잉카인터넷 시큐리티대응센터 블로그

1. 개요 잉카인터넷 대응팀은 글로벌 보안 위협 모니터링을 진행하던 도중에 해외 온라인 호텔 예약서비스로 유명한 Booking.com 에서 발송한 예약 승인 이메일처럼 사칭한 악의적 내용이 해외에서 전파된 것을 발견하였다. 이러한 방식의 악성파일 유포 수법은 사용자가 많이 사용하는 인터넷 서비스처럼 교묘하게 위장하여, 사용자로 하여금 첨부된 악성파일을 스스로 실행하도록 유도하는 사회공학기법 중에 하나이다. 온라인 예약 서비스를 수시로 이용하는 경우에는 이러한 악성파일이 존재한다는 점도 명심하여, 악성파일 감염 예방에 참고를 하는 것이 좋겠다. 이메일을 이용한 악성파일 유포 수법은 보통 표적공격에 은밀히 사용되기도 하지만, 불특정 다수를 노린 악성파일 전파에도 오랜 기간 사용되고 있는 방식이다. 사회적으로..

1. 개요 잉카인터넷 대응팀은 국내 유명 포털 2곳에서 운영중인 몇몇 인터넷 커뮤니티 사이트에서 "악의적인 기능을 가진 안드로이드용 애플리케이션(앱)이 무분별하게 배포"되고 있는 것을 다수 발견하였다. 잉카인터넷은 이미 2012년 01월 06일에도 국내 유명 자료실을 통해서 안드로이드 기반 악성파일이 유포된 것을 국내 최초로 공식 보고한 바 있다. 현재 유포 중인 악성파일들은 회원수가 약 100만명에 육박하는 대형 커뮤니티도 포함되어 있으며, 악성파일이 포함된 게시글의 조회수가 수천회 이상되고 있어, 다수의 감염자가 존재할 것으로 우려된다. 특정 포털 사이트에서는 커뮤니티 게시판에 첨부되어 있는 파일을 다운로드 시도할 때 악성파일 여부를 체크하는 기능을 제공하고 있는데, 현재 유포 중인 악성 안드로이드 ..

1. 개요 잉카인터넷 대응팀은 nProtect 고유 브랜드와 유사한 이름의 국내 특정 프로그램이 일명 Virut 이라는 진단명을 가진 파일 바이러스에 감염된 상태로 장기간 무단 방치되고 있는 것을 확인하였다. 해당 프로그램은 개인정보 무단유출에 대한 보호 기능을 제공하는 형태로 서비스되고 있고, 제품 홈페이지에 삭제프로그램도 제공하고 있으나, 해당 파일에도 바이러스가 감염되어 있어 각별한 주의가 필요하다. 고의적이든 실수이든 결국 보안프로그램 스스로가 컴퓨터 바이러스를 배포하는 상황이기 때문에 보안 관리가 총체적으로 부실한 상태로 보여진다. 수년 전부터 국내 유수의 웹 사이트들에 대한 다수의 해킹사고로 다량의 고객정보가 빈번히 유출된 바 있고, 무분별한 자료 보관과 과도한 개인정보 수집 등으로 다양한 부..

1. 개요 잉카인터넷 대응팀은 국내 몇몇 웹하드 서비스에 등록되고 있는 일부 파일 내부에 동영상과 악성파일이 함께 포함된 상태로 은밀히 배포되고 있다는 점을 발견하였다. 유포자는 다운로드 증가를 유도하기 위하여 조회수가 많은 음란한 성인 동영상 파일처럼 교묘하게 위장한 형태로 사용자들을 유혹하고 있으며, 사용자가 해당 대용량 파일을 다운로드하고 실행 시 성인용 동영상 파일이 별도 생성되고, 재생도 가능하도록 만들어져 있다. 사용자로 하여금 신뢰할 수 있고 정상적인 파일처럼 보이도록 하기 위해서 실제 동영상을 복합적으로 포함하고 있는 속임수 수법을 활용하고 있으며, 일반 사용자들의 경우 대용량의 파일에 악성파일이 포함되어 있을 것이라고는 아직 익숙하지 않다는 점에서 특별한 주의가 요구된다. 동영상과 함께 ..

1. 개요 잉카인터넷 대응팀은 2012년 03월 14일 게시된 마이크로 소프트(MS)사의 긴급(Critical) 보안 업데이트 MS12-020 취약점과 관련한 악성도구를 일부 발견하였다. MS12-020 보안 업데이트는 원격 데스크톱 프로토콜에서 발견된 2가지 취약점을 해결하는 것이며, 악의적 공격자에 의해서 특수하게 조작된 RDP(Remote Desktop Protocol) 패킷 전송을 통해 원격 코드 실행이 가능한 심각한 취약점이다. 대부분의 Windows 운영체제는 초기설정 값으로 RDP 기능이 비활성화되어 있고, 이 조건의 시스템은 취약점 공격 대상에 포함되지는 않으나, 설정 변경에 따라서 언제든지 보안위협에 노출될 수 있으므로 필수적으로 최신 보안패치 설치를 즉시 권장하며, 자동전파 기능을 결합..

