잉카인터넷 시큐리티대응센터 블로그

최근, Google Registry에서 웹사이트 또는 이메일 주소 호스팅에 사용할 수 있는 8개의 최상위 도메인을 도입했다. 추가된 도메인에는 .dad, .phd, .prof, .esq, .foo, .zip, .mov 및 .nexus 등이 있고 현재 모두 사용할 수 있다. 이 중 .zip, .mov 등의 도메인은 파일의 확장자로도 사용되므로 파일명과 URL이 혼재되어 발생할 위험에 대한 우려가 제기되고 있다. 보안 업체 Silent Push Labs는 microsoft-office[.]zip과 같이 Microsoft로 위장한 피싱 사이트 제작에 .zip 도메인이 악용되는 사례를 발견했으며, 보안 연구원 Rauch는 Github에서 파일 다운로드 링크로 위장해 .zip 도메인을 갖는 피싱 사이트로 접속을 ..

최근, Microsoft 365 플랫폼을 표적으로 하는 서비스형 피싱 도구 "Greatness"를 사용한 공격이 급증하고 있다. Cisco Talos의 조사에 따르면, 해당 도구를 사용하는 공격자는 HTML 파일을 첨부한 피싱 메일을 발송해 공격을 시도한다. 사용자가 첨부 파일을 실행하면 Microsoft 365 로그인 페이지로 위장한 피싱 사이트로 리디렉션하고 사용자의 로그인 입력을 유도한다. 또한, 로그인 과정에서 MFA 인증이 사용될 경우, 음성 통화 또는 SMS 코드 등 실제 Microsoft 365 페이지에서 요청한 MFA 방법을 사용해 사용자에게 인증을 요구한다. 해당 페이지를 통해 사용자가 로그인을 시도하면, 입력한 계정 정보를 탈취해 텔레그램 봇을 통해 공격자에게 전송한다. 사진출처 : C..

최근, Google Ads를 통해 유포되는 "LobShot" 악성코드가 발견됐다. Elastic Security Labs에 따르면, 공격자가 원격 데스크톱 프로그램인 AnyDesk로 위장한 가짜 사이트를 제작하고 Google Ads를 통해 사용자의 접속을 유도한 것으로 알려졌다. 해당 악성코드를 다운로드 후 실행하면, 'C:\ProgramData' 경로에 자가 복제본을 생성해 새로운 프로세스를 통해 실행되고 지속성을 위한 레지스트리 키를 생성한다. 이후, Microsoft Defender의 실행 여부를 확인한 뒤 피해자 PC에서 호스트 정보와 암호화폐 확장 프로그램 등의 정보를 탈취한다. 또한, "LobShot" 악성코드는 hVNC 모듈이 포함돼 있어 사용자 몰래 원격으로 PC를 제어할 수 있는 것으로 ..

1. 악성코드 통계 악성코드 Top10 2023년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 847건이 탐지되었다. 악성코드 진단 수 전월 비교 4월에는 악성코드 유형별로 3월과 비교하였을 때 Trojan, Suspicious 및 Backdoor의 진단 수가 증가했고, Virus와 Worm의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 4월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 3월에 비해 진단 수가 증가했지만, 셋째 주에는 ..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된, 데이터 유출 사이트 41곳의 정보를 취합한 결과이다. 2023년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “LockBit” 랜섬웨어가 161건으로 가장 많은 데이터 유출이 있었고, “BlackCat” 랜섬웨어가 48건으로 두번째로 많이 발생했다. 2023년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 40%로 가장 높은 비중을 차지했고, 프랑스가 7%, 캐나다와 영국, 독일이 4%로 그 뒤를 따랐다. 2023년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 산업별로 비교하였을 때 제조/..

