잉카인터넷 시큐리티대응센터 블로그

2017년에 처음 등장한 "Spectre RAT" 악성코드는 2021년 3월경, 해커 포럼에서 판매되기 시작했다. 다크웹에 게시된 판매글에 의하면 "Spectre RAT" 악성코드는 스틸러 기능을 포함하고 있으며 이용자가 원하면 봇넷 동작을 추가할 수 있다. 2021년 9월경 출시되어 현재 판매중인 버전 4의 "Spectre RAT"은 최근 유럽 지역의 PC 사용자를 대상으로 한 피싱 메일 캠페인에 악용된 사례가 존재한다. "Spectre RAT" 악성코드는 악성 매크로가 포함된 문서 파일로 유포되어 매크로가 실행되면 VBS 파일을 드랍한 후 실행한다. 그 후, 공격자의 C&C 서버에서 로더 파일을 다운로드한다. 다운로드된 로더는 파일 내부에 암호화된 페이로드를 복호화한 후 로더 파일의 메모리에서 실행시..

최근 파일 난독화 프로그램인 "HCrypt"의 변종을 사용하는 Water Basilisk 캠페인이 발견됐다. 해당 캠페인의 공격자들은 공격 과정에 사용할 스크립트 및 악성코드를 "HCrypt"로 난독화했으며, 사용자 PC에 정보 탈취 또는 조작을 위한 목적의 악성코드를 설치한다. Water Basilisk 캠페인에서 사용자 PC에 최종 페이로드를 실행하기 위한 흐름도는 [그림 1]과 같다. 1. ISO 파일 내부에는 VBS로 작성된 스크립트 파일이 존재한다. 2. VBS 스크립트 파일을 실행하면 공격자의 C&C 서버에서 파일 다운로드를 위한 파워쉘 스크립트를 다운로드 및 실행한다. 3. 파워쉘 스크립트는 공격자의 C&C 서버에서 최종 페이로드 실행을 위한 VBS 스크립트를 다운로드한다. 4. 이전 단계에..

최근, 러시아어를 사용하는 다크웹 포럼에 국내 한 주식투자방송의 회원정보가 게시됐다. 해당 글에는 주식투자방송 주소, 회원 정보 예시가 작성됐으며, 탈취한 정보를 다운로드 할 수 있는 링크를 공개해 모든 사용자들이 접근 가능하도록 했다. 게시자가 공개한 데이터에는 [그림 2]와 같이 약 19만 명의 회원들에 대한 이메일, 이름 및 휴대폰 번호 등의 정보가 존재했다. 최근 다수의 회원을 보유한 기업을 대상으로 하는 사이버 공격 발견되고 있으며, 이에 따라 개인 정보 유출의 문제도 발생하고 있다. 따라서, 각 기업에서는 직원들의 보안의식을 높이고 내부 보안 시스템을 점검 및 관리해 안전성을 확보할 필요가 있다. 더불어 사이버 공격으로 인한 데이터 침입 및 유출을 인지한 경우 수사기관과 한국인터넷진흥원에 신고..

지난 10월과 11월에 걸쳐 TikTok 사용자를 대상으로 하는 피싱 캠페인이 발견되었다. 공격자는 TikTok 관리자를 사칭하여 TikTok계정과 관련한 내용의 피싱 이메일을 유포하였다. 피싱 메일은 TikTok계정이 삭제될 예정이라는 내용으로 120명 이상의 개인 사용자와 기업에게 배포되었다. 메일에는 WhatsApp 채팅 링크가 첨부되어 있으며, 채팅을 통해 이메일 주소, 전화번호 및 TikTok 계정 정보를 요구한다. 사진 출처: Abnormal Security 출처 [1] Abnormal Security (2021.11.19) - New Tiktok Phishing Campaign Targets Influencer Accounts https://abnormalsecurity.com/blog/ti..

