TACHYON 1242

Western Digital NAS, 공장 초기화 사태 발생

전세계적으로 네트워크 연결 저장소인 Western Digital My Book Live NAS 사용자들의 기기가 공장 초기화되어 저장된 모든 파일이 삭제되는 현상이 발견되었다. 해당 현상이 일어난 계정은 웹을 통해 로그인을 시도하면 ‘잘못된 비밀번호’라고 표시됐으며, 확인 결과 일부 사용자의 로그에서 공장 초기화를 수행하라는 원격 명령을 수신한 것으로 확인되었다. 그 중 일부 사용자들은 PhotoRec 파일복구 툴을 사용하여 파일을 부분적으로 복구할 수 있었다. Western Digital 측은 권고를 통해 "My Book Live와 My Book Live Duo를 인터넷에서 분리하여 장치의 데이터를 보호하는 것이 좋습니다." 라고 설명했다. 사진 출처 : https://www.bleepingcomput..

데이터를 유출한 Hive 랜섬웨어 그룹

새로운 랜섬웨어 그룹 Hive 가 Altus Group으로부터 탈취했다고 주장하는 데이터를 게시했다. 부동산 소프트웨어 솔루션 회사인 Altus Group은 6월 중순 경 보안사고가 발생하였으며 조사중에 있다고 발표하였다. 그리고 보안사고 약 일주일 후 Hive 랜섬웨어 그룹의 유출사이트인 HiveLeaks 에 Altus Group의 정보라고 주장하는 데이터가 게시되었다. Altus Group 은 게시된 정보가 실제 유출된 정보인지 여부를 공개하지 않았으며, 현재 유출 사이트(HiveLeaks)에는 해당 그룹 이외의 정보는 게시되어 있지 않다. 출처 [1] cybernews (2021.06.28) - New ransomware group Hive leaks Altus group sample files h..

Dell 제품 보안 업데이트 권고

개요 Dell 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 위험도 높음(High) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Alienware m15 R6 v1.3.3 및 이후 버전 - ChengMing v1.4.1 및 이후 버전 - Dell G15 5510 v1.4.0 및 이후 버전 외 5건 - Inspiron 14 5418 v2.1.0 A06 및 이후 버전 외 34건 - Latitude 3120 v1.1.0 및 이후 버전 외 28건 - OptiPlex 3080 v2.1.1 및 이후 버전 외 11건 - Precision ..

취약점 정보 2021.06.28

Microsoft 서명이 포함된 Netfilter에서 루트킷 악성코드 발견

G Data 악성코드 분석가인 “Karsten Hahn”에 의해 루트킷 악성코드가 포함된 Netfilter 드라이버가 발견됐다. 해당 드라이버는 주로 게임 커뮤니티를 통해 유포되었으며, Microsoft의 서명이 포함된 파일로 확인됐다. MS측의 발표 내용에 따르면 중국 IP를 사용하는 C&C 서버와 통신하는 것으로 밝혀졌으며 해당 서버는 미국 국방부가 “Community Chinese Military” 라고 표기한 사이버 공격 그룹에 속하는 것으로 알려졌다. MS는 드라이버 제조 업체인 “Ningbo Zhuo Zhi Innovation Network Technology”와 협력하여 관련 내용을 패치 했으며 Windows Update를 통해 악성코드가 포함되지 않은 드라이버를 얻을 수 있다고 발표했다. ..

LastConn 악성코드를 유포하는 Molerats 해커 그룹

최근 "Molerats" 해커 그룹의 소행으로 추정되는 피싱 메일 공격이 발견되었다. 해당 해커 그룹은 TA402, Gaza Hacker Team, Gaza Cybergang 등의 이름으로도 불리우며, 2020년도에는 악성 PDF 파일을 통해 "SharpStage" 등의 악성코드를 유포한 것으로 알려졌다. 이번에 발견된 피싱 메일은 중동의 정부 기관을 대상으로 유포되었으며, 메일에는 가자 지구 분쟁과 같은 중동의 지정학적 문제와 관련된 내용과 함께 악성 PDF 파일이 첨부되었다. 악성 PDF 파일에는 파일을 다운로드 할 수 있는 링크가 포함되어 있으며, 이를 통해 정상 문서 파일처럼 위장한 "LastConn" 악성코드를 다운로드 후 실행하도록 유도한다. "LastConn" 악성코드는 "SharpStage..

