잉카인터넷 시큐리티대응센터 블로그

QakBot 이라고도 알려진 Qbot 은 이메일과 같은 전통적인 전파 수단뿐만 아니라, OneNote, CHM 과 같이 최신 유행하는 전파 수단을 적극적으로 활용하는 모습을 보여왔다. 최근에는 한발 더 나아가 DLL 하이재킹 기술을 통해 정상 실행 파일에 악성 DLL 을 로딩하는 공격 방식이 사용되고 있다. DLL 하이재킹 공격은 Windows OS 의 DLL 로딩 우선 순위를 이용하여, 정상 DLL 대신 동일한 이름의 악성 DLL 을 로딩하는 공격법이다. 최근 발견된 Qbot 은 정상 Wordpad 실행 파일과 악성 DLL 파일 edputil.dll 을 ZIP 으로 압축하여 유포되고 있다. 원래대로라면 Wordpad 는 시스템 폴더 내의 정상 edputil.dll 파일을 로딩해야 하나, DLL 로딩 순..

최근, Google Ads를 통해 유포되는 "LobShot" 악성코드가 발견됐다. Elastic Security Labs에 따르면, 공격자가 원격 데스크톱 프로그램인 AnyDesk로 위장한 가짜 사이트를 제작하고 Google Ads를 통해 사용자의 접속을 유도한 것으로 알려졌다. 해당 악성코드를 다운로드 후 실행하면, 'C:\ProgramData' 경로에 자가 복제본을 생성해 새로운 프로세스를 통해 실행되고 지속성을 위한 레지스트리 키를 생성한다. 이후, Microsoft Defender의 실행 여부를 확인한 뒤 피해자 PC에서 호스트 정보와 암호화폐 확장 프로그램 등의 정보를 탈취한다. 또한, "LobShot" 악성코드는 hVNC 모듈이 포함돼 있어 사용자 몰래 원격으로 PC를 제어할 수 있는 것으로 ..

1. 악성코드 통계 악성코드 Top10 2023년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 847건이 탐지되었다. 악성코드 진단 수 전월 비교 4월에는 악성코드 유형별로 3월과 비교하였을 때 Trojan, Suspicious 및 Backdoor의 진단 수가 증가했고, Virus와 Worm의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 4월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 3월에 비해 진단 수가 증가했지만, 셋째 주에는 ..

최근, OneNote 문서를 악용해 악성코드를 유포하는 사례가 잇따라 발견되고 있다. 공격자들은 OneNote 문서에 악의적인 의도를 담은 파일을 첨부한 후, 문서 내부에 생성된 첨부 파일 아이콘 위에 사용자의 클릭을 유도하는 디자인 요소를 덧씌운다. 이러한 디자인 요소에는 보통 “View” 또는 “Open” 등의 버튼을 클릭하도록 유도하는 내용을 포함한다. 이후, 사용자가 첨부 파일 아이콘이 숨겨진 부분을 클릭하면 공격자의 의도대로 첨부된 파일이 실행돼 악성 행위를 수행할 수 있다. 1. 분석 OneNote 문서에 HTA 파일 또는 CMD 파일을 첨부해 악의적인 행위를 하는 두 가지 사례에 대해 설명한다. 1.1. wscript를 사용하는 경우 (HTA) OneNote 문서에 첨부한 HTA 파일은 [그..

최근 안티 바이러스 제품의 탐지를 회피할 목적으로 비주류 프로그램 언어로 작성된 악성 파일이 증가하는 추세이다. Aurora 로 알려진 인포스틸러도 이러한 부류 중 하나로, 다중 플랫폼 빌드를 지원하는 Go 언어로 작성되어 윈도우, Linux OS 를 대상으로 작성되어 퍼져나가고 있다. 윈도우 OS 를 대상으로 작성된 Aurora 가 실행되면 wmic 기능을 이용하여 시스템의 기본 정보를 수집하고, 현재 화면의 스크린샷을 찍어 저장한다. 또한 시스템을 탐색하며 브라우저, 가상화폐 지갑, 게임, 등과 관련된 애플리케이션의 설치 여부를 확인한 후, 각 애플리케이션 데이터에 저장된 개인 정보를 수집한다. 수집된 시스템 정보는 json 포맷으로 변환되어 공격자 서버로 전송된다. 정보 탈취 후에는 추가 악성 행위..

