잉카인터넷 시큐리티대응센터 블로그

최근 외신에 따르면 “Silver Spallow”로 불리우는 새로운 Mac용 악성코드를 발견했습니다. “Silver Spallow”는 Apple의 새로운 M1 칩용 Native Code를 대상으로 하는 악성코드로, Mac OS를 대상으로 만들어졌습니다. Apple에서 개발한 M1칩이 한국시간 기준 2020년 11월 11일에 공개되었습니다. 해당 M1 칩을 탑재한 제품 군들이 악성코드 제작자들의 표적이 되어 프로토타입의 악성코드들이 등장하고 있습니다. M1 칩의 경우 출시한지 얼마 되지 않은 칩셋으로 보안 연구가 충분히 진행되지 않아 악성코드 제작자 또한 이러한 점을 악용하여 제작 중 인 것으로 보입니다. 외신에 따르면 “Silver Spallow”는 미국, 영국, 캐나다 등 153개국에서 약 29,139..

RevengeRAT은 2016년 6월경 처음 등장한 악성코드로 지속적인 업데이트를 통해 현재까지도 유포되고 있다. “Palo Alto Network”의 “Unit 42” 연구팀은 2018년 12월경 서비스업, 특히, 호텔 예약 문서로 위장한 메일을 통해 고객들에게 RAT을 유포해 신용 카드 정보 및 사용자 정보를 탈취한 캠페인이 있었다고 밝혔다. 해당 캠페인에는 다양한 RAT이 사용되었으며 그 중에는 RevengeRAT도 포함되어 있다. (출처 : https://unit42.paloaltonetworks.com/operation-comando-or-how-to-run-a-cheap-and-effective-credit-card-business) 최근 이러한 캠페인이 다시 등장해 브라질의 호텔 체인 기업 ..

1. 개요 및 분석 정보 1-1. 개요 최근 디스코드에서 제공하는 웹훅을 악용하여 디스코드 사용자의 데이터를 훔치는 “TroubleGrabber” 악성코드가 발견되었다. 디스코드(Discord)는 게임상에서 음성 채팅을 위해 제작된 프로그램으로 약 2억 명 이상의 사용자가 있으며, 자체적으로 웹훅(Webhook) 기능을 제공한다. 웹훅은 서버에서 작업이 발생했을 때 그 정보를 외부에 전달하는 방식을 의미하며, 디스코드에서는 이 기능을 이용하여 원하는 정보를 메시지로 받을 수 있다. 이번에 발견된 "TroubleGrabber"는 디스코드에서 제공하는 웹훅을 악용하여 사용자 PC에서 정보를 탈취하는 데 사용하며, 추가로 특정 버전에서는 디스코드 클라이언트 파일을 수정하여 사용자가 로그인할 때마다 공격자에게 ..

1. 악성코드 통계 악성코드 Top20 2020년10월(10월 1일 ~ 10월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Worm(웜) 유형이며 총 18,979 건이 탐지되었다. 악성코드 유형 비율 10월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 73%로 가장 높은 비중을 차지하였고, Exploit(바이러스)와 Worm(웜)이 각각 22%와 2%, Backdoor(백도어)와 Virus(바이러스)가 각각 2%, 1%씩으로 그 뒤를 따랐다. 악성코드 진단 수 전월 비교 10월에는 악성코드 유형별로 9..

지난 해에 등장한 ‘WSH RAT’이 최근 다시 모습이 나타나고 있다. 해당 악성코드는 PDF Reader Installer 을 가장한 파일로, 자바 스크립트 파일을 드롭하여 악성 동작을 수행한다. 악성 동작이 수행될 때, 정상 Installer 파일도 함께 실행하여 사용자가 눈치채지 못하게 하기에 큰 주의가 필요하다. 해당 악성코드가 실행되면, 정상 PDF Reader Installer을 드롭하고 실행한다. 정상 Install 파일의 화면을 띄우고, 악성 자바 스크립트 파일을 드롭 및 실행한다. 해당 스크립트 파일은 난독화 되어있어 일반 사용자는 파일 내용을 확인하기 힘들도록 한다. 아래의 빨간색 상자는 인코딩된 메인 코드이다. 인코딩된 메인 코드를 base64로 디코딩하면 다음과 같은 스크립트를 확인..

