잉카인터넷 시큐리티대응센터 블로그

최근, 새로운 정보 탈취 악성코드 "RisePro"가 유포되는 정황이 발견됐다. 보안 업체 Sekoia에 따르면, 해당 악성코드가 "PrivateLoader" 악성코드를 통해 유포되는 것으로 알려졌다. "PrivateLoader"로부터 다운로드된 "RisePro" 악성코드가 실행될 경우, 피해자 PC에서 신용 카드, 암호화폐 지갑, 브라우저 암호 및 쿠키 등을 탈취해 공격자 C&C 서버로 전송한다. 또한, "RisePro"는 추가 악성코드를 로드하는 기능을 포함하고 있다. 현재, "RisePro" 악성코드는 텔레그램 채널을 통해 판매되고 있다. 사진출처 : Sekoia 출처 [1] Sekoia (2022.12.22) - New RisePro Stealer distributed by the prominen..

최근, "TrueBot" 악성코드를 활용한 공격이 급증하고 있다. 보안 업체 Cisco Talos에 따르면, 이 악성코드는 다운로더 역할을 하며 최근 "Clop" 랜섬웨어를 유포하는 데 사용된 것으로 알려졌다. 해당 악성코드에 감염될 경우, 피해자 PC에서 시스템 정보와 스크린샷 등의 정보를 탈취하고, "Teleport" 및 "Clop"과 같은 추가 악성코드를 다운로드해 정보 탈취, 파일 암호화 등의 악성 행위를 수행한다. 또한, 새로운 버전의 "Truebot"에는 다운로드 기능 외에도 메모리에 셸 코드를 주입해 실행하는 등 탐지 회피를 위한 기능이 추가된 것으로 밝혀졌다. 사진출처 : Cisco Talos 출처 [1] Cisco Talos (2022.12.08) - Breaking the silence..

최근, 분석 방해 기술이 추가된 "GuLoader" 악성코드의 변종이 발견됐다. 보안 업체 Crowdstrike에 따르면, 해당 악성코드는 쉘코드 형태의 다운로더로 최신 버전에서는 VBS 파일 실행을 통해 유포되는 것으로 알려졌다. 이 파일을 실행하면 악성 쉘코드를 드롭한 뒤 정상 프로세스에 주입해 실행하고 "Remcos" 악성코드를 다운로드한다. 발견된 변종은 프로세스 메모리 전체에서 가상머신 관련 문자열 검사를 수행하며, 가상 환경이 탐지될 경우 쉘코드 실행을 중단하는 것으로 밝혀졌다. 사진출처 : Crowdstrike 출처 [1] Crowdstrike (2022.12.19) - Malware Analysis: GuLoader Dissection Reveals New Anti-Analysis Tech..

최근, Windows 10 운영체제 설치 프로그램으로 위장한 트로이 목마 악성코드가 발견됐다. 보안 업체 Mandiant에 따르면, 이 악성코드는 우크라이나 사용자를 대상으로 하며 토렌트 파일 공유 사이트에서 유포되는 것으로 알려졌다. 해당 악성코드는 Windows 10 설치 프로그램으로 위장한 악성 ISO 파일로, 자동 업데이트 및 라이센스 확인 등을 차단하도록 설계됐다. 설치 이후, 사용자 PC에서 시스템 파일 등을 탈취해 공격자의 C&C 서버로 전송한다. 또한, 지속성을 위한 여분의 백도어 "Sparepart"와 정보 탈취를 위한 백도어 "Stowaway" 등의 추가 악성코드를 설치하는 것으로 알려졌다. 사진출처 : Mandiant 출처 [1] Mandiant (2022.12.15) - Trojan..

최근, 음악 다운로드 앱으로 위장해 터키 사용자들을 노리는 "GodFather" 안드로이드 악성코드가 발견됐다. 보안 업체 Cyble은 해당 악성코드가 터키어로 작성됐으며, 음악 다운로드 앱인 MYT Music으로 위장해 유포된다고 알렸다. 이 악성코드는 사용자 기기에서 SMS 메시지, 설치된 앱 데이터 및 전화번호 등의 정보를 탈취하고, VNC를 사용해 원격으로 화면을 제어하는 등의 악성 행위를 수행한다. 이후, 텔레그램 채널에서 공격자의 C&C 서버 주소를 가져와 해당 주소로 탈취한 데이터를 전송하고 "killbot" 명령을 통해 스스로 종료된다. 사진출처 : Cyble 출처 [1] Cyble (2022.12.20) - GodFather Malware Returns Targeting Banking U..

