악성코드 276

인포스틸러로 돌아온 Aurora 악성코드

지난 4월, 해킹 포럼을 통해 봇넷 악성코드로 판매되던 "Aurora"가 인포스틸러 악성코드로 돌아왔다. 보안 업체 Sekoia에 따르면, 이 악성코드는 Go 언어로 작성됐으며, 암호화폐 지갑 등의 소프트웨어로 위장해 유포된다고 알려졌다. 해당 악성코드를 실행할 경우, 암호화폐 지갑 데이터와 브라우저 쿠키 및 화면 스크린샷 등의 정보를 수집해 공격자의 C&C 서버에 전송한다. 또한, 추가 악성코드를 다운로드하고 실행할 수 있는 다운로더 기능이 포함됐다고 밝혀졌다. 사진출처 : Sekoia 출처 [1] Sekoia (2022.11.21) – Aurora: a rising stealer flying under the radar https://blog.sekoia.io/aurora-a-rising-steale..

암호화폐 플랫폼의 고객센터를 사칭하는 피싱 공격

최근, 암호화폐 플랫폼의 고객센터를 사칭해 다단계 인증을 우회하고 암호화폐를 탈취하는 피싱 캠페인이 발견됐다. 보안 업체 PIXM에 따르면, 공격자가 암호화폐 플랫폼을 사칭한 피싱 사이트에서 사용자의 로그인 오류를 발생시킨 후, 고객 지원을 가장한 채팅을 통해 사용자로부터 계정 정보 입력을 유도하는 것으로 알려졌다. 해당 계정 정보를 통한 로그인에 실패할 경우, 공격자는 사용자에게 원격 제어 앱 'TeamViewer'의 설치를 요구하며 해당 앱으로 인증 정보를 탈취해 계정 로그인을 시도한다. 로그인에 성공할 경우, 실시간 채팅으로 사용자의 주의를 끌며 사용자 지갑의 암호화폐를 모두 탈취한다. 사진출처 : PIXM 출처 [1] PIXM (2022.11.21) - Cybercrime Group Expands..

인도네시아 BRI 은행의 고객을 대상으로 하는 피싱 캠페인

최근, 인도네시아 은행인 BRI(Bank Rakyat Indonesia) 고객을 대상으로 하는 피싱 캠페인이 발견됐다. 보안 업체 Cyble에 따르면, 공격자가 BRI 은행으로 위장한 피싱 사이트와 악성 앱을 통해 피해자의 은행 계정 및 OTP를 탈취하는 것으로 알려졌다. 사용자가 피싱 사이트에 접속해 로그인할 경우 입력한 계정 정보를 탈취하고, 추가적으로 OTP 정보를 탈취하기 위한 “SMSeye” 안드로이드 악성코드의 다운로드를 유도한다. 해당 악성 앱은 설치 후 SMS 접근 권한을 요구하고 사용자의 의심을 피하기 위해 실제 BRI 은행 사이트를 띄운다. 이후, 권한을 획득한 악성 앱은 사용자의 SMS 메시지로부터 OTP 정보를 탈취해 공격자의 텔레그램 봇으로 전송한다. Cyble은 Play 스토어 ..

PNG 파일을 통해 유포되는 DropBoxControl 인포스틸러

최근, PNG 파일을 통해 유포되는 "DropBoxControl" 인포스틸러가 발견됐다. 보안 업체 Avast에 따르면, 해커 그룹 Worok이 PNG 파일에 LSB 인코딩을 사용해 "DropBoxControl" 악성코드를 삽입하고 유포한 것으로 알려졌다. 악성 PNG 파일이 실행될 경우, 공격에 필요한 파일들을 드롭한 후 “PNGLoader”를 통해 이미지 파일에 삽입된 데이터를 추출하고 실행 파일 형태로 변환한다. 생성된 실행 파일은 “DropBoxControl” 악성코드로, DropBox에서 제공하는 파일 호스팅 서비스를 악용해 파일 유출 등의 악성 행위를 한다. 사진출처 : Avast 출처 [1] Avast (2022.11.10) - PNG Steganography Hides Backdoor ht..

