWP) 파일의 취약점을 이용]하였으며, "일일 주요외신 보도동향 보고"라는 내용을 포함하고 있다. 또한, 발신자는 이메일 제목과 내용 등에 한글을 직접 사용하였고, 보낸 사람 부분에도 한글로 "최 강"이라는 발신자명과 hotmail.com 계정을 이용하였다. 아울러 잉카인터넷 대응팀은 금년 4월 경에 보고했었던 ..

1. 개요 잉카인터넷 대응팀은 국내 인터넷뱅킹 사용자를 표적으로 하는 악성파일 유포 모니터링을 실시간으로 유지하고 있으며, 현재 이 시간 새로운 변종이 유포시도 중인 정황을 포착하여 "긴급 대응"이 진행되었다. 특히, 이번에는 기존의 은행권외에 기업은행, 우체국, 새마을금고, 하나은행 등이 신규로 공격 사이트로 추가되었다. 또한, 공격자는 유포파일명을 CretClient.exe 에서 adobe_update.exe 으로 변경하였고, HDSetup.exe 에서 ncsoft.exe 이름으로 변경하였다. 기존에 공식적으로 공개하지는 않았지만 악성파일 제작자는 국내 특정 금융권 보안프로그램처럼 아이콘을 위장한 변종을 제작한 적이 있었고, 국내 게임사 또는 Kaspersky 보안업체 등과 관련된 내용으로 위장을 꾸..

1. 개요 잉카인터넷 대응팀은 글로벌 지능형지속위협(APT) 보안관제를 진행 하던 중 중국 포털 사이트에서 제공하는 웹메일 계정을 이용해서 "주중 프랑스 대사관 공직자를 표적으로 한 악성파일 공격 정황을 포착"하였다. 공격자는 마이크로소프트사 오피스용 엑셀(Excel) 문서파일에 악성파일을 몰래 숨겨서 사용하였으며, 특징적으로 악성 엑셀문서를 정상적으로 열기 위해서는 고유암호를 입력해야만 한다. 암호를 완벽하게 입력해야만 악의적인 기능을 수행하기 때문에 암호를 모르는 사람은 해당 악성파일의 보안위협에 노출될 가능성은 없으며, 암호를 알지 못한 상태에서는 악성파일 코드분석에도 직접적인 방해요인으로 작용할 수 있다. 이처럼 표적형 공격에 사용되는 악의적 문서파일에 특정 암호가 설정되어 사용되는 경우가 종종 ..

1. 개요 잉카인터넷 대응팀은 국내에서 서비스 중인 웹하드 사이트들을 통해서 악의적인 등록자들이 웹 사이트 관리자와 이용자들 몰래 "성인 음란 동영상"으로 둔갑시킨 악성파일을 은밀히 유포하고 있는 정황을 포착하고, 꾸준히 모니터링과 대응상태를 유지하고 있다. 웹하드 서비스를 통해서 배포되는 파일의 경우 보통의 보안업체가 꾸준히 관제를 하기에는 쉽지 않은 영역이기 때문에 악성파일 유포자들은 이점을 노리고 있지만, 잉카인터넷 대응팀은 웹하드 서비스를 통해서 배포되는 악성파일을 [상시 모니터링 체계로 구축]하여 운영하고 있다. 아울러 유포자들도 이런 보안 감시망에 노출되지 않기 위해서 점차 지능화, 다양화 방식을 도입하여 사용자 몰래 악성파일을 설치 시도하는데 많은 노력을 기울이고 있는 상태이다. 이번에 새롭..

1. 개요 잉카인터넷 대응팀은 마릴린 먼로(Marilyn Monroe) 화면보호기로 교묘하게 위장되어 있는 악성파일을 발견하였다. 해당 악성파일은 미국 캘리포니아에 본사를 두고 있는 특정 "항공우주기업의 내부 직원을 겨냥"하고 있으며, 표적이 된 직원은 전문분야 30여년 이상의 경력을 가진 수석 공학 전문가로 확인되었다. 공격자는 마릴린 먼로와 관련된 제목과 내용 등을 포함한 이메일로 공격을 시도하였으며, 미공군 공식 이메일 계정(af.mil)과 미항공우주국(NASA) 내용 등을 직접적으로 언급하는 등 수신자로 하여금 최대한 신뢰하도록 조작하고 있다. 표적에 사용된 기업은 민간 비영리 법인으로 미국 공군에 대한 연방정부 재정지원 연구개발 센터 등도 운영하고 있으며, 미사일 시스템 센터와 같은 군수물자 단..

1. 개 요 2012 런던 올림픽 대회가 개최되며, 전세계의 이목이 올림픽에 집중되고 있다. 전세계 각국을 대표하는 선수들이 참가하여 열전을 벌이고 관심을 높여가고 있는 가운데 역시나 올림픽 관련 스케쥴표로 위장한 악성파일이 발견되어 사용자들의 각별한 주의가 요망되고 있다. 해당 악성파일은 PDF 형식의 파일로 폰트 관련 취약점을 악용하여 악성파일을 유포하고 있으며, 감염 시 정상적인 올림픽 스케쥴표가 출력되어 일반 사용자들의 경우 감염 사실을 인지하기가 매우 어려운 것이 특징이라고 할 수 있다. 2. 유포 경로 및 감염 증상 해당 악성파일은 2012 런던 올림픽 경기 일정표로 위장되어 이메일의 첨부파일 혹은 SNS, 메신저 등의 링크 접속을 통해 유포가 이루어질 수 있다. 또한, 폰트 관련 PDF 취약..

1. 개 요 잉카인터넷 대응팀에서는 최근 한글 취약점을 악용하여 추가적인 악성파일의 유포를 시도하는 악성 한글 문서 파일을 발견하였다. 해당 악성 한글 문서 파일을 실행할 경우 내부에 포함된 정상적인 문서 파일이 함께 실행되므로 일반 사용자의 경우 악성코드가 실행되었는지 여부를 알 수 없어 잠재적 감염 위험성이 높다고 할 수 있다. 또한, 이러한 잠재적 감염 위험성을 가지는 악성파일에 감염되었을 경우 일반 사용자의 경우 감염 사실을 쉽게 알 수 없기 때문에 다양한 정보 유출 등 감염 이외의 2차적 피해를 입을 수 있어 각별한 주의가 요망되고 있다. 2. 유포 경로 및 감염 증상 해당 한글 문서 파일은 이메일 등의 첨부파일을 통해 주로 유포될 수 있으며, 다운로드 후 실행 시 아래와 같은 추가적인 악성파일..

1. 개요 잉카인터넷 대응팀은 2012년 07월 18일 새벽 4시 경 국내 인터넷뱅킹 사용자들을 표적으로 제작된 악성파일 변종이 구글 코드(Google Code) 오픈 소스 프로젝트 호스팅 서버를 통해서 추가 유포 중인 것을 확인하였다. 공격자는 악성파일 등록 경유지 도메인을 보다 안전하고 평판 신뢰도를 높이기 위한 목적으로 구글 코드 서버를 사용한 것으로 추정된다. 악성파일은 지금으로부터 약 30시간 전인 2012년 07월 16일 23시 경에 서버에 등록되었으며, 별도의 유포지를 통해서 지금도 계속 배포가 되고 있을 것으로 보여진다. 이번 변종의 경우 호스트파일(hosts) 변조를 통해서 국내 금융권 사이트 접속시 파밍공격 시도를 하는 것 외에 치밀하게 잉카인터넷 nProtect Anti-Virus 제..