지난 2019년에 최초로 등장한 ‘Matiex Keylogger’가 최근 다시 모습을 드러내고 있다. 해당 악성코드는 유료 악성코드로서 온라인에서 판매 중이며, 사용자의 개인정보를 탈취하는 등 다양한 악성 동작을 보유하고 있어 주의가 필요하다. 이번 보고서에서는 ‘Matiex Keylogger’ 의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 사용 가능한 기간에 따라 가격대는 다양하며, 누구나 쉽게 접할 수 있도록 설계되어있다. ‘Matiex Keylogger’가 실행되면 사용자의 PC 정보를 획득한 뒤, 텍스트 파일로 생성한다. 위와 같이 생성된 파일의 내용을 C2 서버에 전송한다. 사용자 PC의 정보를 탈취한 뒤, 다양한 사용자 계정 정보를 탈취한다. Outlook 을 사용중인 사용자라면 아래의..

지난 8월 중순, Anubis Stealer가 등장하였다. 해당 악성코드는 사용자의 PC에 저장된 정보를 탈취할 뿐 아니라, C&C 서버와 연결하여 탈취한 정보를 송신하고, 파일을 다운로드 하는 등의 동작을 하여 2차 피해가 발생할 수 있기에 주의가 필요하다. 이번 보고서에서는 Anubis Stealer의 동작에 대해 알아보고자 한다. Anubis Stealer는 사용자 PC에 대한 정보를 비롯한 브라우저 정보 등을 탈취하여 ‘AX7574VD.tmp’ 디렉토리에 저장한다. 악성코드가 시작되면 가장 먼저, 현재 웹캠과 모니터 화면을 캡처한다. 하기의 이미지, 표와 같이 사용자 PC에 저장되어 있는 다양한 정보를 탈취한다. FileZilla 브라우저에서 사용자 비밀번호와 사용자가 사용하는 사이트의 정보를 탈..

1. 개요 최근 러시아 사이버 포럼에서 판매되고 있는 “PurpleWave Stealer”가 발견되었다. 판매자가 게시한 내용에 따르면 해당 악성코드는 C++로 작성되었고 평생업데이트 버전은 5000 루블, 두 번의 업데이트 지원 버전은 4000 루블에 판매하고 있다. 또한 탈취한 정보를 확인할 수 있는 패널을 제공하고 있으며, 사용자의 시스템에서 실행 시 민감한 정보가 탈취될 수 있어 주의가 필요하다. 이번 보고서에서는 “PurpleWave Stealer”에 대해 알아보고자 한다. 2. 분석 정보 2-1. C&C 연결 “PurpleWave Stealer” 실행 시, C&C 서버에 연결한다. 이때 공격자로부터 JSON 형식으로 전달되는 패킷 정보에 따라 [표 1]과 같이 가짜 알림 창, 파일 수집 경로 ..

1. 악성코드 통계 악성코드 Top20 2020년7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 4,061 건이 탐지되었다. 악성코드 유형 비율 7월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 75%로 가장 높은 비중을 차지하였고, Exploit(바이러스)와 Worm(웜)이 각각 15%와 4%, Backdoor(백도어)과 Virus(바이러스)가 각각 3%, 1%씩으로 그 뒤를 따랐다. 악성코드 진단 수 전월 비교 7월에는 악성코드 유형별로 6월과..

Conti Ransomware 감염 주의 작년 12월에 등장한 “Conti” 랜섬웨어는 최근 공격 사례가 증가하고 있으며, 실행 시 전달되는 인자에 따라 암호화 대상이 변경된다. 또한 다양한 서비스와 프로세스를 종료하고 사용자의 파일을 암호화 하고 있어 주의가 필요하다. 이번 보고서에서는 “Conti” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Conti” 랜섬웨어 실행 시, 볼륨 쉐도우 복사본을 삭제하여 복구를 불가능하게 만들고, 데이터베이스, 보안 및 백업과 관련된 146개의 서비스를 중지시킨다. 또한 현재 실행중인 프로세스 목록을 검색한 후, “SQL” 문자열이 포함되어 있는 프로세스를 종료시킨다. 이후 암호화 대상을 결정하기 위해 실행 시 전달되는 인자를 확인하며, 인자에 따라 [표 1]와 같이..