1분기 국가별 해커그룹 동향 보고서 러시아 2023년 1분기에 러시아를 배후로 둔 Sandworm 그룹과 Gamaredon 그룹의 공격이 발견되었다. 두 해커 그룹은 작년에도 활발하게 활동한 그룹으로, 최근 공격에서는 새로운 악성코드를 사용한 것으로 전해진다. Sandworm 해커 그룹은 SwiftSlicer 라는 이름의 와이퍼를 이용하였으며, Gamaredon 해커 그룹은 GammaLoad 와 GammaSteel 악성코드를 사용하였다. Sandworm Sandworm 해커 그룹은 러시아 연방군 총참모부 정보총국 (GRU) 을 배후로 두고 있으며, 2013년 부터 우크라이나를 대상으로 APT 공격을 수행하였다. 이번 1분기 1월에도 우크라이나의 조직을 대상으로 한 APT 공격이 발견되었다. ESET에 따..

1. 랜섬웨어 피해 사례 2023년 1분기(1월 1일 ~ 3월 31일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 “로얄(Royal)”, “바이스 소사이어티(Vice Society)” 및 “클롭(Clop)” 등의 랜섬웨어로 인한 피해가 다수 발견됐다. 1월에는 호주의 퀸즐랜드 공과대학이 “로얄” 랜섬웨어 공격을 받았고, 2월과 3월에는 미국 로스엔젤레스 교육부 LAUSD와 미국 보안 업체 Rubrik이 각각 “바이스 소사이어티”와 “클롭” 랜섬웨어 공격을 받아 피해가 발생했다. 로얄(Royal) 랜섬웨어 피해 사례 작년 9월에 처음 등장한 로얄(Royal) 랜섬웨어는 주로 미국의 의료 및 중요 인프라를 대상으로 꾸준히 공격해 오고 있다. 또한, 지난 11월에는 처음으로 락빗(LockBit) 랜섬웨어..

최근, 신용카드 정보를 탈취하는 "R3NIN Sniffer" 악성코드가 발견됐다. 보안업체 Cyble에 따르면, 이 악성코드는 JavaScript로 작성됐으며, 러시아의 사이버 범죄 포럼에서 판매되고 있다고 알려졌다. 해당 악성코드에 감염된 웹 서버에서 결제를 진행할 경우, 결제 정보 입력을 요청하는 가짜 창을 띄워 사용자로부터 정보 입력을 유도한다. 이후, 피해자가 입력한 카드 번호와 핸드폰 번호 및 이메일 등의 테이터를 탈취한다고 밝혀졌다. 사진출처 : Cyble 출처 [1] Cyble (2023.02.28) - R3NIN Sniffer Toolkit – An Evolving Threat to E-commerce Consumers https://blog.cyble.com/2023/02/28/r3nin..

최근, 텔레그램과 사이버 범죄 포럼에서 “Stealc”라는 새로운 인포스틸러 악성코드가 판매되는 정황이 발견됐다. 공격자는 유튜브에 크랙 소프트웨어로 위장한 “Stealc” 악성코드의 설치 방법을 설명하는 영상과 다운로드 링크를 업로드해 설치를 유도한다고 알려졌다. 해당 악성코드는, sqlite3.dll 등의 정상 DLL 파일을 다운로드해 사용자 데이터를 수집하는 등의 악성 행위에 사용한다. 최종적으로, 텔레그램 등의 메신저와 웹 브라우저 및 암호화폐 지갑에서 사용자 데이터를 탈취한 뒤, 탐지를 피하기 위해 다운로드한 DLL 파일과 악성코드 원본을 자가 삭제한다. 출처 [1] Sekoia (2023.02.20) - Stealc: a copycat of Vidar and Raccoon infostealer..

최근, 가짜 블루 스크린 창을 띄워 사용자를 속이는 악성코드가 발견됐다. 보안 업체 Cyble은 이 악성코드가 비디오 플레이어 아이콘으로 위장하고 있으며, 성인 사이트로 위장한 악성 페이지에서 유포된다고 알렸다. 해당 악성코드를 실행할 경우, 가짜 블루 스크린 창과 기술 지원 센터로 위장한 전화번호를 띄워 사용자로부터 공격자에게 연락하도록 유도한다고 알려졌다. Cyble은 의심스러운 사이트 접속을 피하고 알 수 없는 사이트에서 파일을 다운로드하지 않을 것을 권고했다. 사진출처 : cyble 출처 [1] Cyble (2023.02.28) - Blue Screen of Death Scams Target Users Visiting Fake Adult Sites https://blog.cyble.com/2023..