정보탈취20 해커조직 TeamPCP, LiteLLM PyPI에 악성코드 삽입 2025년 하반기부터 활동이 관찰된 TeamPCP는 클라우드 환경을 주요 표적으로 삼아 공급망 공격을 수행하는 해킹조직으로 기업이 신뢰하는 보안 도구 및 개발 라이브러리를 악용해 악성코드를 유포하는 특징을 보인다. 2025년 12월에는 노출된 Docker와 Kubernetes API 및 Redis 서버를 공격하고 피해 시스템을 프록시 네트워크 및 암호화폐 채굴 인프라로 악용하는 클라우드 인프라 하이재킹 공격이 확인됐다. 이후 2026년 3월에는 Aqua Security의 trivy-action 저장소를 대상으로 한 공급망 공격을 수행해 1만 개 이상의 CI/CD 파이프라인에서 AWS 및 Azure API 키가 유출됐다. 또한 같은 달에는 탈취한 자격 증명을 활용해 npm 생태계에 자가 증식형 웜(Cani.. 2026. 4. 21. ILSpy 홈페이지로 위장한 멀웨어 유포 주의 .NET 프레임워크로 빌드된 실행 파일을 디컴파일하는 툴로 유명한 ILSpy 을 사칭한 홈페이지를 통해 멀웨어가 유포되고 있다. ILSpy 공식 저장소 운영자는 저장소 이슈 글을 통해 해당 도메인(ilspy.org)은 공식 홈페이지가 아니며 멀웨어를 유포하고 있음을 경고했다.ILSpy 저장소 이슈 게시글 링크 : https://github.com/icsharpcode/ILSpy/issues/3709 하지만 현재 구글에서 ILSpy 를 검색하면 악성 도메인 “ilspy.org” 가 여전히 최상단에 노출되고 있으므로 주의가 필요하다. ILSpy 위장 홈페이지공격자가 작성한 악성 도메인 “ilspy.org” 는 마치 ILSpy 공식 홈페이지인 양 프로그램에 대한 설명과 다운로드 링크를 소개하고 있다. “.. 2026. 4. 15. DeepLoad, 확장 프로그램으로 위장해 암호화폐 탈취 최근 크로미움 기반 브라우저 사용자를 대상으로 확장 프로그램을 강제로 설치해 암호화폐를 탈취하는 DeepLoad 악성코드가 발견됐다. DeepLoad는 사용자를 속여 명령 실행을 유도하는 ClickFix 기법을 이용해 유포되며 실행된 PowerShell 스크립트는 C&C 서버에서 Go 언어로 작성된 EXE 파일을 다운로드 및 실행한다. 해당 EXE는 악성 확장 프로그램의 구성 파일을 드롭한 뒤 브라우저에 직접 확장 프로그램을 설치하고 설치된 악성 확장은 정상적인 사용자 지갑 주소를 공격자의 암호화폐 지갑 주소로 치환함으로써 사용자가 인지하지 못한 상태에서 암호화폐를 공격자에게 전송한다. 악성 확장 프로그램의 구성 파일은 크롬 웹 스토어의 기존 다운로드 경로와 다른 폴더에 저장되며 크로미움 기반의 브라우저.. 2026. 4. 14. 잠금 패턴을 탈취하는 악성 앱 DroidLock 최근 스페인어권의 안드로이드 사용자를 대상으로 유포되는 악성 앱 DroidLock이 발견됐다. DroidLock은 피싱 웹사이트에서 정상 앱으로 위장해 내부에 실제 악성 동작을 수행하는 추가 APK가 숨겨진 형태로 배포됐다. 해당 악성 앱은 오버레이 공격으로 사용자에게 잠금 해제 패턴을 입력하도록 유도해 자격 증명을 탈취하거나 VNC(Virtual Network Computing) 기능으로 실시간 화면 스트리밍 및 원격 제어를 수행한다. 또한 실제로 파일을 암호화하지는 않지만 화면을 잠근 후 협박 문구가 포함된 페이지를 띄워 랜섬웨어처럼 금전을 요구하기도 한다. Stage 1문자열 복호화DroidLock 악성 앱의 유포 파일과 해당 파일 내 포함된 추가 APK는 클래스명, 명령어 및 로그 메시지 등의 .. 2026. 2. 24. 가짜 구인 광고로 유포되는 Ov3r_Stealer 최근 페이스북에서 가짜 구인 광고를 이용해 유포되는 “Ov3r_Stealer” 악성코드가 발견됐다. 가짜 광고에는 악성코드를 다운로드하는 링크가 포함돼 있으며, 업무와 관련된 상세 정보의 제공을 미끼로 링크 접속을 유도한다. 링크에서 다운로드된 악성코드가 실행되면 감염된 호스트에서 자격 증명과 암호 화폐 등의 민감한 정보를 탈취한다. “Ov3r_Stealer”는 [그림 1]과 같이 윈도우 에러 리포팅 서비스인 “WerFaultSecure.exe”를 실행하고, DLL 사이드 로딩 기법을 이용해 악성 DLL을 로드한다. 해당 DLL은 바이너리 파일에 저장된 스틸러 페이로드를 복호화 후 실행한다. 가짜 구인 광고에 포함된 링크에 접속하면 악성 CPL(제어판) 파일이 다운로드되며, 해당 파일은 PowerShel.. 2024. 2. 29. 대출 앱으로 위장한 정보탈취 앱, SpyLoan 최근, 구글 플레이 스토어에서 정상 대출 앱으로 위장해 민감한 정보를 탈취하는 악성 앱 “SpyLoan”이 발견됐다. 해당 앱은 동남아시아, 아프리카 및 라틴 아메리카 지역을 대상으로 유포되며, 대출을 명목으로 사용자에게 개인 및 금융 정보를 입력하도록 유도한다. 공격자는 수집한 정보를 이용해 사용자에게 협박 메시지를 보내고, 금전을 갈취한다. “SpyLoan” 앱은 먼저 전화번호 인증을 이용해 사용자 등록 및 로그인을 요청하며, 미리 설정된 국가 번호는 대상 국가를 특정하고 있음을 알 수 있다. 로그인에 성공하면, 데이터를 수집하기 위해 과도한 권한을 요청한다. 이후, 대출에 필요한 과정인 것처럼 사용자를 속여 연락처, 신분증 및 은행 정보 등 민감한 정보를 입력하도록 유도한다. 사용자가 입력한 개인 .. 2024. 1. 3. 이전 1 2 3 4 다음