Outlook과 Thunderbird 계정을 탈취하는 Strela Stealer 악성코드

최근, Outlook과 Thunderbird 계정을 탈취하는 "Strela Stealer" 악성코드가 발견됐다. 보안 업체 DCSO CyTec은 이 악성코드가 HTML 확장자를 가진 DLL 파일로 내부에 HTML 코드를 포함하고 있으며, 웹 브 라우저와 rundll32.exe를 통해 각각의 코드를 실행한다고 알렸다. 해당 악성코드는 주로 다양한 콘텐츠가 포함된 ISO 파일 을 통해 유포되며, ISO 파일 내부의 악성 LNK 파일을 통해 실행된다고 알려졌다. 악성 LNK 파일을 실행할 경우, 웹 브라우저를 통해 HTML 코드를 실행시켜 의심을 피하기 위한 웹 문서를 띄운다. 이후, "rundll32.exe"로 "StrelaStealer"를 실행해 Outlook과 Thunderbird에서 로그인 데이터를 수..

스팸 메일을 통해 유포되는 Emotet 악성코드 변종

최근, 스팸 메일을 통해 유포되는 "Emotet" 악성코드 변종이 발견됐다. 보안 업체 Cyble에 따르면 해당 악성코드는 스팸 메일에 첨부된 악성 파일을 통해 유포되었으며, 첨부된 악성 문서 파일을 실행할 경우 "Emotet" 악성코드를 다운로드해 백그라운드에서 실행한다. 또한 해당 악성코드는 C&C 서버로부터 추가 명령을 받아 실행하거나 "IcedID", "Bumblebee"와 같은 추가 악성코드를 설치한다. Cyble은 해당 악성코드의 주요 전파 경로인 스팸 메일에 대해 언급하며, 이메일에 포함된 신뢰할 수 없는 링크 또는 첨부 파일 등의 실행에 주의할 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.11.09) - Emotet Returns Targeting Users W..

2022년 10월 악성코드 동향 보고서

1. 악성코드 통계 악성코드 Top10 2022년 10월(10월 1일 ~ 10월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 9,727건이 탐지되었다. 악성코드 진단 수 전월 비교 10월에는 악성코드 유형별로 9월과 비교하였을 때 Trojan, Virus, Worm, Suspicious 및 Backdoor의 진단 수가 증가했다. 주 단위 악성코드 진단 현황 10월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 9월에 비해 전체적으로 증가한 추이를 보이고 있다. 2. 악성코드 동향 202..

소스코드가 공개된 EnemyBot 악성코드

과거 “Mirai”, “Qbot” 과 같은 봇넷 악성코드의 소스코드가 공개된 바 있다. 이러한 이유로 해당 악성코드들의 소스코드를 사용한 변종 악성코드들이 현재까지 지속적으로 발견되고 있다. 올해 상반기에도 “EnemyBot” 라는 악성코드가 발견 되었는데, 살펴 본 결과 해당 악성코드 또한 기존 소스코드를 사용한 것으로 확인되고 있다. 그래서 “EnemyBot” 을 비롯한 변종 악성코드들은 “Mirai”, “Qbot” 악성코드와 많은 공통점을 가지며, 실행 시 취약한 기기를 감염시켜 DDoS 공격을 수행한다. 공개된 소스코드 “EnemyBot” 악성코드는 소스코드와 함께 발견 되었는데, 게시자는 스스로를 “Kek Security” 소속의 악성코드 개발자라고 밝히고 있다. “Kek Security” 는 ..

Windows 업데이트로 위장한 PowerShell 백도어

최근, 보안 업체 SafeBreach가 Windows 업데이트로 위장한 PowerShell 백도어를 발견했다. 해당 업체에 따르면, 공격자가 LinkedIn 구직 안내를 가장한 피싱 메일을 통해 PowerShell 스크립트를 실행하는 악성 워드 문서를 유포하는 것으로 알려졌다. 해당 문서 파일은 VBS 및 PowerShell 스크립트 파일을 드롭하고 Windows 업데이트로 위장한 예약 작업을 등록해 VBS 파일을 실행한다. 최종적으로 PowerShell 스크립트가 실행되면 피해자 PC의 데이터를 탈취해 공격자 서버로 전송한다. SafeBreach는 해당 악성코드 발견 당시, 공격에 사용된 PowerShell 스크립트가 국내외 백신 프로그램에서 탐지되지 않았다고 밝히며 주의를 권고했다. 사진출처 : Sa..

2022년 9월 악성코드 동향 보고서

1. 악성코드 통계 악성코드 Top10 2022년 9월(9월 1일 ~ 9월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 8,215건이 탐지되었다. 악성코드 진단 수 전월 비교 9월에는 악성코드 유형별로 8월과 비교하였을 때 Trojan과 Backdoor의 진단 수가 증가했고, Virus, Worm 및 Suspicious의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 9월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 8월에 비해 진단 수가 증가했지만, 셋째 주에는 감..