잉카인터넷 시큐리티대응센터 블로그

공격자가 정상적인 웹사이트, 프로그램으로 위장하며 사용자를 속이고, 악성 파일을 실행하도록 유도하는 일은 늘 있었다. 최근에는 한발 더 나아가 구글 검색 결과 상단에 노출되는 광고에 정상 웹사이트로 위장한 피싱 사이트를 게시하는 등, 대담한 모습을 보이고 있다. 이번에 발견된 Statc Stealer 도 이러한 방식으로 구글 광고를 통해 사용자를 끌어들인 후 악성 파일의 다운로드, 실행을 유도하고 있다. 피싱 사이트로부터 다운로드받은 Statc 드랍퍼는 유효하지 않은 Dropbox 社 인증서로 Signing 된 채, Avanquest 社에서 개발한 Expert PDF 라는 이름의 정상 프로그램으로 위장하여 유포되었다. 드랍퍼가 실행되면 %LOCALAPPDATA%\Temp 경로에 정상 프로그램으로 위장하기..

1. 악성코드 통계 악성코드 진단 비율 2023년 7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 진단명 별로 비교하였을 때 “Agent”와 “KMSAuto”가 각각 30%로 가장 높은 비중을 차지했다. 악성코드 유형별 진단 수 전월 비교 7월에는 악성코드 유형별로 6월과 비교하였을 때 Trojan, Ransom, Backdoor, Suspicious 및 Worm의 진단 수가 증가했다. 주 단위 악성코드 진단 현황 7월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 첫째 주는 6월에 비해 진단 수가 감소했지만, 둘째 주를 기점으로 증가로 바뀌는 추이를 보였다. 2. 악성코드 동향 2023년 7월(7월 1일 ~ 7월 3..

1. 악성코드 통계 악성코드 Top10 2023년 6월(6월 1일 ~ 6월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 216건이 탐지되었다. 악성코드 진단 수 전월 비교 6월에는 악성코드 유형별로 5월과 비교하였을 때 Trojan, Ransom, Worm, Backdoor 및 Suspicious의 진단 수가 증가했다. 주 단위 악성코드 진단 현황 6월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 셋째 주를 기점으로 감소에서 증가로 바뀌는 추이를 보였다. 2. 악성코드 동향 20..

1. 악성코드 통계 악성코드 Top10 2023년 5월(5월 1일 ~ 5월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 159건이 탐지되었다. 악성코드 진단 수 전월 비교 5월에는 악성코드 유형별로 4월과 비교하였을 때 Banker와 Worm의 진단 수가 증가했고, Trojan, Backdoor 및 Ransom의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 5월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 셋째 주를 기점으로 감소에서 증가로 바뀌는 추이를 보였다. 2. 악성..

QakBot 이라고도 알려진 Qbot 은 이메일과 같은 전통적인 전파 수단뿐만 아니라, OneNote, CHM 과 같이 최신 유행하는 전파 수단을 적극적으로 활용하는 모습을 보여왔다. 최근에는 한발 더 나아가 DLL 하이재킹 기술을 통해 정상 실행 파일에 악성 DLL 을 로딩하는 공격 방식이 사용되고 있다. DLL 하이재킹 공격은 Windows OS 의 DLL 로딩 우선 순위를 이용하여, 정상 DLL 대신 동일한 이름의 악성 DLL 을 로딩하는 공격법이다. 최근 발견된 Qbot 은 정상 Wordpad 실행 파일과 악성 DLL 파일 edputil.dll 을 ZIP 으로 압축하여 유포되고 있다. 원래대로라면 Wordpad 는 시스템 폴더 내의 정상 edputil.dll 파일을 로딩해야 하나, DLL 로딩 순..

