잉카인터넷 시큐리티대응센터 블로그

최근 페이스북의 광고 관리자의 계정 정보를 탈취하는 “NodeStealer”가 발견됐다. 페이스북 광고 관리자는 페이스북과 인스타그램에 게시할 광고 생성과 관리 및 추적 등의 기능을 지원하는 서비스로 광고 예산 지출 금액과 한도 금액 및 광고 노출 대상 등 각 광고 목적에 맞는 세부적인 설정이 가능하다. “NodeStealer”는 페이스북 광고 관리자의 계정 정보와 웹 브라우저에 저장된 비밀번호 및 결제 카드 정보 등의 데이터를 수집해 지정된 경로에 저장한다. 수집 이후에는 일정한 형식의 파일명으로 압축한 뒤 공격자의 텔레그램 주소로 전송한다.  이 악성코드는 페이스북 광고 관리자 페이지 주소로 GET 요청을 보내 광고 관리자 계정의 API 토큰값을 수집한다. 이후 페이스북에서 데이터를 가져오거나 내보낼..

최근 텔레그램에서 판매 중인 정보 탈취 악성코드 "Angry Stealer"가 발견됐다. 이 악성코드는 텔레그램 채널 "ANGRY STEALER"에서 150달러에 판매되고 있으며, 해당 채널에는 수집 가능한 항목과 탈취한 결과물 그리고 제작자의 프로필 정보가 게시됐다. "Angry Stealer"를 실행하면 웹 브라우저와 암호화폐 지갑 등의 데이터를 수집하고 스크린샷을 찍어 지정한 경로에 폴더를 생성한 뒤 수집한 데이터를 저장한다. 그리고 국가 코드와 IP 주소를 비롯해 일정한 형식의 파일 이름으로 압축 파일을 만들어 공격자의 텔레그램으로 전송한다.   분석파일 드롭 및 실행"Angry Stealer"를 실행하면 '%temp%' 경로에 2개의 파일을 드롭한다. 이 중 "Stepasha.exe"가 정보 탈..

최근 CDN(Content Delivery Network) 캐시를 악용해 악성코드를 유포한 캠페인이 발견됐다. 보안 업체 Cisco Talos는 공격자가 탐지 기술을 회피하기 위해 CDN 캐시를 다운로드 서버로 사용했다고 언급했다. 또한, 업로드한 악성 ZIP 파일을 영화 파일로 속여 사용자가 다운로드하도록 유도했다고 전했다. 이때 사용자가 ZIP 파일을 다운로드해 내부의 바로가기 파일을 실행하면 감염 체인이 시작된다고 덧붙였다. 최종적으로 “Cryptbot”과 “LummaC2” 및 “Rhadamanthys” 등의 인포스틸러 악성코드를 사용해 사용자의 정보를 탈취한다고 설명했다. Cisco Talos 측은 캠페인에서 사용된 기술과 공격 방식을 근거로 베트남 출신으로 알려진 CoralRaider 조직이 배..

공격자가 정상적인 웹사이트, 프로그램으로 위장하며 사용자를 속이고, 악성 파일을 실행하도록 유도하는 일은 늘 있었다. 최근에는 한발 더 나아가 구글 검색 결과 상단에 노출되는 광고에 정상 웹사이트로 위장한 피싱 사이트를 게시하는 등, 대담한 모습을 보이고 있다. 이번에 발견된 Statc Stealer 도 이러한 방식으로 구글 광고를 통해 사용자를 끌어들인 후 악성 파일의 다운로드, 실행을 유도하고 있다. 피싱 사이트로부터 다운로드받은 Statc 드랍퍼는 유효하지 않은 Dropbox 社 인증서로 Signing 된 채, Avanquest 社에서 개발한 Expert PDF 라는 이름의 정상 프로그램으로 위장하여 유포되었다. 드랍퍼가 실행되면 %LOCALAPPDATA%\Temp 경로에 정상 프로그램으로 위장하기..

QakBot 이라고도 알려진 Qbot 은 이메일과 같은 전통적인 전파 수단뿐만 아니라, OneNote, CHM 과 같이 최신 유행하는 전파 수단을 적극적으로 활용하는 모습을 보여왔다. 최근에는 한발 더 나아가 DLL 하이재킹 기술을 통해 정상 실행 파일에 악성 DLL 을 로딩하는 공격 방식이 사용되고 있다. DLL 하이재킹 공격은 Windows OS 의 DLL 로딩 우선 순위를 이용하여, 정상 DLL 대신 동일한 이름의 악성 DLL 을 로딩하는 공격법이다. 최근 발견된 Qbot 은 정상 Wordpad 실행 파일과 악성 DLL 파일 edputil.dll 을 ZIP 으로 압축하여 유포되고 있다. 원래대로라면 Wordpad 는 시스템 폴더 내의 정상 edputil.dll 파일을 로딩해야 하나, DLL 로딩 순..