REvil 랜섬웨어, 헬스케어 회사 공격

브라질 헬스케어 회사인 Grupo Fleury가 사이버 공격을 받아 서비스가 중단 됐다. 해당 업체는 웹사이트에 "외부로부터 공격을 받아 현재 시스템을 사용할 수 없으며, 서비스 복원을 우선순위로 하고 있다"는 공지를 게시했다. BleepingComputer 측은 Grupo Fleury가 REvil 랜섬웨어의 공격을 받았으며, 공유받은 랜섬웨어 샘플 및 도난파일에 대한 유출과 암호해독을 빌미로 500달러의 랜섬머니를 요구하고 있다고 알렸다. Grupo Fleury는 환자 개인정보 및 의료정보 탈취 여부 등에 대한 공식적인 답변을 하지 않고 있다. 사진 출처 : https://www.fleury.com.br/ 출처 [1] BleepingComputer (2021.06.28) – Healthcare gian..

새롭게 등장한 MaaS, Matanbuchus Loader

사이버 범죄 서비스인 Malware-as-a-Service(MaaS)가 최근 들어 더욱 활발하게 모습을 나타내고 있어 주의가 필요하다. 그 중, Matanbuchus Loader는 새롭게 등장한 악성코드로 해당 악성코드는 원격지와 통신하며 사용자 정보를 탈취하고 그 외 추가적인 명령 및 제어 동작을 수행한다. 한 해킹 포럼에서 처음 광고되었으며 $2500 달러에 판매가 되었다. 해당 게시글을 작성한 BelialDemon은 이전에TriumphLoader를 개발하여 판매한 것으로 추정된다. 사진 출처: https://unit42.paloaltonetworks.com/matanbuchus-malware-as-a-service/ 엑셀 문서 파일을 통해 최초 유포되었으며, 최종 페이로드인 Matanbuchus.d..

불법 복제 프로그램으로 위장한 Vigilante 악성코드

최근 불법 복제 프로그램으로 위장해 유포 중인 “Vigilante” 악성코드가 발견됐다. 해당 악성코드는 호스트 파일을 수정해 토렌트 파일을 공유하는 사이트인 “The Pirate Bay” 등을 차단하며, 실행 과정에서 악성코드를 추가로 다운로드 받아 정보를 탈취한다. “Vigilante” 악성코드는 음성 채팅을 위해 제작된 프로그램인 디스코드(Discord) 또는 토렌트를 통해 유포된 것으로 알려졌으며, 유포된 파일을 다운로드한 후 압축을 해제하면 [그림 1]과 같이 파일을 생성한다. 추가로, “Vigilante” 악성코드가 위장한 유명한 게임 또는 소프트웨어는 [그림 2]와 같다. Vigilante 악성코드 “Vigilante” 악성코드를 실행하면 호스트 파일에 불법 복제 소프트웨어 사이트 도메인을 ..

GO 언어로 제작된 악성코드 Klingon RAT

2019년부터 백신 프로그램 탐지 회피 및 다양한 OS 사용자 타겟으로 공격이 가능하다는 이유에서 기존의 프로그래밍 언어가 아닌 GO 언어로 제작된 악성코드가 등장하기 시작했다. 최근에는 점차 GO 언어를 사용해 제작된 악성코드가 증가하고 있다. 2021년 2월경, 자사에서는 GO 언어로 제작된 "Electro RAT" 분석글을 게시하였으며 해당 글의 링크는 아래에 첨부되어 있다. 2021.02.09 - [악성코드 분석] ElectroRAT 악성코드 분석 보고서 최근 GO 언어로 제작된 새로운 악성코드 "Klingon RAT"이 등장했다. "Klingon RAT"은 백신 프로그램 종료를 시도하며 관리자 권한을 획득한다. 최종적으로 해당 악성코드는 C&C 서버를 이용해 정보를 탈취하고, 사용자의 PC를 제..

[주간 랜섬웨어 동향] – 6월 4주차

잉카인터넷 대응팀은 2021년 6월 18일부터 2021년 6월 24일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Mansory" 외 4건, 변종 랜섬웨어는 "Magniber" 외 1건이 발견됐다. 또한, "Lockbit" 랜섬웨어가 더욱 강력해진 새로운 버전 v2.0으로 다시 모습을 나타냈다. 2021년 6월 18일 Mansory 랜섬웨어 파일명에 ".MANSORY" 확장자를 추가하고 "MANSORY-MESSAGE.txt"라는 랜섬노트를 생성하는 "Mansory" 랜섬웨어가 발견됐다. Poteston 랜섬웨어 파일명에 ".poteston" 확장자를 추가하고 "readme.txt"라는 랜섬노트를 생성하는 "Poteston" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 ..