최근, Google Ads를 통해 유포되는 "LobShot" 악성코드가 발견됐다. Elastic Security Labs에 따르면, 공격자가 원격 데스크톱 프로그램인 AnyDesk로 위장한 가짜 사이트를 제작하고 Google Ads를 통해 사용자의 접속을 유도한 것으로 알려졌다. 해당 악성코드를 다운로드 후 실행하면, 'C:\ProgramData' 경로에 자가 복제본을 생성해 새로운 프로세스를 통해 실행되고 지속성을 위한 레지스트리 키를 생성한다. 이후, Microsoft Defender의 실행 여부를 확인한 뒤 피해자 PC에서 호스트 정보와 암호화폐 확장 프로그램 등의 정보를 탈취한다. 또한, "LobShot" 악성코드는 hVNC 모듈이 포함돼 있어 사용자 몰래 원격으로 PC를 제어할 수 있는 것으로 ..

1. 악성코드 통계 악성코드 Top10 2023년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 847건이 탐지되었다. 악성코드 진단 수 전월 비교 4월에는 악성코드 유형별로 3월과 비교하였을 때 Trojan, Suspicious 및 Backdoor의 진단 수가 증가했고, Virus와 Worm의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 4월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 3월에 비해 진단 수가 증가했지만, 셋째 주에는 ..

최근, OneNote 문서를 악용해 악성코드를 유포하는 사례가 잇따라 발견되고 있다. 공격자들은 OneNote 문서에 악의적인 의도를 담은 파일을 첨부한 후, 문서 내부에 생성된 첨부 파일 아이콘 위에 사용자의 클릭을 유도하는 디자인 요소를 덧씌운다. 이러한 디자인 요소에는 보통 “View” 또는 “Open” 등의 버튼을 클릭하도록 유도하는 내용을 포함한다. 이후, 사용자가 첨부 파일 아이콘이 숨겨진 부분을 클릭하면 공격자의 의도대로 첨부된 파일이 실행돼 악성 행위를 수행할 수 있다. 1. 분석 OneNote 문서에 HTA 파일 또는 CMD 파일을 첨부해 악의적인 행위를 하는 두 가지 사례에 대해 설명한다. 1.1. wscript를 사용하는 경우 (HTA) OneNote 문서에 첨부한 HTA 파일은 [그..

최근 안티 바이러스 제품의 탐지를 회피할 목적으로 비주류 프로그램 언어로 작성된 악성 파일이 증가하는 추세이다. Aurora 로 알려진 인포스틸러도 이러한 부류 중 하나로, 다중 플랫폼 빌드를 지원하는 Go 언어로 작성되어 윈도우, Linux OS 를 대상으로 작성되어 퍼져나가고 있다. 윈도우 OS 를 대상으로 작성된 Aurora 가 실행되면 wmic 기능을 이용하여 시스템의 기본 정보를 수집하고, 현재 화면의 스크린샷을 찍어 저장한다. 또한 시스템을 탐색하며 브라우저, 가상화폐 지갑, 게임, 등과 관련된 애플리케이션의 설치 여부를 확인한 후, 각 애플리케이션 데이터에 저장된 개인 정보를 수집한다. 수집된 시스템 정보는 json 포맷으로 변환되어 공격자 서버로 전송된다. 정보 탈취 후에는 추가 악성 행위..

새로 등장한 “DarkCloud” 악성코드가 사이버 범죄 포럼에서 판매되는 정황이 포착됐다. 이 악성코드는 공격자가 주문 배송 내용으로 위장한 피싱 메일의 첨부 파일을 전송해 유포했다고 알려졌다. 첨부 파일에는 드롭퍼가 압축돼 있으며, 드롭퍼 내부에 포함된 “DarkCloud”의 소스코드를 로드하고 .NET Framework를 통해 컴파일한 뒤 실행한다. 이후, 웹 브라우저와 이메일 프로그램에서 피해자의 계정 정보를 수집하고 Chromium 기반 브라우저에서 사용자 계정 및 신용카드와 관련된 정보를 수집해 공격자에게 전송한다. 사진출처 : Cyble 출처 [1] Cyble (2023.02.20) - Decoding the Inner Workings of DarkCloud Stealer https://bl..