GhostEngine을 이용한 암호화폐 채굴 캠페인

최근 “GhostEngine”을 사용해 몰래 암호화폐를 채굴한 캠페인이 발견됐다. 현재까지 공격자가 시스템에 침투한 경로는 밝혀지지 않았으나, Tiworker.exe 파일을 실행할 때 캠페인의 감염 체인이 시작된 것으로 알려졌다. 또한, 해당 캠페인에서 사용된 “GhostEngine”은 취약한 드라이브를 이용해 엔드포인트의 보안 프로그램을 종료하고 삭제한 것이 밝혀졌다. 이후에는 감염시킨 시스템에 “XMRig”를 배포해 암호화폐를 채굴하는데, 이는 해당 캠페인의 궁극적인 목표로 전해졌다. 이에 대해 보안 업체 Elastic Security Labs 측은 “GhostEngine”을 식별할 수 있는 YARA 규칙을 배포하고 있다. 사진 출처 : Elastic Security Labs 출처[1] Elastic..

최신 보안 동향 2024.05.23 0

Windows 기능을 악용한 Black Basta 랜섬웨어 공격

최근 Windows Quick Assist 기능을 사용해 사용자에게 Black Basta 랜섬웨어를 배포하는 정황이 발견됐다. Microsoft는 지난 4월부터 해당 캠페인을 조사했으며, 공격자가 사용자의 이메일 주소로 무차별 메시지를 전송한다고 전했다. 이로 인해 사서함이 불필요한 메일로 가득 차게 되면, 스팸 문제 해결을 돕는 헬프 데스크 직원으로 사칭한 공격자가 사용자에게 전화를 건다. 이때 사용자의 Quick Assist 내장 원격 제어 및 화면 공유 도구를 실행하도록 유도해 Windows 장치에 대한 액세스 권한을 부여하도록 속인다. 이후 악성 도구를 설치하고 전화 통화가 끝나면 사용자의 네트워크를 통해 Black Basta 랜섬웨어를 배포한다.  Microsoft는 이러한 사회 공학 기법 공격..

최신 보안 동향 2024.05.17 0

LockBit 랜섬웨어를 유포하는 이메일 캠페인

최근, 이메일 캠페인에서 “Phorpiex” 봇넷을 이용해 “LockBit” 랜섬웨어를 유포하는 정황이 발견됐다. 공격자는 이메일에 EXE 파일을 포함한 ZIP 파일을 첨부해 이번 캠페인에서 사용했다. 사용자가 EXE 파일을 실행하면 “Phorpiex” 봇넷의 인프라에서 “LockBit” 랜섬웨어 페이로드가 다운로드 된다. 이후, 랜섬웨어 페이로드는 시스템을 장악해 데이터를 탈취하고 파일을 암호화하는 등의 공격을 수행한다. 보안 업체 Proofpoint 측은 이번 캠페인에서 사용된 “Phorpiex” 봇넷이 대용량 이메일 캠페인에서 악성코드를 전달하는 봇넷이라고 설명했다. 또한, 이를 악용하면 캠페인의 규모가 커지고 랜섬웨어 공격의 성공 확률이 높아진다고 언급했다. 사진 출처 : Proofpoint 출처..

최신 보안 동향 2024.05.17 0

CDN 캐시를 악용해 인포스틸러를 유포하는 악성 캠페인

최근 CDN(Content Delivery Network) 캐시를 악용해 악성코드를 유포한 캠페인이 발견됐다. 보안 업체 Cisco Talos는 공격자가 탐지 기술을 회피하기 위해 CDN 캐시를 다운로드 서버로 사용했다고 언급했다. 또한, 업로드한 악성 ZIP 파일을 영화 파일로 속여 사용자가 다운로드하도록 유도했다고 전했다. 이때 사용자가 ZIP 파일을 다운로드해 내부의 바로가기 파일을 실행하면 감염 체인이 시작된다고 덧붙였다. 최종적으로 “Cryptbot”과 “LummaC2” 및 “Rhadamanthys” 등의 인포스틸러 악성코드를 사용해 사용자의 정보를 탈취한다고 설명했다. Cisco Talos 측은 캠페인에서 사용된 기술과 공격 방식을 근거로 베트남 출신으로 알려진 CoralRaider 조직이 배..

최신 보안 동향 2024.04.29 0

WordPress MiniOrange 플러그인의 치명적인 취약점

MiniOrange 사의 WordPress용 악성코드 스캐너와 웹 애플리케이션 방화벽 플러그인의 치명적인 취약점이 발견됐다. 발견된 취약점은 mo_wpns_init() 함수의 기능 확인을 제대로 처리하지 않아 발생하는 권한 상승 취약점으로 CVE-2024-2172 번호가 매겨졌다. 이를 이용하면 공격자는 임의의 사용자 비밀번호를 업데이트 할 수 있으며 자신에게 관리 권한을 부여해 대상 사이트의 모든 항목을 조작할 수 있게 된다. 이처럼 전체 웹 사이트를 완전히 손상시킬 수 있는 취약점은 악성코드 스캐너 4.7.2 및 이전 버전과 웹 애플리케이션 방화벽 2.1.1 및 이전 버전에 영향을 미친다. 이에 대해 보안 업체 WordFence 측은 해당 플러그인이 영구 폐쇄된 상태라고 언급하며 사용 중인 사용자에게..

최신 보안 동향 2024.03.19 1