잉카인터넷 시큐리티대응센터 블로그

최근 새롭게 등장한 Rook 랜섬웨어의 데이터 유출 사이트가 등장했다. 해당 사이트에 접속하면 "우리는 새로운 그룹이며 매우 강한 힘을 가졌다. 따라서 언론이 우리를 공개했으면 좋겠다."라는 메시지가 작성돼 있다. 사이트에 게시된 데이터는 현재까지 총 6건으로 한 건은 러시아의 한 기업에서 탈취한 데이터이며 나머지 데이터는 업로드 대기중이다. [사진 출처: 다크웹]

최근 보안 업체 Cado Security의 연구원들이 동일한 C&C 서버를 사용하는 악성코드를 발견했다. 이들에 따르면 해당 악성코드 중 Abcbot 봇넷은 리눅스 시스템을 대상으로 디도스 공격을 하기 위해 사용하고, Xanthe 봇넷은 암호화폐 채굴을 위한 악성코드로 알려졌다. Cado Security의 연구원은 두 봇넷의 코드가 유사하며, 사용하는 C&C 서버가 같기 때문에 동일 세력일 가능성이 높다고 전했다. 또한, 외신에 따르면 공격자는 공격 목표를 암호화폐 채굴에서 DDoS 공격으로 전환하고 있는 것으로 추정한다고 말했다. 사진 출처 : SecurityAffairs 출처 [1] SecurityAffairs (2022.01.13) - Abcbot and Xanthe botnets have the ..

최근 보안 업체 SonicWall의 메일 보안 관련 제품에서 문제가 발생해 사용에 영향을 미쳤다. SonicWall은 해당 제품에서 Y2K22로 불리는 오류가 발생해 사용자들이 스팸메일함에 접근할 수 없었고, 메시지 로그를 통한 이메일 추적이 불가능하다고 알렸다. 또한, 외신에 따르면 Y2K22 오류는 Microsoft Exchange 서버에서 2022년 날짜의 최솟값이 변수에 저장할 수 있는 최댓값보다 큰 값을 사용하기 때문에 발생했다고 알려졌다. 문제를 해결하기 위해 해당 업체는 자사 제품에 대한 업데이트를 배포한 후 고객들에게 오류를 패치한 버전을 사용할 것 권고했다. 출처 [1] SecurityAffairs (2022.01.13) - Email Security Junk Box & Message L..

지난 12월 등장하여 전세계에 위협을 준 Log4j 취약점이 최근, 새로운 모듈식 악성코드 유포에 악용되었다. 이는 이란의 해커그룹인 Charming Kitten 에 의해 유포되었으며, 해당 취약점이 공개된 지 4일만에 공격을 시도한 것으로 전해진다. 해당 악성코드는 "CharmPower"라는 이름으로 불리우며, Powershell 모듈식 백도어이다. Log4j 취약점인 CVE-2021-44228 취약점을 악용하여 페이로드를 파워쉘로 실행하고 최종적으로 CharmPower 모듈을 사용자 PC에 설치하여 악성동작을 수행한다. 사진 출처: Check Point 출처 [1] Check Point (2022.01.12) - APT35 exploits Log4j vulnerability to distribute ..

잉카인터넷 대응팀은 2021년 12월 31일부터 2022년 1월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "PyCryptor" 외 3건, 변종 랜섬웨어는 "Conti" 외 5건이 발견됐다. 2021년 12월 31일 HelloXD 랜섬웨어 파일명에 ".hello" 확장자를 추가하고 "Hello.txt"라는 랜섬노트를 생성하는 "HelloXD" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다. PyCryptor 랜섬웨어 파일명에 ".CRYPT" 확장자를 추가하고 "README.txt"와 [그림 1]의 랜섬노트를 실행하는 "PyCryptor" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 공격자의 C&C 서버에 연결을 시도한다. Conti 랜섬웨어 파일명..

