malware 17

2023년 04월 악성코드 동향 보고서

1. 악성코드 통계 악성코드 Top10 2023년 4월(4월 1일 ~ 4월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top10이다. 가장 많이 탐지된 악성코드는 Trojan(트로이 목마) 유형이며 총 847건이 탐지되었다. 악성코드 진단 수 전월 비교 4월에는 악성코드 유형별로 3월과 비교하였을 때 Trojan, Suspicious 및 Backdoor의 진단 수가 증가했고, Virus와 Worm의 진단 수가 감소했다. 주 단위 악성코드 진단 현황 4월 한달 동안 악성코드 진단 현황을 주 단위로 살펴보았을 때 둘째 주까지는 3월에 비해 진단 수가 증가했지만, 셋째 주에는 ..

베트남 은행 위장 악성 앱 유포

최근 베트남의 은행서비스를 위장한 악성 앱이 유포되었다. 해당 악성 앱은 정상 사이트를 위장한 웹 사이트를 통해 유포되었으며, ‘BestPay VN’이라는 이름으로 설치된다. 설치된 악성코드는 정상적인 은행 서비스 앱으로 보이지만, 스크립트를 통해 입력한 사용자 정보를 탈취한다. 베트남어로 제작된 웹 사이트에서 Google Play 다운로드로 보이는 버튼을 누르면 악성 앱이 다운로드된다. 실제 Google Play 스토어가 아닌 경로에서 앱이 설치된다. 설치된 앱은 아래의 그림과 같이 회원가입을 요구하고, 개인정보 입력을 유도한다. 사용자가 입력한 정보는 아래와 같이 원격지로 전송된다. 그 외에도 단말기로 수신되는 SMS 메시지의 내용과 수신지 정보를 탈취하여 원격지에 전송하는 등의 악성 동작을 수행한다..

인도 은행 사칭 악성 앱 유포

인도의 은행 및 금융 서비스 회사인 Axis Bank를 사칭한 악성 앱이 유포되었다. 해당 앱은 Axis Bank의 정상 웹사이트와 유사한 모습의 사이트에서 유포되었으며, 앱을 실행하면, 문자메시지 정보 및 사용자가 입력한 정보를 탈취한다. 좌측 하단의 그림이 정상 웹사이트이며, 우측 하단의 그림이 악성 앱을 유포하는 사칭 웹사이트이다. 아래의 그림과 같이, 악성 웹사이트는 웹브라우저에서 앱을 다운로드한다. 정상적인 앱의 경우, Google Play 나 Appstore과 같은 정식 앱 스토어에서 구매하도록 유도한다. 설치된 악성 앱을 실행하면 다음과 같은 화면이 나오고, 사용자가 해당 정보를 입력하면 입력한 정보를 획득하여 원격지로 전송한다. 해당 악성 앱은 정상 은행 앱을 위장하여, 유포되었으며, 카드..

책으로 위장한 악성 앱 유포

최근 전쟁 등의 이유로 국가적 대립이 심화되면서, 이와 관련된 악성 앱이 등장하였다. 해당 앱은 `The China Freedom Trap`이라는 책으로 위장하였으며, 이 책은 위구르 회의 회장인 `Dolkun Isa`의 저서로 위구르 정치인으로 일한 경험과 중국에 대한 이야기를 담고 있다. 악성 앱은 아래의 이미지와 같이 해당 책을 소개하는 듯한 내용을 담고 있지만, 녹취 및 정보 탈취, 원격제어 등의 악성 동작을 수행한다. 단말기에 새로운 발신 전화가 발생하면, 음성 통화의 소스를 DB에 저장한다. 그리고 수신 전화가 발생하면, 단말기의 마이크에 수집되는 정보를 저장한다. 원격지와 통신하여 명령을 받으면, SMS 메시지 정보, 단말기 정보 등을 탈취할 수 있다. 그 외에도 카메라에 접근하여 사용자 몰..

BBVA 은행 계좌를 표적으로 하는 Revive 악성코드

최근 이탈리아의 사이버 보안 업체 Cleafy가 스페인의 BBVA 은행 계좌를 표적으로 하는 "Revive"악성코드 분석 보고서를 발표했다. 해당 악성코드는 BBVA 은행 계좌에 로그인하는 데 필요한 2FA(2단계 인증) 앱을 사칭해 다운로드를 유도한다. 피해자의 시스템에 "Revive"가 설치되면, 백그라운드에서 키로거로 작동해 장치에 입력하는 모든 것을 기록하고 주기적으로 C2에 전송한다. 또한, Cleafy는 "Revive"가 오픈 소스 스파이웨어 "Teardroid"와 API, 웹 프레임워크 및 기능에서 유사점을 보인다고 언급했다. 사진 출처 : Cleafy 출처 [1] Cleafy (2022.06.28) - Revive: from spyware to Android banking trojan ht..

