잉카인터넷 시큐리티대응센터 블로그

1. 악성코드 통계악성코드 유형별 비율2024년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 국내외에서 수집된 악성코드 현황을 조사하였으며, 유형별로 비교하였을 때 “Trojan”이 43%로 가장 높은 비중을 차지했고, “Worm”과 “Virus”가 각각 11%와 10%로 그 뒤를 따랐다.  2. 악성코드 동향2024년 4월(4월 1일 ~ 4월 30일) 한 달간 등장한 악성코드를 조사한 결과, 금융 기관을 표적으로 하는 "JsOutProx" 악성코드가 발견됐다. 또한, 피싱 이메일을 이용해 유포되는 "Latrodectus"와 "SSLoad" 악성코드가 알려졌다. 이 외에도 국내 안드로이드 사용자를 공격하는 "SoumniBot" 악성코드와 새로운 이름으로 등장한 "HelloGookie" ..

1. 랜섬웨어 통계랜섬웨어 데이터 유출 통계랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된, 데이터 유출 사이트 37곳의 정보를 취합한 결과이다.2024년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “Hunters International” 랜섬웨어가 30건으로 가장 많은 데이터 유출이 있었고, “Play” 랜섬웨어와 “8Base” 랜섬웨어가 각각 25건과 24건의 유출 사례를 기록했다.  2024년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 58%로 가장 높은 비중을 차지했고, 캐나다와 영국이 각 6%와 4%로 그 뒤를 따랐다.  2024년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유..

최근 CDN(Content Delivery Network) 캐시를 악용해 악성코드를 유포한 캠페인이 발견됐다. 보안 업체 Cisco Talos는 공격자가 탐지 기술을 회피하기 위해 CDN 캐시를 다운로드 서버로 사용했다고 언급했다. 또한, 업로드한 악성 ZIP 파일을 영화 파일로 속여 사용자가 다운로드하도록 유도했다고 전했다. 이때 사용자가 ZIP 파일을 다운로드해 내부의 바로가기 파일을 실행하면 감염 체인이 시작된다고 덧붙였다. 최종적으로 “Cryptbot”과 “LummaC2” 및 “Rhadamanthys” 등의 인포스틸러 악성코드를 사용해 사용자의 정보를 탈취한다고 설명했다. Cisco Talos 측은 캠페인에서 사용된 기술과 공격 방식을 근거로 베트남 출신으로 알려진 CoralRaider 조직이 배..

개요Wordpress 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Wordpress Automatic 플러그인 3.92.1 참고자료https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/wp-automatic/automatic-3920-unauthenticated-sql-injection

최근 북미의 제조업을 대상으로 “Ande Loader”를 사용해 악성코드를 유포하는 캠페인이 발견됐다. 해당 캠페인에서 사용된 “Ande Loader”는 Base64로 인코딩된 후 VBScript 형태로 유포됐으며, 공격자의 C&C 서버에서 최종 페이로드인 “NjRAT”을 다운로드 후 실행한다. 이후, 실행된 “NjRAT”은 사용자 PC에서 C&C 서버 연결을 시도하고 파일을 다운로드하거나 명령에 따른 추가 동작을 수행한다. 공격자가 “Ande Loader”를 이용해 사용자 PC에서 최종 페이로드를 다운로드 및 실행하는 흐름도는 [그림 1]과 같다.  ①     VBS 파일 내부의 PE 데이터를 Baset64로 디코딩해 “Ande Loader”를 확보한 후, 별도의 드롭 과정 없이 실행한다.②     “..

개요Microsoft 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술  해결방안제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다.- Microsoft Defender for IoT 24.1.3- KB5036892, KB5036893, KB5036894, KB5036896, KB5036899, KB5036909, KB5036910, KB5036922, KB5036925, KB5036932, KB5036950, KB5036960, KB5036967, KB5036969   참고자료https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-..

개요 Cisco 사는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Cisco RV 160, 160W, 260, 260P, 260W, 340, 340W, 345, 345P Series Routers 참고자료 https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-sbiz-rv-xss-OQeRTup

1분기 국가별 해커 그룹 동향 보고서 러시아 2024년 1분기 러시아의 해커 그룹인 ColdRiver와 CozyBear 그룹의 공격이 발견됐다. ColdRiver 해커 그룹은 PDF 암호 해독 도구로 가장한 페이로드를 사용해 알려지지 않은 백도어 악성코드를 배포했으며, CozyBear 해커 그룹은 독일 정당을 대상으로 피싱 메일을 사용해 공격하는 것이 확인됐다. ColdRiver 2015년도 후반부터 활동한 ColdRiver 해커 그룹은 러시아 정부 지원을 받고 있는 것으로 알려졌으며, Callisto Group, Seaborgium 및 Star Blizzard라고도 불린다. 최근에 해당 그룹은 전 세계 조직을 대상으로 계정 자격 증명과 데이터를 탈취하는 스피어 피싱 캠페인을 진행했다. 지난 2022년도..

1. 랜섬웨어 피해 사례2024년 1분기(1월 1일 ~ 3월 31일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 블랙캣(BlackCat)과 락빗(LockBit) 등의 랜섬웨어로 인한 피해가 다수 발견됐다. 1월에는 미국의 샌드위치 전문 레스토랑 Subway가 락빗 랜섬웨어 공격을 받았고, 2월과 3월에는 미국 금융 업체 LoanDepot과 벨기에의 맥주 제조 업체 Duvel Moortgat Brewery가 각각 블랙캣과 스토머스(Stormous) 랜섬웨어 공격을 받아 피해가 발생했다.  캑터스(Cactus) 랜섬웨어 피해 사례2024년 1분기에는 캑터스 랜섬웨어의 공격이 피해 업체의 운영에 영향을 미치는 피해 사례가 다수 발생했다. 캑터스 랜섬웨어는 2023년 3월부터 활발한 활동을 보..

최근 한 캠페인에서 "Bifrost" RAT 악성코드와 타이포스쿼팅 방식이 적용된 C&C 서버 도메인을 사용하는 정황이 공개됐다. 타이포스쿼팅은 특정 사이트의 도메인 이름을 모방해 철자를 다르게 등록하는 방식으로, 이번 캠페인에서는 VMware 사이트를 사칭한 download.vmfare.com을 공격자의 C&C 서버 도메인에 활용했다. 또한, 이 과정에서 배포된 "Bifrost"는 감염된 환경에서 호스트 이름, IP 주소 등의 정보를 수집해 공격자에게 보내고, 공격자의 C&C 서버에서 받은 명령을 수행할 수 있다. A. 타이포스쿼팅 이번 캠페인에서는 공격자의 C&C 서버의 도메인으로 VMware 사이트와 유사한 download.vmfare.com을 사용해 사용자의 유입을 유도했다. 또한, 대만 공용 D..