잉카인터넷 시큐리티대응센터 블로그

최근, 화상 회의 서비스인 Zoom으로 위장해 "IcedID" 악성코드가 유포되는 정황이 발견됐다. 보안 업체 Cyble에 따르면, 공격자가 피싱 사이트를 통해 Zoom 설치 프로그램으로 위장한 "IcedID" 악성코드를 유포한 것으로 알려졌다. 해당 악성코드를 실행할 경우, 피해자의 시스템에서 시스템 정보 등을 탈취해 공격자의 C&C 서버로 전송한다. 이번 공격에서 공격자는 악성코드와 정상 설치 프로그램을 함께 드롭 후 실행하며 사용자의 의심을 피한 것으로 밝혀졌다. 사진출처 : Cyble 출처 [1] Cyble (2023.01.05) - Zoom Users At Risk In Latest Malware Campaign https://blog.cyble.com/2023/01/05/zoom-users-a..

최근 “BazaLoader” 및 “IcedID”를 배포하던 사이버 해킹 그룹이 “Bumblebee” 라는 새로운 악성코드를 유포하기 시작했다. 해당 악성코드를 배포하기 위해 공격자는 대상에게 바로 가기 파일과 DLL 파일이 포함된 ISO 파일을 첨부하여 메일을 전송하는 것으로 알려졌다. “Bumblebee” 악성코드는 ISO 파일 내부에 있는 LNK(바로 가기) 파일을 실행하면 정상 프로세스인 “rundll32.exe”를 통해 DLL 파일을 로드하여 실행한다. 실행된 DLL 파일은 감염된 시스템의 권한을 획득하여 사용자의 PC를 원격으로 제어하며 추가 악성코드를 다운로드하고, APC(비동기 프로시저 호출) 인젝션을 통해 실행한다. Analysis “Bumblebee” 악성코드는 ISO 파일로 유포되며 내..

최근, 이스라엘의 보안 업체 Intezer가 "IcedID" 악성코드 캠페인을 발표했다. 해당 업체에 따르면 "IcedID"는 미리 탈취한 계정의 메일에서 지인과 주고 받은 메일 중간에 피싱 메일을 회신하는 방법인 대화 하이재킹(conversation hijacking)을 통해 유포된다고 알려졌다. 또한, 피싱 메일에는 문서 파일로 위장한 링크 파일과 DLL 파일이 압축되어 있으며 링크 파일을 실행할 경우 DLL 파일이 "IcedID"의 페이로드를 메모리에 로드해 실행한다고 알렸다. Intezer는 "이러한 유형의 공격을 탐지하려면 메모리 내부의 악성 파일을 탐지할 수 있어야 한다."고 언급했다. 사진출처 : Intezer 출처 [1] Intezer (2022.03.28) – New Conversatio..

IcedID 악성코드 최근, IcedID가 TA551 해커 그룹에 의해 다시 모습을 드러내고 있다. 2017년에 최초로 등장한 IcedID 악성코드는 BokBot이라는 이름으로도 불린다. Microsoft Office 문서 첨부 파일과 함께 피싱 메일로 유포되며, 사용자 PC에 설치되면 원격지와 통신하여 사용자의 은행 정보를 비롯한 각종 정보를 탈취한다. 감염 방식 IcedID는 감염된 PC에 대해 원격지와 연결되어 있는 경우, 악성 코드의 기능을 업데이트하거나 또 다른 악성 동작을 수행할 수 있다. 2차 피해를 유발할 수 있는 IcedID 악성코드는 안티바이러스 탐지를 우회하기 위해 다양한 감염 방식을 사용한다. 이메일의 악성 문서 첨부 파일을 통한 유포 방식은 동일하지만 최종 페이로드를 인젝션하기 전..