최근 안티 바이러스 제품의 탐지를 회피할 목적으로 비주류 프로그램 언어로 작성된 악성 파일이 증가하는 추세이다. Aurora 로 알려진 인포스틸러도 이러한 부류 중 하나로, 다중 플랫폼 빌드를 지원하는 Go 언어로 작성되어 윈도우, Linux OS 를 대상으로 작성되어 퍼져나가고 있다. 윈도우 OS 를 대상으로 작성된 Aurora 가 실행되면 wmic 기능을 이용하여 시스템의 기본 정보를 수집하고, 현재 화면의 스크린샷을 찍어 저장한다. 또한 시스템을 탐색하며 브라우저, 가상화폐 지갑, 게임, 등과 관련된 애플리케이션의 설치 여부를 확인한 후, 각 애플리케이션 데이터에 저장된 개인 정보를 수집한다. 수집된 시스템 정보는 json 포맷으로 변환되어 공격자 서버로 전송된다. 정보 탈취 후에는 추가 악성 행위..

최근, 텔레그램과 사이버 범죄 포럼에서 “Stealc”라는 새로운 인포스틸러 악성코드가 판매되는 정황이 발견됐다. 공격자는 유튜브에 크랙 소프트웨어로 위장한 “Stealc” 악성코드의 설치 방법을 설명하는 영상과 다운로드 링크를 업로드해 설치를 유도한다고 알려졌다. 해당 악성코드는, sqlite3.dll 등의 정상 DLL 파일을 다운로드해 사용자 데이터를 수집하는 등의 악성 행위에 사용한다. 최종적으로, 텔레그램 등의 메신저와 웹 브라우저 및 암호화폐 지갑에서 사용자 데이터를 탈취한 뒤, 탐지를 피하기 위해 다운로드한 DLL 파일과 악성코드 원본을 자가 삭제한다. 출처 [1] Sekoia (2023.02.20) - Stealc: a copycat of Vidar and Raccoon infostealer..

지난 4월, 해킹 포럼을 통해 봇넷 악성코드로 판매되던 "Aurora"가 인포스틸러 악성코드로 돌아왔다. 보안 업체 Sekoia에 따르면, 이 악성코드는 Go 언어로 작성됐으며, 암호화폐 지갑 등의 소프트웨어로 위장해 유포된다고 알려졌다. 해당 악성코드를 실행할 경우, 암호화폐 지갑 데이터와 브라우저 쿠키 및 화면 스크린샷 등의 정보를 수집해 공격자의 C&C 서버에 전송한다. 또한, 추가 악성코드를 다운로드하고 실행할 수 있는 다운로더 기능이 포함됐다고 밝혀졌다. 사진출처 : Sekoia 출처 [1] Sekoia (2022.11.21) – Aurora: a rising stealer flying under the radar https://blog.sekoia.io/aurora-a-rising-steale..

최근, 인도네시아 은행인 BRI(Bank Rakyat Indonesia) 고객을 대상으로 하는 피싱 캠페인이 발견됐다. 보안 업체 Cyble에 따르면, 공격자가 BRI 은행으로 위장한 피싱 사이트와 악성 앱을 통해 피해자의 은행 계정 및 OTP를 탈취하는 것으로 알려졌다. 사용자가 피싱 사이트에 접속해 로그인할 경우 입력한 계정 정보를 탈취하고, 추가적으로 OTP 정보를 탈취하기 위한 “SMSeye” 안드로이드 악성코드의 다운로드를 유도한다. 해당 악성 앱은 설치 후 SMS 접근 권한을 요구하고 사용자의 의심을 피하기 위해 실제 BRI 은행 사이트를 띄운다. 이후, 권한을 획득한 악성 앱은 사용자의 SMS 메시지로부터 OTP 정보를 탈취해 공격자의 텔레그램 봇으로 전송한다. Cyble은 Play 스토어 ..

최근, PNG 파일을 통해 유포되는 "DropBoxControl" 인포스틸러가 발견됐다. 보안 업체 Avast에 따르면, 해커 그룹 Worok이 PNG 파일에 LSB 인코딩을 사용해 "DropBoxControl" 악성코드를 삽입하고 유포한 것으로 알려졌다. 악성 PNG 파일이 실행될 경우, 공격에 필요한 파일들을 드롭한 후 “PNGLoader”를 통해 이미지 파일에 삽입된 데이터를 추출하고 실행 파일 형태로 변환한다. 생성된 실행 파일은 “DropBoxControl” 악성코드로, DropBox에서 제공하는 파일 호스팅 서비스를 악용해 파일 유출 등의 악성 행위를 한다. 사진출처 : Avast 출처 [1] Avast (2022.11.10) - PNG Steganography Hides Backdoor ht..