TACHYON Internet Security61 [악성코드 분석] RevengeRAT 악성코드 분석 보고서 RevengeRAT은 2016년 6월경 처음 등장한 악성코드로 지속적인 업데이트를 통해 현재까지도 유포되고 있다. “Palo Alto Network”의 “Unit 42” 연구팀은 2018년 12월경 서비스업, 특히, 호텔 예약 문서로 위장한 메일을 통해 고객들에게 RAT을 유포해 신용 카드 정보 및 사용자 정보를 탈취한 캠페인이 있었다고 밝혔다. 해당 캠페인에는 다양한 RAT이 사용되었으며 그 중에는 RevengeRAT도 포함되어 있다. (출처 : https://unit42.paloaltonetworks.com/operation-comando-or-how-to-run-a-cheap-and-effective-credit-card-business) 최근 이러한 캠페인이 다시 등장해 브라질의 호텔 체인 기업 .. 2021. 2. 9. [랜섬웨어 분석] NocryCryptor 랜섬웨어 NocryCryptor Ransomware 감염 주의 최근 ‘%USERPROFILE%’ 경로를 대상으로 파일을 암호화하는 “NocryCryptor” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자에 따라 파일 감염 방식과 변경하는 확장자가 다르고, 바탕화면에 랜섬노트를 생성하여 50유로 상당의 비트코인을 요구하므로 사용자의 주의가 필요하다. “NocryCryptor” 랜섬웨어에 감염되면 바탕화면에 “CryptoJoker Recovery Information.txt”란 이름의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 감염된 컴퓨터에서의 파일 암호화는 ‘%USERPROFILE%’ 경로를 대상으로 진행되며 암호화된 파일은 [그림 2]와 같이 “.fully.nocry” 또는 “partia.. 2020. 12. 10. [악성코드 분석] TroubleGrabber Stealer 악성코드 분석 보고서 1. 개요 및 분석 정보 1-1. 개요 최근 디스코드에서 제공하는 웹훅을 악용하여 디스코드 사용자의 데이터를 훔치는 “TroubleGrabber” 악성코드가 발견되었다. 디스코드(Discord)는 게임상에서 음성 채팅을 위해 제작된 프로그램으로 약 2억 명 이상의 사용자가 있으며, 자체적으로 웹훅(Webhook) 기능을 제공한다. 웹훅은 서버에서 작업이 발생했을 때 그 정보를 외부에 전달하는 방식을 의미하며, 디스코드에서는 이 기능을 이용하여 원하는 정보를 메시지로 받을 수 있다. 이번에 발견된 "TroubleGrabber"는 디스코드에서 제공하는 웹훅을 악용하여 사용자 PC에서 정보를 탈취하는 데 사용하며, 추가로 특정 버전에서는 디스코드 클라이언트 파일을 수정하여 사용자가 로그인할 때마다 공격자에게 .. 2020. 12. 4. [랜섬웨어 분석] Fonix 랜섬웨어 Fonix Ransomware 감염 주의 최근 "Fonix” 랜섬웨어가 발견되었다. ‘Fonix’ 랜섬웨어는 특정 파일 및 폴더를 제외한 모든 파일에 대해 암호화를 하고, 랜섬노트를 띄운 후 피해자에게 몸값을 요구한다. 또, 사용자가 PC를 다시 복구할 수 없도록 하며 중요한 윈도우 OS폴더를 제외한 모든 확장자를 대상으로 암호화가 이루어지므로 사용자의 주의가 필요하다. “Fonix” 랜섬웨어에 감염되면 [표 1]의 해당 랜섬웨어와 관련된 파일 및 중요한 윈도우 OS폴더를 제외한 모든 확장자의 파일이 암호화 된다. 암호화 이후 로컬 드라이브의 이름을 XINOF로 바꾸고, 감염된 파일명의 확장자 뒤에 “.Email=[Email Address]ID=[UserID].XINOF” 라는 이름의 확장자를 덧붙인다... 2020. 11. 18. [악성코드 분석] Matiex Keylogger 악성코드 분석 보고서 지난 2019년에 최초로 등장한 ‘Matiex Keylogger’가 최근 다시 모습을 드러내고 있다. 해당 악성코드는 유료 악성코드로서 온라인에서 판매 중이며, 사용자의 개인정보를 탈취하는 등 다양한 악성 동작을 보유하고 있어 주의가 필요하다. 이번 보고서에서는 ‘Matiex Keylogger’ 의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 사용 가능한 기간에 따라 가격대는 다양하며, 누구나 쉽게 접할 수 있도록 설계되어있다. ‘Matiex Keylogger’가 실행되면 사용자의 PC 정보를 획득한 뒤, 텍스트 파일로 생성한다. 위와 같이 생성된 파일의 내용을 C2 서버에 전송한다. 사용자 PC의 정보를 탈취한 뒤, 다양한 사용자 계정 정보를 탈취한다. Outlook 을 사용중인 사용자라면 아래의.. 2020. 10. 23. [악성코드 분석] Vidar Stealer 악성코드 분석 보고서 1. 개요 최근 마이크로소프트의 윈도우, 오피스 제품에 대한 불법 정품인증 툴인 ‘KMSAuto’로 위장한 악성코드 유포 사례가 발견되었다. 해당 샘플은 SFX 형태의 압축파일로 내부에는 정품인증을 위한 ‘KMSAuto Net.exe’, 감염 PC의 네트워크 정보를 획득하기 위한 ‘script.vbs’ 및 정보를 탈취하는 ‘build.exe’가 있다. 만약, 사용자가 비밀번호를 정상적으로 입력한 후, OK 버튼을 누르면 “C:\Program\Data” 에 3개의 파일이 드롭된다. 첫 번째 드롭 파일은 KMSAuto Net.exe v1.5.1 크랙판(KMSAuto Net.exe)이고, 두 번째 드롭 파일은 IP Logger를 사용하여 감염 PC의 네트워크 정보를 수집하는 스크립트 파일(script.vbs).. 2020. 8. 6. 이전 1 2 3 4 ··· 11 다음