최근, 암호화폐 거래 봇으로 위장한 "Applejeus" 악성코드가 등장했다. 보안 업체 Volexity에 따르면, 이 악성코드는 암호화폐 거래 봇의 설치 파일로 위장해 피싱 사이트에서 유포된다고 알려졌다. 해당 악성코드는 DLL Side-Loading을 통해 실행되며, MAC 주소 등의 시스템 정보를 수집하고 공격자의 C&C 서버에서 쉘코드를 다운로드 후 실행한다. Volexity는 사용된 프로토콜과 PE 메타데이터 구조를 기반으로 이 악성코드가 북한의 해킹 그룹 Lazarus의 캠페인과 관련 있다고 언급했다. 사진출처 : Volexity 출처 [1] Volexity (2022.12.01) - ₿uyer ₿eware: Fake Cryptocurrency Applications Serving as Fro..

최근, WordPress 웹 서버를 공격하는 "GoTrim" 봇넷 악성코드가 발견됐다. 보안 업체 Fortinet에 따르면 이 악성코드는 Go 언어로 개발됐으며, 악성 PHP 스크립트를 통해 유포된다고 알려졌다. 해당 악성코드는 WordPress 웹 서버를 대상으로 무차별 대입 공격을 시도해 대상 서버의 관리자 계정 정보를 탈취한다. 또한, 공격 대상 웹 서버의 백엔드와 직접 통신하며 Captcha와 같은 안티 봇 기능을 우회할 수 있다고 밝혀졌다. 사진출처 : Fortinet 출처 [1] Fortinet (2022.12.12) - GoTrim: Go-based Botnet Actively Brute Forces WordPress Websites https://www.fortinet.com/blog/th..

최근, 온라인 게임 Minecraft의 개인 서버를 공격하는 "MCCrash" 봇넷 악성코드가 발견됐다. Microsoft 보안팀에 따르면, 이 악성코드는 주로 Windows OS 정품인증 크랙 도구인 KMSAuto 등의 프로그램으로 위장해 유포된다고 알려졌다. 해당 악성코드를 실행할 경우, 레지스트리 키를 추가해 지속성을 유지하고 온라인 게임인 Minecraft의 개인 서버를 대상으로 DDoS 공격을 수행한다. 또한, 다른 시스템을 감염시키기 위해 취약한 SSH 계정을 사용하는 리눅스 장치를 찾아 무차별 대입 공격을 시도한다. 사진출처 : Microsoft 출처 [1] Microsoft (2022.12.15) - MCCrash: Cross-platform DDoS botnet targets privat..

최근, 피싱 사이트를 통해 유포되는 "DarkTortilla" 악성코드가 발견됐다. 보안 업체 Cyble은 이 악성코드가 맞춤법 검사 프로그램인 Grammarly 설치 파일로 위장해 피싱 사이트에서 유포된다고 알렸다. 해당 파일을 설치할 경우, "DarkTortilla" 악성코드가 실행되고 공격자 C&C 서버에서 "AgentTesla" 및 "Nanocore" 등의 추가 악성코드를 다운로드해 피해자의 정보를 탈취한다. 또한, 피해자의 PC에 존재하는 LNK 파일들을 확인하고 해당 파일의 아이콘으로 위장한 악성 LNK 파일을 생성해 지속성을 유지한다. 사진출처 : Cyble 출처 [1] Cyble (2022.12.16) - Sophisticated DarkTortilla Malware Spreading Vi..

IoT 장치를 대상으로 공격하는 새로운 "RapperBot" 봇넷 악성코드가 발견됐다. 해당 악성코드는 과거 소스코드가 공개된 “Mirai”를 기반으로 하고 있지만, “Mirai”에서 주로 사용하는 텔넷 자체 전파 방식이 아닌 SSH를 활용한 전파 방식을사용한다. 이 과정에서 SSH 서버를 스캔하고 자격 증명을 무작위로 입력해 접근 권한을 획득한 후, “RapperBot”을 감염한다. 이후 감염된 장치에서 실행된 악성코드는 공격자의 C&C 서버에서 받은 명령에 따라 DDoS 공격을 수행한다. 자가 삭제 먼저, “RapperBot”을 실행하면 unlink 함수를 사용해 실행한 파일을 자가 삭제한다. 와치독 타이머 초기화 - 재부팅 방지 그 다음, IoT 장비에서 의도하지 않은 무한 루프 등의 오작동을 탐지..