1. 개요 잉카인터넷 대응팀에서는 2012년 3월 10일인 티벳(Tibet) 봉기 53주년을 기념해서 이와 관련된 악성파일이 은밀하게 유포 중인 것을 발견하였다. 티벳은 1949년 중국에 침략 당한 이후 정치적, 종교적 이유로 약 120만명이 사망하고, 6,000개 이상의 사원이 파괴당한 것으로 알려져 있다. 이후 1959년 3월 10일 약 30만명의 티벳인들이 평화시위를 벌이면서 시작된 티벳 봉기는 중국 인민해방군의 무력 진압으로 인해 약 8만명의 티벳인들이 사망한 것으로 추산되었고, 이를 추모하기 위해서 매년 3월 10일을 티벳 봉기의 날로 선정하여 전 세계에서 기자회견 및 퍼레이드, 기념식 등을 펼치고 있다. 이 기간 티벳 봉기 기념일과 관련된 보안 위협이 가중될 수 있으므로, 관련된 내용을 참고하..

1. 개요 잉카인터넷 대응팀은 지난 2012년 3월 2일 금요일 경 일본의 행정관청 중에 하나인 국토교통부 산하 국토지리원의 특정 사용자에게 CVE-2012-0754 취약점의 악성파일이 은밀하게 발송된 것을 발견하였다. 악성파일의 유포 방식은 Adobe Flash Player 취약점 코드를 가진 엑셀(Excel)파일을 첨부한 형식이며, 만약 사용자가 보안이 취약한 상태에서 해당 문서파일을 실행할 경우 또 다른 악성파일에 감염되는 피해를 입게 된다. 국가기관에 소속된 사람을 표적으로 한 이러한 공격은 매우 은밀하며, 최신 보안 취약점을 이용하고 있기 때문에 각별한 주의가 필요하다. 최근 CVE-2012-0754 취약점을 이용한 악성 문서파일이 다수 발견되고 있어, 사용자들은 문서파일을 열 때 악성여부를 의..

1. 개 요 최근 가장 널리 사용되고 있는 SNS(Social Network Service)서비스의 채팅창을 통해 악성파일에 대한 유포 시도가 발견되어 사용자들의 각별한 주의가 요망되고 있다. 악성파일 유포 방법으로는 채팅창에 특정 파일의 다운로드가 가능한 URL을 뿌리는 등 사회공학적 기법이 사용되었으며, 해당 URL은 단축 변환 주소로 이루어져 있어 일반 사용자들의 경우 쉽게 현혹되어 클릭을 통한 감염이 이루어질 수 있다. 2. 유포 경로 및 감염 증상 현재 해당 악성파일은 아래의 그림과 같은 페이스북의 체팅창을 통해 주로 유포가 이루어지고 있으며, 유포되는 악성파일에 감염될 경우 해당 PC에서 특정 SNS 서비스를 이용하게 되면 친구로 등록된 지인들에게 무작위로 악성 URL을 채팅형태로 배포하게 된..

1. 개요 2012년 01월 마이크로 소프트 정기 보안 업데이트로 제공된 MS12-004(CVE-2012-0003) 취약점을 이용하는 악성파일이 발견되었다. 해당 보안 취약점은 2012년 01월 10일 IBM Security System X-Force Research의 Shane Garrett 가 마이크로 소프트사 측에 최초 보고한 내용으로 알려져 알려져 있으며, 마이크로 소프트사의 윈도우 미디어 플레이어용 멀티미디어 라이브러리인 winmm.dll 파일에 존재하는 원격 코드 실행 취약점이다. 이미 보안 취약점이 해결된 업데이트 모듈이 공식적으로 배포 중에 있으므로, "윈도우 최신 보안 업데이트를 수행"하여 사전 예방하고, 이를 악용한 악성파일에 노출되어 또 다른 피해를 입지 않도록 각별한 주의가 필요한 ..

1. 개 요 2012년 01월 14일 잉카인터넷 대응팀에서는 국내 이용자를 대상으로 유포된 악성파일이 윈도우OS 의 시스템 파일 중 하나인 version.dll 파일을 악성파일로 교묘하게 바꿔치기 하는 형태를 발견되었다. 이러한 악성파일은 기존에도 다양한 형태로 존재한 바 있는데, 가장 최근까지 ws2help.dll 파일을 악성파일로 교체(Patched)하는 형태가 성행하고 있는 상황이다. 파일명이 변경된 여러 정상 시스템 파일은 악성파일에 의해서 부팅시 정상 실행되는데 만약 중간에 실행 명령이 정상적으로 전달되지 않으면 "무한 재부팅 시도 장애"가 발생할 피해 우려가 존재한다. 특히, 이러한 형태의 악성파일은 주말 기간 집중되어 국내 유명 웹 사이트 경유지를 통해서 다량 전파 중이며, 다양한 보안 취약..