최근 PhoneSpy 원격제어 악성 앱이 새롭게 등장하였다. 해당 앱은 요가 교육 앱, 사진 정리 앱과 같이 라이프스타일 앱을 사칭하였으며, 소셜 네트워크나 악성 웹 사이트 리디렉션 등의 방식으로 유포된 것으로 추정된다. 만일 사용자가 정상 앱으로 착각하여 PhoneSpy 앱을 실행하면, 수신 및 발신되는 연락처, 문자 메시지 등 각종 정보가 탈취된다. 그리고 원격지에서 명령을 받아와 카메라 사진 및 동영상 촬영의 동작도 수행할 수 있다. 다음은 "Daily Yoga" 이름으로 유포된 PhoneSpy 앱으로 실행하면 각종 권한을 요구한다. 단말기에서 최초로 실행할 때, 아이콘을 숨김 모드로 설정을 한다. 이는 홈 화면에서 해당 앱이 보이지 않기 때문에 사용자가 눈치채지 못한 상태에서 지속성을 유지할 수 ..

개요 Intel 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 위험도 높음(High) 및 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Intel Xeon Processor Familay E, E3 v6, W 최신 버전 - Intel Xeon Scalable Processors 3세대 최신 버전 - Intel Core Processors 7세대, 8세대, 10세대, 11세대 최신 버전 - Intel Core X-series Processors 최신 버전 - Intel Celeron Processor N S..

개요 VMware 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - VMware Tanzu Application Service for VMs v2.7.40, v2.9.28, v2.10.20, v2.11.8, v2.12.1 및 이후 버전 참고자료 https://www.boho.or.kr/data/secNoticeView.do?bulletin_writing_sequence=36341 https://www.vmware.com/security/advisories/VMSA-2021-0026.html

최근, "Cyble Research Labs" 은 일본을 대상으로 정보 탈취 동작을 수행하는 "FakeCop" 이라는 악성 앱을 발견 하였다. "FakeCop" 은 일본의 통신회사에서 제공하는 백신 앱으로 위장해 사용자 단말기 내 주요 정보들을 수집하여 외부 원격지로 전송하기 때문에 주의가 필요하다. 악성 앱이 실행 되면 아래와 같이 기본 SMS 앱을 악성 앱으로 변경하도록 유도한다. 그 후, 사용자 단말기 내에 있는 연락처 목록, SMS 메시지, 단말기 정보 등을 수집하여 원격지로 전송한다. 아래는 악성 앱이 정보 탈취에 사용하는 프록시 서버로, 프록시 서버에 접근하면 원격지 주소를 확인할 수 있다. "FakeCop" 은 원활한 악성 동작을 수행하기 위해, 단말기 내에 보안 앱이 설치되어 있는지 확인하..

잉카인터넷 대응팀은 2021년 11월 5일부터 2021년 11월 11일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "PencilCry" 외 3건, 변종 랜섬웨어는 "Thanos" 외 3건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 미국 당국이 REvil 랜섬웨어 공격의 배후인 우크라이나인을 체포한 사실을 밝혔다. 2021년 11월 5일 PencilCry 랜섬웨어 암호화를 하지 않고, [그림 1]의 랜섬노트를 실행하는 "PencilCry" 랜섬웨어가 발견됐다. Thanos 랜섬웨어 파일명에 ".stepik" 확장자를 추가하고 "RESTORE_FILES_INFO.txt"라는 랜섬노트를 생성하는 "Thanos" 랜섬웨어의 변종이 발견됐다. 해당 랜섬웨어는 특정 프로세스의 실행..

최근 안드로이드 단말기를 대상으로 하는 PhoneSpy 악성코드가 다량 발견되었다. 해당 캠페인은 한국어 사용자를 표적으로 공격이 이루어졌으며, 개인 및 기업 등 1,000명 이상에게 유포된 것으로 알려졌다. PhoneSpy는 요가 교육 앱을 비롯하여 다양한 라이프 스타일 앱을 위장하였으며, 단말기 정보 및 메시지, 사진 등의 개인 정보를 탈취한다. 그리고 C2 서버와 연결되면 원격제어 기능도 가능한 것으로 알려졌다. 해당 앱은 안드로이드 앱 스토어에서 발견되지 않아, 스미싱 또는 웹 트래픽 리디렉션 등의 배포 방식을 통해 유포된 것으로 추정된다. 출처 [1] Zimperium (2021.11.11) - PhoneSpy: The App-Based Cyberattack Snooping South Korea..