대만, 일본 및 홍콩의 기업을 공격하여 기술 및 데이터를 탈취하는 Flagpro 악성코드가 등장했다. 이번 캠페인은 1년 전부터 일본 기업을 주요 대상으로 공격하기 시작했으며 일본의 국방, 미디어 및 통신 분야등 다양한 직종의 기업을 타겟으로 삼았다. 해당 악성코드는 중국 정부가 지원하는 것으로 추정되는 BlackTech APT 그룹이 제작한 악성코드로 추정되며 이번 캠페인에서는 신뢰할 수 있는 영업 파트너의 메시지로 위장하여 대상 기업에 피싱 메일을 보내는 것으로 알려졌다. “Flagpro” 악성코드는 감염된 기업 시스템의 정보를 탈취하고, 공격자의 C&C 서버로 전송한다. 또한, 명령을 공격자 서버에서 받아와 시스템을 원격으로 제어하거나 악성코드를 추가적으로 다운로드할 수 있다. 출처 [1] Blee..

최근 해외 결제로 위장한 피싱 문자가 소비자에게 전송되고 있다. 문자에는 해외 결제 문자나 결제 시 사용되는 인증 번호 문자로 위장하여 전송되며 문자를 수신한 사용자가 결제 사실이 없어 해당 번호로 전화할 경우 개인정보 등이 탈취될 수 있기에 주의가 필요하다. 만약, 피싱 문자메시지 수신 또는 전화번호로 이미 연락한 경우에는 경찰청(국번없이 112)이나 한국인터넷진흥원에서 운영하는 불법스팸대응센터(국번없이 118)에 신고 및 상담할 것을 권고한다.

최근 Amazon의 AWS가 중단되면서, 해당 서비스를 이용하던 Twitch, Zoom, Hulu 등 여러 기업의 서비스 또한 중단되는 사건이 발생하였다. 이는 2020년부터 종종 발생하였으며, 지난 7일에 이어 일주일 만에 다시 발생한 것으로 알려진다. 이 사건으로 Amazon 배송 경로 및 일정을 확인하는데 문제가 발생하였고, Netflix, Amazon Prime과 같은 스트리밍 서비스에도 영향을 끼친 것으로 밝혀졌다. 사진 출처: BleepingComputer 출처 [1] Bleepingcomputer (2021.12.17) - AWS down again, outage impacts Twitch, Zoom, PSN, Hulu, others https://www.bleepingcomputer.com..

Apache의 Log4j 제로데이 취약점인 CVE-2021-44228의 보안 업데이트가 배포됐지만 12월 14일, 두번째 취약점이 발견됐다. 이에 대해 업데이트를 발표하였다. Apache는 첫번째 취약점을 보완한 버전인 Apache Log4j v2.15.0이 특정한 구성 요소에서 불완전한 모습을 보인다고 알렸으며 이완 관련된 두번째 취약점에 대해 CVE-2021-45046으로 지정했다. 해당 취약점은 JNDI 조회 패턴에서 악의적인 입력 데이터를 조작하여 서비스 거부(DOS) 공격을 일으킬 수 있다. Apache는 CVE-2021-45046 취약점을 해결하기 위해 Log4j 2.16.0 버전을 출시하며, 사용자에게 최신 릴리스로 업데이트할 것을 권장한다. 사진 출처: Apache 홈페이지 출처 [1] L..

미국의 인터넷 및 TV 케이블 제공업체인 Cox Communications에서 데이터 유출 사실을 공개했다. Cox Communications는 고객의 이름, 주소, 전화번호, cox 계좌번호, 핀 코드 등의 개인 정보가 탈취되었다고 전했다. 해당 공격은 사회공학 기법을 사용하여 Cox 내부 네트워크에 접근한 다음 고객 정보를 탈취한 것으로 추정되며, 해당 유출의 피해 고객의 수와 정확한 사건이 발생한 원인에 대해서는 알려진 바가 없는 것으로 전해진다. 사진 출처: BleepingComputer 출처 [1] Bleepingcomputer (2021.12.15) - Cox discloses data breach after hacker impersonates support agent https://www.b..