잉카인터넷 시큐리티대응센터 블로그

개요 Python에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Python 3.12 이후 버전 참고자료 https://kb.cert.org/vuls/id/127587

웹 브라우저 업데이트로 위장해 “RedEnegy” 스틸러를 유포하는 캠페인이 발견됐다. 주요 대상은 브라질과 필리핀의 산업 분야이며, 공격자는 대상 산업의 홈페이지 링크를 리다이렉션해 가짜 사이트로 접속을 유도한다. 해당 사이트는 웹 브라우저 업데이트가 필요하다는 메시지와 함께 다운로드 링크를 제공한다. “RedEnergy” 스틸러는 해당 링크에서 다운로드 되며, 실행 시 감염 PC에서 정보를 탈취한다. 또한, 파일을 암호화하고 파일 복구를 빌미로 랜섬머니를 요구하는 랜섬웨어의 동작도 수행한다. “RedEnergy” 스틸러를 실행하면, 임시 폴더에 2개의 파일을 드롭한다. 하나는 실제로 웹 브라우저를 업데이트하는 정상 파일이고, 다른 하나는 악성 동작을 수행하는 악성코드이다. - 파일명 : tmp[4자리..

최근 서비스형 피싱 플랫폼인 “EvilProxy”를 사용해 Microsoft 365 계정을 탈취하는 피싱 캠페인이 발견됐다. 보안 업체 Proofpoint는 신뢰할 수 있는 업체로 위장한 공격자의 피싱 메일에서 캠페인이 시작된다고 전했다. 피싱 메일은 정상적인 웹사이트로 위장한 링크를 포함하고 있으며, 접속할 경우 공격자가 사전에 만든 사이트로 리다이렉션을 한다. 해당 링크로 접속한 사용자가 로그인을 시도하면, 공격자는 “EvilProxy”를 사용해 계정 정보와 MFA 인증 정보 등을 탈취한다. 이후, 탈취한 계정으로 로그인 한 공격자는 MFA 인증 방식을 추가해 지속적인 접근을 가능하게 하며 금융 사기 및 데이터 유출 등의 추가 공격을 수행할 수 있게 된다. 이에 대해 Proofpoint 측은 이메일 ..

개요 Microsoft 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 일부 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - KB5002445, KB5002464, KB5029242, KB5029244, KB5029247, KB5029250, KB5029253, KB5029259, KB5029263, KB5029295, KB5029296, KB5029301, KB5029304, KB5029307, KB5029308, KB5029312, KB5029318, KB5029367 참고자료 https://msrc.mi..

1. 악성코드 통계 악성코드 진단 비율 2023년 7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 진단명 별로 비교하였을 때 “Agent”와 “KMSAuto”가 각각 30%로 가장 높은 비중을 차지했다. 악성코드 유형별 진단 수 전월 비교 7월에는 악성코드 유형별로 6월과 비교하였을 때 Trojan, Ransom, Backdoor, Suspicious 및 Worm의 진단 수가 증가했다. 주 단위 악성코드 진단 현황 7월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 첫째 주는 6월에 비해 진단 수가 감소했지만, 둘째 주를 기점으로 증가로 바뀌는 추이를 보였다. 2. 악성코드 동향 2023년 7월(7월 1일 ~ 7월 3..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된, 데이터 유출 사이트 43곳의 정보를 취합한 결과이다. 2023년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “Clop” 랜섬웨어가 157건으로 가장 많은 데이터 유출이 있었고, “LockBit” 랜섬웨어와 “8base” 랜섬웨어가 각각 52건과 33건의 유출 사례를 기록했다. 2023년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 51%로 가장 높은 비중을 차지했고, 영국과 캐나다가 각각 10%와 3%로 그 뒤를 따랐다. 2023년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 산업별로 ..

Fortinet 에 따르면, 최근 Flutter 오픈 소스 SDK를 사용한 악성 애플리케이션이 다량 발견된 것으로 전해진다. Flutter는 구글에서 제공하는 오픈소스 UI 개발 키트로, 이를 통해 제작된 애플리케이션은 리버싱이 어렵다는 점을 악용한 것으로 보여진다. 이러한 악성코드는 지난 6월에 처음 발견되었으며, 최근까지 지속적으로 나타나고 있다. 아래의 그림은 ‘BadgeProvider’라는 이름으로 유포된 악성코드의 실행화면으로, 애플리케이션의 이름으로 유추할 수 있는 동작보다 과도한 권한을 요구한다. 위의 권한을 획득하면, 단말기의 모델명, 전화번호, 네트워크 관련 정보 및 위치 등의 정보를 수집하여 원격지로 전송한다. 이때 공격자가 지정한 uid, password 파라미터를 함께 전송하여 공격..

“Abyss Locker” 랜섬웨어가 Linux의 가상화 플랫폼인 VMware ESXi 서버를 공격하는 변종이 발견됐다. 발견된 변종은 ESXi 서버에서 호스트를 관리하는 esxcli 명령을 사용해 실행 중인 가상 머신을 모두 종료한다. 이후 가상 디스크, 스냅샷 및 메타데이터를 포함한 파일을 암호화한 후 파일명에 “.crypt” 확장자를 추가한다. 또한, “파일명.README_TO_RESTORE” 이름의 랜섬노트를 생성한다. 외신은 “Abyss Locker” 측이 자신들이 운영하는 데이터 유출 사이트에 14곳의 피해 업체 정보를 게시했다고 전했다. 사진 출처 : BleepingComputer 출처 [1] BleepingComputer (2023.07.29) – Linux version of Abyss ..

최근 사용자 계정 컨트롤(UAC, User Access Control) 우회 기능이 추가된 “Casbaneiro” 악성코드 변종이 발견됐다. 보안 업체 Sygnia는 "Casbaneiro" 악성코드가 라틴 아메리카의 금융 분야에서 스피어 피싱 메일의 첨부 파일로 유포된다고 전했다. 공격자는 기존에 PDF 파일을 첨부해 악성 ZIP 파일을 다운로드하도록 유도했지만, 발견된 변종에서는 HTML 파일을 첨부했다. 해당 파일을 실행하면 공격자의 사이트로 리다이렉션을 해 악성 RAR 파일을 다운로드한다. 또한, 다운로드한 파일을 Shell 레지스트리 키에 등록해 관리자 권한으로 실행하도록 설정한다. 이후 윈도우의 기능 관리 프로그램인 fodhelper.exe를 실행하면 레지스트리를 확인해 관리자 권한으로 셸이 동..

개요 Ivanti 사는 자사 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Ivanti EPMM 11.8.1.1, 11.9.1.1, 11.10.0.2 참고자료 https://forums.ivanti.com/s/article/CVE-2023-35078-Remote-unauthenticated-API-access-vulnerability?language=en_US