다크웹에서 유행하는 JasterStealer 악성코드

최근 호주의 보안 업체 Cyble이 "JesterStealer"라는 악성코드가 다크웹에서 유행하고 있다고 발표했다. 해당 악성코드는 주로 피싱 메일을 통해 유포되며 신용카드 정보와 계정 정보 같은 민감한 데이터를 탈취한다. 또한, 흔적을 남기지 않기 위해 탈취한 데이터를 메모리에 저장 후 전송하며 악성 행위를 완료하면 피해자의 시스템에서 자체 삭제된다고 알려졌다. Cyble은 불법 복제 프로그램을 다운로드하지 않고 신뢰할 수 없는 이메일의 링크 접속을 피할 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.02.24) – Jester Stealer: An Emerging Info Stealer https://blog.cyble.com/2022/02/24/jester-stealer-..

안드로이드용 정보탈취 악성 앱

최근 안드로이드 단말기를 대상으로 하는 정보탈취 앱이 발견되었다. 해당 앱은 'VPN-Secure.apk' 이름으로 유포되었으며, 단말기 정보를 포함하여 연락처에 저장된 전화번호 등의 정보를 탈취한다. 또한, 단말기의 마이크 사용시 이를 녹음하여 원격지로 전송하기에 사생활 침해까지 이어질 수 있다. 해당 앱을 실행하면 아래의 그림과 같이 권한을 요구하고, 권한을 획득하면 악성동작이 시작된다. 악성동작을 수행하는 클래스를 서비스로 생성하여 지속적으로 반복 실행하도록 하고, 실행되는 동안 나타나는 알림을 제거하여 사용자가 알아차리지 못하도록 한다. 아래의 코드와 같이 사용자 단말기의 정보를 탈취한다. 그리고 단말기의 network와 gps 정보를 획득한다. 이 정보는 위치에 변화가 있을 때마다 업데이트된다...

Youtube 사칭 정보탈취 앱

지난 7월, Youtube를 사칭한 악성 앱이 등장하였다. 해당 앱은 "Kurulum.apk" 이라는 이름으로 유포되었으며, 악성 앱을 실행하면 정상 Youtube 실행화면으로 띄워 사용자를 속이면서, 백그라운드에서는 사용자의 문자메시지를 탈취하는 등의 악성 동작을 수행한다. 하단의 이미지와 같이, 정상 Youtube 앱(파란 상자)와 유사한 형태의 아이콘을 사용하여 사용자가 구분하기 어렵도록 한다. 그리고 정상 Youtube 패키지 정보를 획득하여, 악성 앱 실행할 때 정상 실행화면을 띄워 실제 Youtube 가 실행되는 것처럼 보이도록 한다. 위의 코드가 실행되면 앱은 여러 권한을 획득한 다음, 하단 우측 그림과 같이 Youtube 가 실행된다. Loop 핸들을 생성하여 AudioRecoder클래스의..

도쿄 올림픽 이슈를 악용한 와이퍼 악성코드

FBI가 2021년 도쿄 올림픽을 위장한 사이버 공격을 경고한 다음 날, 도쿄 올림픽 이슈와 관련한 파일 명을 지닌 악성코드가 발견됐다. (사진 출처 : https://www.ic3.gov/Media/News/2021/210719.pdf) 이번에 발견된 악성코드는 사용자 PC에서 파일을 삭제하는 악성코드이며 “도쿄 올림픽 개최에 따른 사이버 공격 등에 대한 피해 신고”라는 주제를 파일 명으로 사용했다. 파일 명 : [至急】東京オリンピック開催に伴うサイバー攻撃等発生に関する被害報告について.exe 해당 악성코드를 실행하면 [그림 3]과 같이 커맨드 창을 띄워 파일 삭제 등의 로그를 출력한다. 사용자 PC에서 이뤄지는 삭제 명령은 ‘사용자 폴더’ 하위의 모든 파일 및 폴더 중 [표 1]의 확장자를 지닌 파일을 대..

Facebook 가짜 계정의 악성코드 유포 캠페인

최근 Facebook은 가짜 계정을 통해 악성코드 배포하는 공격을 발견하여 조치하였다고 밝혔다. 이 공격은 Tortoiseshell 그룹에 의해 이루어졌으며, 해당 해커그룹은 군인과 항공 우주 방위 산업 종사자를 표적으로 2018년부터 활동한 것으로 알려졌다. Facebook은 이 캠페인이 이란과 관련 있다고 전했으며, 해당 캠페인과 관련된 약 200여개의 계정을 비활성화 및 차단하였다. 출처 [1] ZDNet(2021.07.20) – Facebook says it disrupted Iranian hacking campaign tied to Tortoiseshell gang https://www.zdnet.com/article/facebook-says-it-disrupted-iranian-hacking-..