잉카인터넷 시큐리티대응센터 블로그

2021년 7월경 처음 등장한 “Jester” 정보 탈취 악성코드는 지속적인 업데이트와 함께 해킹 포럼에서 판매되고 있다. 해킹 포럼에 게시된 글에 따르면 해당 악성코드는 공격자의 Tor 서버나 익명 파일 공유 서버에 탈취된 데이터가 전송되어 효율적인 관리가 가능하며 메모리에 탈취 데이터를 저장하여 은밀하고 신속하게 악성 동작을 수행할 수 있다. 해당 악성코드는 현재 러시아 해킹 포럼에서 99달러 ~ 999달러에 판매되고 있으며 텔레그렘을 통해 암호화폐로 거래가 이루어진다. 최신 버전의 “Jester” 악성코드는 2022년 1월경 업데이트 됐으며 기존 버전의 악성코드보다 빨라진 데이터 전송 속도를 가졌다고 설명한다. “Jester” 정보 탈취 악성코드를 피해자가 실행하면 로그인 자격 증명, 쿠키, 신용 ..

2019년에 처음 등장한 "SideCopy" 해킹 그룹은 주로 남아시아 국가, 특히 인도와 아프가니스탄을 대상으로 공격하는 것으로 알려졌다. 해당 악성코드는 주로 MS Publisher 또는 이미지 뷰어로 위장한 아카이브 파일로 유포되며 현재 진행중인 캠페인은 주로 정부나 군 관계자들을 목표로 하여 맞춤화된 문서나 이미지로 유포된다. "SideCopy" 해킹 그룹의 악성코드는 페이로드가 포함된 MS Publisher 문서와 같은 아카이브 파일로 유포된다. 해당 문서 파일은 목표 대상이 흥미를 끌 수 있는 내용의 문서로 작성돼 있으며 실행 시, 페이로드를 로드하는 파일인 "Crebiz.exe"과 감염된 PC의 정보를 탈취한 후 공격자의 서버로 전송시키는 파일인 "TextShaping.dll" 파일을 드랍한..

러시아 연방 내무부 수사관의 요청은 도난당한 신용카드를 판매한 혐의로 해킹 그룹의 일원 6명을 체포했다. 수사 기관은 체포된 해킹 그룹 일원이 활동하는 도난 신용카드 판매 포럼 Sky-Fraud, Ferum 및 Trump’s Dumps등을 압수했으며 압수한 웹 사이트 소스 코드에 해커들에게 경고의 메시지를 숨겨놨다. 이번 사건은 러시아 정부가 러시아 내에서 활동하는 사이버 범죄를 단속한 이력이 없기에 이례적인 일이다. 출처 [1] BleepingComputer – Russia arrests third hacking group, reportedly seizes carding forums https://www.bleepingcomputer.com/news/security/russia-arrests-third..

코로나19가 지속적으로 확산되는 가운데 최근, 오미크론 변종이 발견되어 화제가 되고 있다. 이러한 뉴스를 악용하여 일부 대학을 표적으로 하는 피싱 메일이 다량 발견되었다. Proofpoint에 따르면, 피싱 메일은 방학 시즌을 맞이한 학생 및 교직원을 대상으로 "Information Regarding COVID-19 Omicron Variant"과 같은 제목으로 유포되었다. 메일에는 대학 계정 자격증명을 탈취하기 위해 공식 로그인 페이지를 위장한 URL이나 htm파일이 첨부 되어있다. 사진 출처: Proofpoint 출처 [1] Proofpoint (2021.12.08) - University Targeted Credential Phishing Campaigns Use COVID-19, Omicron T..

최근 코로나 백신 제조업체를 공격하는 Tardigrade 악성코드가 발견됐다. 2021년 4월에 첫번째 공격이 탐지되었으며 그 후 6개월 뒤인 2021년 10월경 두번째 시설의 피해가 나타났다. 피해 업체 두 곳 모두 코로나 백신을 제조하는 업체이며 이번 공격에 대해 분석 중이라고 밝혔다. Tardigrade 악성코드는 실행 시 업체의 중요한 정보를 탈취하고, 공격자의 명령을 통해 제어할 수 있다. 이로 인해 감염된 PC에 랜섬웨어를 다운로드한 후 실행하여 최근 중요해진 코로나 백신 생산을 방해하고, 금전 탈취를 시도한다. 출처 [1] Wired (2021.11.30) - Devious ‘Tardigrade’ Malware Hits Biomanufacturing Facilities https://www...