새로 등장한 “DarkCloud” 악성코드가 사이버 범죄 포럼에서 판매되는 정황이 포착됐다. 이 악성코드는 공격자가 주문 배송 내용으로 위장한 피싱 메일의 첨부 파일을 전송해 유포했다고 알려졌다. 첨부 파일에는 드롭퍼가 압축돼 있으며, 드롭퍼 내부에 포함된 “DarkCloud”의 소스코드를 로드하고 .NET Framework를 통해 컴파일한 뒤 실행한다. 이후, 웹 브라우저와 이메일 프로그램에서 피해자의 계정 정보를 수집하고 Chromium 기반 브라우저에서 사용자 계정 및 신용카드와 관련된 정보를 수집해 공격자에게 전송한다. 사진출처 : Cyble 출처 [1] Cyble (2023.02.20) - Decoding the Inner Workings of DarkCloud Stealer https://bl..

최근, 파일 변환 도구로 위장한 "ImBetter Stealer" 악성코드가 발견됐다. 보안 업체 Cyble에 따르면, 이 악성코드는 온라인 파일 변환 사이트로 위장한 피싱 사이트에서 유포된다고 알려졌다. 해당 악성코드는 감염 시스템의 언어 코드 식별자(LCID)를 확인해 러시아어 사용자가 아닐 경우, 공격자의 C&C 서버와 연결을 시도한다. 이후, 피해자 PC의 스크린샷과 브라우저 로그인 데이터 및 암호화폐 지갑 정보 등의 데이터를 탈취한다. 사진출처 : Cyble

최근, 신용카드 정보를 탈취하는 "R3NIN Sniffer" 악성코드가 발견됐다. 보안업체 Cyble에 따르면, 이 악성코드는 JavaScript로 작성됐으며, 러시아의 사이버 범죄 포럼에서 판매되고 있다고 알려졌다. 해당 악성코드에 감염된 웹 서버에서 결제를 진행할 경우, 결제 정보 입력을 요청하는 가짜 창을 띄워 사용자로부터 정보 입력을 유도한다. 이후, 피해자가 입력한 카드 번호와 핸드폰 번호 및 이메일 등의 테이터를 탈취한다고 밝혀졌다. 사진출처 : Cyble 출처 [1] Cyble (2023.02.28) - R3NIN Sniffer Toolkit – An Evolving Threat to E-commerce Consumers https://blog.cyble.com/2023/02/28/r3nin..

최근, 텔레그램과 사이버 범죄 포럼에서 “Stealc”라는 새로운 인포스틸러 악성코드가 판매되는 정황이 발견됐다. 공격자는 유튜브에 크랙 소프트웨어로 위장한 “Stealc” 악성코드의 설치 방법을 설명하는 영상과 다운로드 링크를 업로드해 설치를 유도한다고 알려졌다. 해당 악성코드는, sqlite3.dll 등의 정상 DLL 파일을 다운로드해 사용자 데이터를 수집하는 등의 악성 행위에 사용한다. 최종적으로, 텔레그램 등의 메신저와 웹 브라우저 및 암호화폐 지갑에서 사용자 데이터를 탈취한 뒤, 탐지를 피하기 위해 다운로드한 DLL 파일과 악성코드 원본을 자가 삭제한다. 출처 [1] Sekoia (2023.02.20) - Stealc: a copycat of Vidar and Raccoon infostealer..

최근, 암호화폐 채굴 프로그램으로 위장한 "Creal" 인포스틸러 악성코드가 발견됐다. 보안 업체 Cyble에 따르면, 이 악성코드는 Python으로 제작됐으며, 비트코인 채굴 암호화폐으로 위장해 피싱 사이트에서 유포된다고 알려졌다. 해당 악성코드를 실행할 경우, 피해자 시스템에 악성 행위를 위한 Python 모듈이 설치되어 있는지 확인하고 설치되지 않은 모듈을 설치한다. 이후, 시작 프로그램 경로에 자가 복제본을 생성하고 암호화폐 지갑과 웹 브라우저 등의 정보를 수집한 뒤 디스코드를 통해 공격자에게 전송한다. 사진출처 : Cyble 출처 [1] Cyble (2023.03.29) - Creal: New Stealer Targeting Cryptocurrency Users Via Phishing Sites..