본문 바로가기

악성코드357

Google Ads를 통해 유포되는 LobShot 악성코드 최근, Google Ads를 통해 유포되는 "LobShot" 악성코드가 발견됐다. Elastic Security Labs에 따르면, 공격자가 원격 데스크톱 프로그램인 AnyDesk로 위장한 가짜 사이트를 제작하고 Google Ads를 통해 사용자의 접속을 유도한 것으로 알려졌다. 해당 악성코드를 다운로드 후 실행하면, 'C:\ProgramData' 경로에 자가 복제본을 생성해 새로운 프로세스를 통해 실행되고 지속성을 위한 레지스트리 키를 생성한다. 이후, Microsoft Defender의 실행 여부를 확인한 뒤 피해자 PC에서 호스트 정보와 암호화폐 확장 프로그램 등의 정보를 탈취한다. 또한, "LobShot" 악성코드는 hVNC 모듈이 포함돼 있어 사용자 몰래 원격으로 PC를 제어할 수 있는 것으로 .. 2023. 5. 10.
2023년 04월 악성코드 동향 보고서 1. 악성코드 통계 악성코드 Top10 2023년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 847건이 탐지되었다. 악성코드 진단 수 전월 비교 4월에는 악성코드 유형별로 3월과 비교하였을 때 Trojan, Suspicious 및 Backdoor의 진단 수가 증가했고, Virus와 Worm의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 4월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 3월에 비해 진단 수가 증가했지만, 셋째 주에는 .. 2023. 5. 8.
OneNote 문서를 활용한 악성코드 유포 최근, OneNote 문서를 악용해 악성코드를 유포하는 사례가 잇따라 발견되고 있다. 공격자들은 OneNote 문서에 악의적인 의도를 담은 파일을 첨부한 후, 문서 내부에 생성된 첨부 파일 아이콘 위에 사용자의 클릭을 유도하는 디자인 요소를 덧씌운다. 이러한 디자인 요소에는 보통 “View” 또는 “Open” 등의 버튼을 클릭하도록 유도하는 내용을 포함한다. 이후, 사용자가 첨부 파일 아이콘이 숨겨진 부분을 클릭하면 공격자의 의도대로 첨부된 파일이 실행돼 악성 행위를 수행할 수 있다. 1. 분석 OneNote 문서에 HTA 파일 또는 CMD 파일을 첨부해 악의적인 행위를 하는 두 가지 사례에 대해 설명한다. 1.1. wscript를 사용하는 경우 (HTA) OneNote 문서에 첨부한 HTA 파일은 [그.. 2023. 4. 28.
Go 언어로 작성된 Aurora 인포스틸러 최근 안티 바이러스 제품의 탐지를 회피할 목적으로 비주류 프로그램 언어로 작성된 악성 파일이 증가하는 추세이다. Aurora 로 알려진 인포스틸러도 이러한 부류 중 하나로, 다중 플랫폼 빌드를 지원하는 Go 언어로 작성되어 윈도우, Linux OS 를 대상으로 작성되어 퍼져나가고 있다. 윈도우 OS 를 대상으로 작성된 Aurora 가 실행되면 wmic 기능을 이용하여 시스템의 기본 정보를 수집하고, 현재 화면의 스크린샷을 찍어 저장한다. 또한 시스템을 탐색하며 브라우저, 가상화폐 지갑, 게임, 등과 관련된 애플리케이션의 설치 여부를 확인한 후, 각 애플리케이션 데이터에 저장된 개인 정보를 수집한다. 수집된 시스템 정보는 json 포맷으로 변환되어 공격자 서버로 전송된다. 정보 탈취 후에는 추가 악성 행위.. 2023. 4. 21.
피싱 메일을 통해 유포되는 DarkCloud 악성코드 새로 등장한 “DarkCloud” 악성코드가 사이버 범죄 포럼에서 판매되는 정황이 포착됐다. 이 악성코드는 공격자가 주문 배송 내용으로 위장한 피싱 메일의 첨부 파일을 전송해 유포했다고 알려졌다. 첨부 파일에는 드롭퍼가 압축돼 있으며, 드롭퍼 내부에 포함된 “DarkCloud”의 소스코드를 로드하고 .NET Framework를 통해 컴파일한 뒤 실행한다. 이후, 웹 브라우저와 이메일 프로그램에서 피해자의 계정 정보를 수집하고 Chromium 기반 브라우저에서 사용자 계정 및 신용카드와 관련된 정보를 수집해 공격자에게 전송한다. 사진출처 : Cyble 출처 [1] Cyble (2023.02.20) - Decoding the Inner Workings of DarkCloud Stealer https://bl.. 2023. 4. 7.
파일 변환 도구로 위장한 ImBetter Stealer 악성코드 최근, 파일 변환 도구로 위장한 "ImBetter Stealer" 악성코드가 발견됐다. 보안 업체 Cyble에 따르면, 이 악성코드는 온라인 파일 변환 사이트로 위장한 피싱 사이트에서 유포된다고 알려졌다. 해당 악성코드는 감염 시스템의 언어 코드 식별자(LCID)를 확인해 러시아어 사용자가 아닐 경우, 공격자의 C&C 서버와 연결을 시도한다. 이후, 피해자 PC의 스크린샷과 브라우저 로그인 데이터 및 암호화폐 지갑 정보 등의 데이터를 탈취한다. 사진출처 : Cyble 2023. 4. 7.

티스토리툴바