잉카인터넷 시큐리티대응센터 블로그

최근, 분석 방해 기술이 추가된 "GuLoader" 악성코드의 변종이 발견됐다. 보안 업체 Crowdstrike에 따르면, 해당 악성코드는 쉘코드 형태의 다운로더로 최신 버전에서는 VBS 파일 실행을 통해 유포되는 것으로 알려졌다. 이 파일을 실행하면 악성 쉘코드를 드롭한 뒤 정상 프로세스에 주입해 실행하고 "Remcos" 악성코드를 다운로드한다. 발견된 변종은 프로세스 메모리 전체에서 가상머신 관련 문자열 검사를 수행하며, 가상 환경이 탐지될 경우 쉘코드 실행을 중단하는 것으로 밝혀졌다. 사진출처 : Crowdstrike 출처 [1] Crowdstrike (2022.12.19) - Malware Analysis: GuLoader Dissection Reveals New Anti-Analysis Tech..

최근, Windows 10 운영체제 설치 프로그램으로 위장한 트로이 목마 악성코드가 발견됐다. 보안 업체 Mandiant에 따르면, 이 악성코드는 우크라이나 사용자를 대상으로 하며 토렌트 파일 공유 사이트에서 유포되는 것으로 알려졌다. 해당 악성코드는 Windows 10 설치 프로그램으로 위장한 악성 ISO 파일로, 자동 업데이트 및 라이센스 확인 등을 차단하도록 설계됐다. 설치 이후, 사용자 PC에서 시스템 파일 등을 탈취해 공격자의 C&C 서버로 전송한다. 또한, 지속성을 위한 여분의 백도어 "Sparepart"와 정보 탈취를 위한 백도어 "Stowaway" 등의 추가 악성코드를 설치하는 것으로 알려졌다. 사진출처 : Mandiant 출처 [1] Mandiant (2022.12.15) - Trojan..

최근, 인도 철도 공사 IRCTC를 사칭해 피해자의 금융 정보를 탈취하는 피싱 캠페인이 발견됐다. 보안 업체 Cyble에 따르면, 공격자가 트위터 사용자를 대상으로 IRCTC 고객 지원 담당자로 가장해 접근하는 것으로 알려졌다. 공격자는 트위터에서 인도 철도에 대한 불만 사항을 게시한 사용자에게 연락해 보상을 빌미로 열차 예약 번호, 환불 금액 및 결제 수단 등의 정보를 요구한다. 또한, SMS 및 금융 정보를 탈취하기 위해 추가적인 피싱 사이트와 악성 Android 앱을 사용한 것으로 밝혀졌다. Cyble은 사용자에게 이러한 사기 수법을 인지하고, 타인에게 개인 정보를 제공하거나 앱을 설치할 경우 주의할 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.12.27) - New W..

최근, 음악 다운로드 앱으로 위장해 터키 사용자들을 노리는 "GodFather" 안드로이드 악성코드가 발견됐다. 보안 업체 Cyble은 해당 악성코드가 터키어로 작성됐으며, 음악 다운로드 앱인 MYT Music으로 위장해 유포된다고 알렸다. 이 악성코드는 사용자 기기에서 SMS 메시지, 설치된 앱 데이터 및 전화번호 등의 정보를 탈취하고, VNC를 사용해 원격으로 화면을 제어하는 등의 악성 행위를 수행한다. 이후, 텔레그램 채널에서 공격자의 C&C 서버 주소를 가져와 해당 주소로 탈취한 데이터를 전송하고 "killbot" 명령을 통해 스스로 종료된다. 사진출처 : Cyble 출처 [1] Cyble (2022.12.20) - GodFather Malware Returns Targeting Banking U..

최근, 보안 업체 Cyble이 새로운 YouTube 봇 악성코드를 발견했다. 해당 업체에 따르면, 이 악성코드는 특정 채널의 조회수와 좋아요 수를 늘리고 댓글을 작성해 채널 순위를 높일 수 있다고 알려졌다. 해당 악성코드가 실행될 경우, 피해자 PC에 설치된 브라우저의 쿠키와 자동 완성 및 로그인 데이터 등의 정보를 수집해 공격자의 C&C서버에 전송한다고 밝혀졌다. 또한, 공격자가 운영하는 C&C 서버로부터 명령을 받아 피해자의 컴퓨터에 추가 악성코드를 다운로드하고 실행할 수 있다. 출처 [1] Cyble (2022.12.23) - New YouTube Bot Malware Spotted Stealing User’s Sensitive Information https://blog.cyble.com/2022..

