잉카인터넷 시큐리티대응센터 블로그

보안 업체 Mandiant가 최근 악성 광고 캠페인을 통해 FakeBat라는 로더가 유포되는 정황을 발견했다. Mandiant의 기술 보고서에 따르면, 공격자는 소프트웨어를 다운로드 하기 위해 검색하는 사용자에게 악성 광고를 표시해 가짜 웹사이트로 접속하도록 유도한다. 이후 사용자는 정상 파일인 척 위장한 악성 MSI 설치 프로그램을 다운로드하게 된다. 다운로드한 MSIX 파일은 FakeBat 로더로, 정상 프로그램을 시작하기 전에 악성 스크립트를 실행해 공격자의 C&C 서버에서 추가 페이로드를 다운로드한다. 설치 과정에서 다운로드되는 악성코드는 IcedID, RedLine Stealer, Lumma Stealer, SectopRAT 등이 포함된다. 최종적으로 감염된 호스트의 시스템 정보와 설치된 보안 ..

러시아 사이버 보안 회사인 Kaspersky에 따르면 최근 러시아 정부와 IT 기관을 표적으로 하는 EastWind라는 코드명의 스피어 피싱 캠페인을 발견했다고 보고했다. 공격은 Windows 바로가기(LNK) 파일을 포함하는 RAR 압축 첨부 파일을 사용하며, 사용자가 해당 파일을 열면 악성 백도어가 배포된다. 이때 배포되는 백도어에는 GrewApacha와 CloudSorcerer 백도어의 업데이트 버전, 그리고 이전에 문서화되지 않은 PlugY라는 맬웨어가 포함된다. 그 중 GrewApacha는 공격자가 제어하는 GitHub 프로필을 통해 C&C 서버와 통신한다는 특징이 있다. 또한, CloudSorcerer는 클라우드 인프라를 통해 사용자 장치 모니터링, 데이터 수집 및 유출에 사용되며, PlugY..

최근 독일 법인을 사칭한 웹사이트를 통해 가짜 CrowdStrike Crash Reporter 설치 프로그램을 배포했다고 밝혔다. 보안 업체 CrowdStrike는 사용자가 다운로드 버튼을 클릭하면 악성 InnoSetup 설치 프로그램이 포함된 ZIP 아카이브 파일을 다운로드한다고 말했다. 설치를 시작하면 백엔드 서버를 입력하라는 메세지가 보이고 특정 입력을 하지 못하면 오류 메세지가 표시되어 설치가 완료되지 않는다. 이로 인해 설치 프로그램 콘텐츠를 암호화하고, 암호 없이 추가 활동이 발생하지 않도록 해 추가 분석이 불가능하도록 만들었다고 덧붙였다. 또한, 독일어 프롬프트가 사용된 것으로 보아 독일어를 사용하는 CrowdStrike 고객만을 타겟으로 삼고 있음을 추측할 수 있다고 전했다. 최종적으로 프..

최근 사이버 보안 연구원들이 맞춤형 백도어를 사용해 파키스탄 사람들을 표적으로 삼는 새로운 피싱 캠페인을 발견했다. 보안 업체 Securonix에서 PHANTOM#SPIKE로 명시한 해당 캠페인의 공격자는 군사 관련 내용의 문서를 활용해 피싱 공격을 한다고 말했다. 외신에 공유된 보고서에 따르면 이 캠페인은 정교함이 부족하고 대상 시스템에 대한 원격 엑세스를 달성하기 위해 간단한 페이로드를 사용한다는 특징이 있다고 밝혔다. Securonix는 피싱 이메일에 러시아 연방 국방부가 주최한 국제군사기술포럼 행사와 관련된 회의록으로 추정되는 ZIP 아카이브가 포함되어있다고 전했다. ZIP 파일에는 Microsoft CHM 파일과 숨겨진 실행 파일이 들어있으며, 이 파일을 열면 회의록과 몇 개의 이미지가 표시되고..

최근 가짜 채용 공고가 포함된 이메일을 통해 Warmcookie 악성코드가 유포되는 정황이 발견됐다. 보안 업체 Elastic Security Labs에 따르면 공격자는 사용자에게 합법적인 플랫폼을 모방한 악성 페이지로 리디렉션하는 링크가 포함된 이메일을 보낸다고 전했다. 사용자가 링크를 클릭하면 CAPTCHA 입력을 요구하는 메시지가 표시되고 인증이 완료되면 JavaScript 파일이 다운로드된다. 이후 지정된 링크를 통해 최종 페이로드를 다운로드하고, 10분마다 자동 실행되는 예약 작업을 설정한다고 전했다. 최종적으로 C&C 서버와 통신을 설정하고 사용자 컴퓨터의 정보 검색 및 스크린샷 캡처 등을 수행한 후 공격자에게 전송한다고 언급했다. Elastic Security Labs의 분석가들은 Warmc..

최근 미국의 은행 Citibank를 대상으로 하는 피싱 캠페인이 발견됐다. 외신에 따르면 공격자들이 Citibank를 사칭한 이메일을 전송해 피싱 사이트 접속을 유도한다고 알려졌다. 피싱 사이트에 로그인 할 경우 PIN, 주민등록증 사본과 같은 정보를 요구하며 입력한 모든 정보는 공격자에게 전송된다고 밝혀졌다. 보안 전문가는 메일 발신자 주소를 확인하고 이메일 본문에 포함된 버튼을 클릭하지 않을 것을 권고했다. 사진 출처 : BitDefender 출처 [1] BitDefender (2022.02.24) – Cybercrooks Phish for Login Credentials and Data of Citibank Customers in Ongoing Spam Campaigns https://www.bit..