잉카인터넷 시큐리티대응센터 블로그

최근, 마이크로소프트는 HTML Smuggling 기법을 활용해 페이로드를 배포하는 피싱 공격이 급증하고 있다고 언급했다. 해당 공격은 메시지에 첨부된 링크 또는 HTML 파일을 실행해 JavaScript 코드를 동작 시키며 뱅킹형 악성코드나 RAT등 추가적인 악성코드를 다운 및 실행한다. 마이크로소프트는 해당 공격을 효과적으로 방어하기 위해 스크립트 파일의 자동 실행을 방지하거나 오피스 365 디펜더 사용을 권고했다. 출처 [1] Microsoft (2021-11-15) - HTML smuggling surges: Highly evasive loader technique increasingly used in banking malware, targeted attacks https://www.microso..

우크라이나 보안국(SSU)는 모바일 기기 원격 해킹을 전문적으로 수행하는 국제 해킹 그룹 "피닉스"의 구성원 5명을 체포했다. 해커 그룹 "피닉스"의 목적은 사용자의 계정에 원격으로 액세스한 후 전자 결제 및 은행 계좌를 탈취하거나 사용자 정보를 판매하여 수익을 창출하는 것이다. 해당 그룹은 이번 공격을 위해 모바일 로그인 포털로 위장한 피싱 사이트를 만들었으며 2년동안 수백명의 사용자 계정을 탈취한 것으로 밝혀졌다. 사진 출처 : SSU 출처 [1] SSU (2021.11.30) - SSU exposes transnational group that hacked phones, stole passwords and sold confidential information https://ssu.gov.ua/en/..

최근 코로나 백신 제조업체를 공격하는 Tardigrade 악성코드가 발견됐다. 2021년 4월에 첫번째 공격이 탐지되었으며 그 후 6개월 뒤인 2021년 10월경 두번째 시설의 피해가 나타났다. 피해 업체 두 곳 모두 코로나 백신을 제조하는 업체이며 이번 공격에 대해 분석 중이라고 밝혔다. Tardigrade 악성코드는 실행 시 업체의 중요한 정보를 탈취하고, 공격자의 명령을 통해 제어할 수 있다. 이로 인해 감염된 PC에 랜섬웨어를 다운로드한 후 실행하여 최근 중요해진 코로나 백신 생산을 방해하고, 금전 탈취를 시도한다. 출처 [1] Wired (2021.11.30) - Devious ‘Tardigrade’ Malware Hits Biomanufacturing Facilities https://www...

국가의 지원을 받는 해킹 그룹 APT37은 Windows 및 Android 기기를 감염시킬 수 있는 Chinotto 악성코드를 유포하기 시작했다. 해당 악성코드는 피싱 메일이나 스미싱 공격을 통해 유포되고 있으며 현재 한국의 언론인, 탈북자, 인권 활동가를 표적으로 삼고있다. 악성코드가 실행되면 사용자의 PC에서 정보를 탈취하고, 공격자의 C&C 서버에 연결해 전송한다. 또한, 공격자의 서버에서 명령을 받아 감염된 PC를 제어하거나 추가 페이로드를 다운로드할 수 있다. 사진 출처: Kaspersky 출처 [1] Kaspersky (2021.11.30) - ScarCruft surveilling North Korean defectors and human rights activists https://secu..

2021년 11월경, 새롭게 등장한 Midas 랜섬웨어의 데이터 유출 사이트가 등장했다. 해당 사이트에 접속하면 "규칙", "랜섬웨어 정보", "Midas 랜섬웨어 그룹에 대한 정보"가 작성돼 있다. 게시된 글에 따르면 자신들은 어떠한 정부단체에도 속해 있지 않으며 정치적 목표를 추구하지 않고, 단지 이윤만을 위해 데이터를 탈취한다고 한다. 사이트에 게시된 데이터는 현재까지 총 26건으로 다양한 국가와 산업군의 데이터를 탈취한 것으로 보인다. [사진 출처: 다크웹]