2017년에 처음 등장한 "Spectre RAT" 악성코드는 2021년 3월경, 해커 포럼에서 판매되기 시작했다. 다크웹에 게시된 판매글에 의하면 "Spectre RAT" 악성코드는 스틸러 기능을 포함하고 있으며 이용자가 원하면 봇넷 동작을 추가할 수 있다. 2021년 9월경 출시되어 현재 판매중인 버전 4의 "Spectre RAT"은 최근 유럽 지역의 PC 사용자를 대상으로 한 피싱 메일 캠페인에 악용된 사례가 존재한다. "Spectre RAT" 악성코드는 악성 매크로가 포함된 문서 파일로 유포되어 매크로가 실행되면 VBS 파일을 드랍한 후 실행한다. 그 후, 공격자의 C&C 서버에서 로더 파일을 다운로드한다. 다운로드된 로더는 파일 내부에 암호화된 페이로드를 복호화한 후 로더 파일의 메모리에서 실행시..

PC 및 콘솔 컨트롤러 제조업체인 SCUF Gaming International은 해커가 유포한 악성 스크립트로 인해 고객들의 신용 카드 정보가 탈취되었다고 알렸다. 또한, SCUF Gaming 측에서 발표한 바에 따르면 PayPal을 통한 주문을 제외한 약 32,000명의 카드 정보가 탈취됐으며 탈취된 정보에는 카드 소유자 이름, 이메일 주소, 주소, 카드 번호, 만료 날짜 및 CVV가 포함돼 있다. 외신은 이번 공격에 의해 탈취된 신용카드 정보가 추후에 해킹 포럼이나 금융 사기에 사용될 수 있다고 경고했다. 출처 [1] BleepingComputer (2021.10.28) – SCUF Gaming store hacked to steal credit card info of 32,000 customers..

최근 중동 지역의 항공 우주 통신 산업체를 표적으로 공격하는 "Novel RAT"이 발견됐다. "Novel RAT"의 배후로 "MalKamak"이라는 명칭을 사용하는 이란의 해커가 식별됐으며 추가적으로 미국, 러시아, 유럽 등의 피해가 밝혀졌다. 해당 악성코드는 코드 내부에 버전 정보가 저장되어 있으며 2018년에 처음 등장한 것으로 추정된다. 현재까지 지속적인 버전 패치를 통해 2021년 10월에 ‘4.0’ 버전까지 출시된 것으로 확인된다. "Novel RAT" 악성코드는 Microsoft에서 제작된 정상 프로그램으로 위장하여 유포된다. 또한, '4.0' 이전 버전은 파일 내부에 지정된 공격자의 C&C 서버와 연결하며 '4.0' 및 이후 버전부터 웹 기반의 파일 공유 서비스인 "Dropbox"의 기능을..

지난 6월경, 멕시코 금융 기관 사용자를 대상으로 정보를 탈취하는 캠페인이 발견됐다. 해당 캠페인에서 사용한 악성코드는 "Neurevt"로 다크웹 포럼에서 평균 $300에 판매되는 것으로 알려졌으며, 감염된 PC의 사용자 개인 및 금융 정보 등을 탈취하는 것이 주 목적이다. 공격자의 C&C 서버에서 다운로드한 “Neurevt” 악성코드를 실행하면 [그림 1]과 같이 압축 파일 등 4개의 파일을 지정된 경로에 드롭한다. 그다음 드롭한 파일 중 RAR 파일의 압축을 해제하고, 공격자의 C&C 서버와 통신을 위한 파일을 실행해 정보 탈취 및 추가 악성코드 다운로드를 시도한다. 드롭 파일 “Neurevt” 악성코드는 ‘C:\LMPupdate\Set\” 경로에 [표 1]의 목록에 해당하는 파일을 드롭 및 실행한다..

"Konni RAT"은 2014년에 처음으로 등장하여 2017년 7월경, 북한 정부가 미사일 시험 발사 이후 "Konni RAT" 악성코드 공격을 받은 사례가 있다. 최근 해당 악성코드의 변종이 러시아를 공격 타겟으로 하여 매크로가 적용된 문서 파일이 유포되고 있다. 또한, 현재 러시아 외에도 한국, 일본, 네팔, 몽골, 베트남 등에서 피해사례가 등장하고 있어 주의해야 한다. "Konni RAT"은 백신 프로그램 탐지 우회하기 위한 기법들이 적용되었으며 문서 파일에 JS 파일 및 Powershell 실행 파일을 숨겨두어 실행되도록 했다. 최종적으로 서비스에서 실행되는 페이로드는 사용자 PC의 정보를 탈취하고, 공격자의 서버에서 명령을 받아 원격으로 제어한다. 1. 파일 드랍 (문서 파일) 이전에 유포된 ..