잉카인터넷 시큐리티대응센터 블로그

최근 안드로이드 단말기를 대상으로 하는 정보탈취 앱이 발견되었다. 해당 앱은 'VPN-Secure.apk' 이름으로 유포되었으며, 단말기 정보를 포함하여 연락처에 저장된 전화번호 등의 정보를 탈취한다. 또한, 단말기의 마이크 사용시 이를 녹음하여 원격지로 전송하기에 사생활 침해까지 이어질 수 있다. 해당 앱을 실행하면 아래의 그림과 같이 권한을 요구하고, 권한을 획득하면 악성동작이 시작된다. 악성동작을 수행하는 클래스를 서비스로 생성하여 지속적으로 반복 실행하도록 하고, 실행되는 동안 나타나는 알림을 제거하여 사용자가 알아차리지 못하도록 한다. 아래의 코드와 같이 사용자 단말기의 정보를 탈취한다. 그리고 단말기의 network와 gps 정보를 획득한다. 이 정보는 위치에 변화가 있을 때마다 업데이트된다...

비대면 금융 업무 수요가 증가함에 따라 모바일 뱅킹을 이용하는 사용자들이 급격하게 늘어나고 있다. 공격자들은 이러한 점을 노리고 국내/해외 구분 없이 금융사를 사칭한 악성 앱을 제작하고 유포하는데, 그 중 국내 유명 은행을 사칭한 악성 앱이 지속적으로 발견되어 사용자들의 각별한 주의가 요구된다. 해당 악성 앱은 아래와 같이, 정상 앱과 악성 앱을 구분하기 힘들 정도로 위장되어 있다. 정상 앱을 설치하고 실행하면 가장 먼저 사용자에게 전화 권한에 대해서만 요구하는 반면, 악성 앱 같은 경우 과도한 권한을 요구하는 화면이 출력된다. 앱이 정상적으로 실행되었을 때 먼저 정상 앱은 로그인을 가장 먼저 하도록 구성되어 있는 반면, 악성 앱은 로그인 과정 없이 바로 여러 금융 상품들에 대해 신청하도록 구성되어 있다..

잉카인터넷 대응팀은 2021년 7월 30일부터 2021년 8월 5일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "BlackMatter" 외 2건, 변종 랜섬웨어는 "Stop" 외 3건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 "Ryuk" 랜섬웨어의 빌더라고 주장했던 "Chaos" 랜섬웨어 빌더의 새로운 버전이 출시됐다. 2021년 8월 1일 BlackMatter 랜섬웨어 파일명에 ".[랜덤 문자열]" 확장자를 추가하고 "fwdHOW_TO_DECRYPT.txt"라는 랜섬노트를 생성하는 "BlackMatter" 랜섬웨어가 발견됐다. Stop 랜섬웨어 파일명에 ".nooa" 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견..

해외 정보 보안 회사 ThreatFabric 에서 새로운 안드로이드 악성 파일에 대해 발표했다. 이 악성 파일은 장기간 머무르며 먹잇감을 찾는 독수리와 같은 모습에 비유하여 Vultur 라는 이름이 붙여졌다. Vultur 는 최근 유행하는 다른 악성 파일과 마찬가지로 단말기 정보 탈취, 키로깅 기능과 VNC 를 통한 화면 녹화 및 원격 제어 기능을 보유하고 있다. 설치된 악성 앱을 실행하면 가장 먼저 사용자에게 접근성 서비스 권한을 요청하는 화면이 출력된다. 접근성 서비스는 본래 사용자를 지원하기 위해 제공되는 향상된 기능이지만, Vultur 는 이를 악용하여 시스템을 모니터링하고 사용자 동의 없이 버튼을 클릭하는 등의 행위에 악용한다. 접근성 서비스 권한을 얻은 Vultur 는 접근성 서비스 이벤트가 ..

화면 녹화 및 키로깅을 통해 사용자의 로그인 자격 증명 화면을 탈취하는 안드로이드 뱅킹 악성 앱인 Vultur이 발견되었다. Vultur은 2021년 3월에 처음 등장하였으며, 'Protection Guard'라는 앱을 사칭하여 이탈리아와 호주, 스페인 등의 은행을 타겟으로 유포되었다. 해당 악성코드는 일반적으로 사용자 로그인 정보를 탈취할 때 사용되는 HTML 오버레이 방법이 아닌 단말기 화면을 녹화하여 정보를 탈취한다. 사진 출처: threatfabric 출처 [1] threatfabric (2021.08.05) – Vultur, with a V for VNC https://www.threatfabric.com/blogs/vultur-v-for-vnc.html

개요 Apple 사는 제품에서 발생하는 취약점에 대한 추가 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 - 지난 7월 28일에 게시한 자사 블로그의 "Apple 제품 보안 업데이트 권고"와 동일한 CVE 취약점이지만 'watchOS'의 보안 업데이트가 추가되었다. 2021.07.28 - [취약점 정보] - Apple 제품 보안 업데이트 권고 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - watchOS v7.6.1 및 이후 버전 참고자료 https://support.apple.com/ko-kr/HT212713

개요 Cisco 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Cisco WSA용 AsyncOS v11.8.4 -004, v12.0.3 -005, v12.5.2 참고자료 https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-scr-web-priv-esc-k3HCGJZ

1. 악성코드 통계 악성코드 Top20 2021년7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 1,950 건이 탐지되었다. 악성코드 진단 수 전월 비교 7월에는 악성코드 유형별로 6월과 비교하였을 때 Trojan, Exploit, Virus, Worm 및 Backdoor의 진단 수가 감소하였다. 주 단위 악성코드 진단 현황 7월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 6월에 비해 감소한 추이를 보이고 있다. 2. 악성코드 동향 2021년 7월(7월 1일 ~..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 35곳의 정보를 취합한 결과이다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "LockBit" 랜섬웨어가 31건으로 가장 많은 데이터 유출이 있었고, "Conti" 랜섬웨어가 25건으로 두번째로 많이 발생했다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 32%로 가장 높은 비중을 차지했고, 영국과 프랑스, 독일이 각각 10%와 6%, 스페인과 이탈리아가 각각 5%로 그 뒤를 따랐다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 산업별로..

지난 7월, Youtube를 사칭한 악성 앱이 등장하였다. 해당 앱은 "Kurulum.apk" 이라는 이름으로 유포되었으며, 악성 앱을 실행하면 정상 Youtube 실행화면으로 띄워 사용자를 속이면서, 백그라운드에서는 사용자의 문자메시지를 탈취하는 등의 악성 동작을 수행한다. 하단의 이미지와 같이, 정상 Youtube 앱(파란 상자)와 유사한 형태의 아이콘을 사용하여 사용자가 구분하기 어렵도록 한다. 그리고 정상 Youtube 패키지 정보를 획득하여, 악성 앱 실행할 때 정상 실행화면을 띄워 실제 Youtube 가 실행되는 것처럼 보이도록 한다. 위의 코드가 실행되면 앱은 여러 권한을 획득한 다음, 하단 우측 그림과 같이 Youtube 가 실행된다. Loop 핸들을 생성하여 AudioRecoder클래스의..