잉카인터넷 대응팀은 2021년 11월 19일부터 2021년 11월 25일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "BoomBye" 외 2건, 변종 랜섬웨어는 "Thanos" 외 3건이 발견됐다. 2021년 11월 19일 BoomBye 랜섬웨어 파일명에 ".boombye" 확장자를 추가하고 "_read_me_bro.txt"라는 랜섬노트를 생성하는 "boombye" 랜섬웨어가 발견됐다. 2021년 11월 21일 FileDecrypt 랜섬웨어 파일명에 ".file.decrypt" 확장자를 추가하고 "#File.decrypt#.txt"라는 랜섬노트를 생성하는 "FileDecrypt" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다. 2021년 11월 24일 ..

지난 10월과 11월에 걸쳐 TikTok 사용자를 대상으로 하는 피싱 캠페인이 발견되었다. 공격자는 TikTok 관리자를 사칭하여 TikTok계정과 관련한 내용의 피싱 이메일을 유포하였다. 피싱 메일은 TikTok계정이 삭제될 예정이라는 내용으로 120명 이상의 개인 사용자와 기업에게 배포되었다. 메일에는 WhatsApp 채팅 링크가 첨부되어 있으며, 채팅을 통해 이메일 주소, 전화번호 및 TikTok 계정 정보를 요구한다. 사진 출처: Abnormal Security 출처 [1] Abnormal Security (2021.11.19) - New Tiktok Phishing Campaign Targets Influencer Accounts https://abnormalsecurity.com/blog/ti..

최근 안드로이드 단말기를 대상으로 하는 PhoneSpy 악성코드가 다량 발견되었다. 해당 캠페인은 한국어 사용자를 표적으로 공격이 이루어졌으며, 개인 및 기업 등 1,000명 이상에게 유포된 것으로 알려졌다. PhoneSpy는 요가 교육 앱을 비롯하여 다양한 라이프 스타일 앱을 위장하였으며, 단말기 정보 및 메시지, 사진 등의 개인 정보를 탈취한다. 그리고 C2 서버와 연결되면 원격제어 기능도 가능한 것으로 알려졌다. 해당 앱은 안드로이드 앱 스토어에서 발견되지 않아, 스미싱 또는 웹 트래픽 리디렉션 등의 배포 방식을 통해 유포된 것으로 추정된다. 출처 [1] Zimperium (2021.11.11) - PhoneSpy: The App-Based Cyberattack Snooping South Korea..

최근, 미국의 VoIP (Voice over Internet Protocol) 통신 업체 Telnyx가 DDoS 공격을 받았다. 이 공격은 11월 9일 11시경 발생했으며 해당 공격으로 인해 업체가 제공하는 VoIP 서비스가 실패하거나 지연됐다. 피해 업체 측은 공격을 완화하기 위해 분산 도메인 제공 업체 Cloudflare 의 Magic Transit로 네트워크를 이전했으며 사건을 조사 중이라고 밝혔다. 사진출처 : Telnyx 출처 [1] Telnyx (2021.11.11) – Status Telnyx https://status.telnyx.com/

최근, 전자제품 소매 업체 MediaMarkt이 Hive 랜섬웨어의 공격을 받았다. 해외 외신은 이번 공격으로 소매 업체 이용 고객들이 신용 카드 결재 및 영수증 인쇄를 할 수 없는 등의 불편을 겪고 있으며 Hive 랜섬웨어 그룹이 피해 기업에게 2억 4천만 달러를 요구하고 있다고 언급했다. 피해 업체측은 랜섬웨어의 공격 확산을 막기 위해 IT 시스템을 종료했으며 사고 경위를 조사 중이라고 밝혔다. 출처 [1] Bleepingcomputer (2021.11.09) - MediaMarkt hit by Hive ransomware, initial $240 million ransom https://www.bleepingcomputer.com/news/security/mediamarkt-hit-by-hive-r..