최근, 공격자들이 WordPress에서 사용되는 플러그인 중 하나인 YITH WooCommerce의 취약점을 악용하는 정황이 발견됐다. 이 취약점은 CVE-2022-45359로 Yith WooCommerce Gift Cards Premium v3.19 이하 버전에서 미흡한 CSRF 검사로 인해 발생하는 파일 업로드 취약점으로 알려졌다. 공격자가 악용할 경우, 취약한 사이트에 백도어를 업로드하고 원격 코드를 실행해 정보 탈취 공격을 수행할 수 있다. 보안 업체 Wordfence는 해당 취약점이 해결된 최신 버전으로 업데이트 할 것을 권고했다. 출처 [1] Wordfence (2022.12.22) - PSA: YITH WooCommerce Gift Cards Premium Plugin Exploited in..

최근, 보안 업체 Reversing Labs가 보안 소프트웨어 모듈로 위장한 악성 Python 패키지를 발견했다. 해당 업체는 공격자가 PyPI 패키지 저장소에 보안 업체 Sentinel One을 사칭한 악성 Python 패키지 "SentinelOne"을 업로드 했다고 알렸다. 이 악성 패키지 내부의 "api.py" 파일은 AWS 정보와 SSH 키 및 구성 정보 등의 데이터를 수집해 공격자가 운영하는 C&C 서버로 전송한다고 밝혀졌다. Reversing Labs는 이 사실을 PyPI 보안 팀에 보고했으며, 현재 해당 악성 패키지는 PyPI에서 삭제됐다. 사진출처 : Reversing Labs 출처 [1] Reversing Labs (2022.12.09) - Threat Actor Distributing ..

최근, FIFA 게임으로 위장한 "RedLine Stealer" 악성코드가 발견됐다. 보안 업체 Cyble에 따르면, 공격자들이 유튜브 채널에 FIFA 23 크랙 버전의 다운로드 링크와 함께 다운로드 및 설치하는 방법을 업로드 했다고 알려졌다. 다운로드 링크를 클릭해 FIFA 23 크랙 버전을 설치할 경우, "RedLine Stealer" 악성코드가 실행돼 웹 브라우저 쿠키와 신용카드 정보 등의 데이터를 탈취한다. Cyble은 이러한 피해를 예방하기 위해 백신 소프트웨어를 사용하고 알 수 없는 웹 사이트에서 파일을 다운로드 하지 않을 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.12.09) - Threat Actor Distributing Redline Stealer Malw..

최근, FBI가 검색 엔진의 광고를 통한 악성 사이트 접속을 경고했다. FBI에 따르면, 공격자들이 검색 결과 상위에 나타나는 광고를 구매하고 자신들의 악성 사이트를 광고에 띄워 접속을 유도한다고 알려졌다. 이러한 악성 사이트는 정상 사이트로 위장하고 있으며, 악성코드를 유포하거나 로그인 및 금융 정보를 입력하는 창을 띄워 계정 정보와 금융 정보를 탈취한다고 알렸다. 해당 기관은 이러한 피해를 예방하기 위해 광고 차단 확장 프로그램을 사용할 것을 권고했다. 출처 [1] FBI (2022.12.21) - Cyber Criminals Impersonating Brands Using Search Engine Advertisement Services to Defraud Users https://www.ic3.g..

최근, Facebook 게시물을 악용한 피싱 공격이 발견됐다. 보안 업체 Trustwave는 공격자가 저작권 침해 안내를 가장한 피싱 메일의 본문에 공식 Facebook 문의 게시물로 위장한 악성 게시물 주소를 넣어 접속을 유도한다고 알렸다. 이 악성 게시물에는 저작권 침해 안내 페이지로 위장한 피싱 사이트의 주소가 존재한다. 해당 피싱 사이트에 접속할 경우, 사용자로부터 이메일 주소와 전화번호 및 이름 입력을 요구하는 창을 띄워 입력한 모든 정보를 공격자의 Telegram 계정으로 전송한다. 사진출처 : Trustwave 출처 [1] Trustwave (2022.12.15) - Meta-Phish: Facebook Infrastructure Used in Phishing Attack Chain http..