잉카인터넷 시큐리티대응센터 블로그

최근, 보안 업체 SafeBreach가 Windows 업데이트로 위장한 PowerShell 백도어를 발견했다. 해당 업체에 따르면, 공격자가 LinkedIn 구직 안내를 가장한 피싱 메일을 통해 PowerShell 스크립트를 실행하는 악성 워드 문서를 유포하는 것으로 알려졌다. 해당 문서 파일은 VBS 및 PowerShell 스크립트 파일을 드롭하고 Windows 업데이트로 위장한 예약 작업을 등록해 VBS 파일을 실행한다. 최종적으로 PowerShell 스크립트가 실행되면 피해자 PC의 데이터를 탈취해 공격자 서버로 전송한다. SafeBreach는 해당 악성코드 발견 당시, 공격에 사용된 PowerShell 스크립트가 국내외 백신 프로그램에서 탐지되지 않았다고 밝히며 주의를 권고했다. 사진출처 : Sa..

최근, Python에서 15년간 패치되지 않은 취약점 CVE-2007-4559가 다시 주목받고 있다. 보안 업체 Trellix에 따르면 이 취약점은 Python의 TAR 압축 파일 관련 모듈인 tarfile의 extract 함수에서 발생하는 Directory Traversal 취약점으로 알려졌다. 공격자가 해당 취약점을 악용할 경우 TAR 압축 파일명에 "../" 문자열을 추가하여 기존 압축 해제 경로를 탈출하고 다른 경로에 존재하는 임의의 파일을 덮어쓸 수 있다. Trellix는 해당 취약점을 악용하기 매우 쉽고 보안에 대한 지식이 전혀 필요하지 않아 악용될 가능성이 높다고 경고했다. 사진출처 : Trellix 출처 [1] Trellix (2022.09.21) – Tarfile: Exploiting t..

최근, 그리스 국세청을 사칭한 피싱 사이트에서 키로깅을 통해 정보를 탈취하는 공격이 발견됐다. 보안 업체 Cyble은 공격자가 그리스 납세자에게 세금 환급 내용으로 위장한 피싱 메일을 전송해 피싱 사이트 접속을 유도한다고 알렸다. 피싱 사이트는 그리스 국세청 페이지로 위장하고 있으며, 은행을 선택하면 해당 은행 사이트를 가장한 피싱 사이트로 리디렉션하고 사용자의 로그인 입력을 유도한다. 해당 페이지에서 아이디와 패스워드를 입력할 경우, 로그인 버튼을 누르지 않아도 키로깅을 통해 사용자의 모든 키 입력 정보를 공격자에게 실시간으로 전송한다. 사진출처 : Cyble 출처 [1] Cyble (2022.09.14) – Phishing Campaign Targets Greek Banking Users https:..

최근, 미국 정부 기관을 사칭해 Microsoft Office 365 계정을 탈취하는 피싱 공격이 발견됐다. 보안 업체 Confense에 따르면, 공격자가 미국 정부의 계약업체에게 프로젝트 입찰 내용으로 위장한 피싱 메일을 보내, Microsoft 계정 탈취를 유도하는 것으로 알려졌다. 사용자가 피싱 사이트에 접속할 경우, Microsoft 로그인 입력을 유도해 사용자의 계정 정보를 탈취한다. 피싱 사이트는 HTTPS와 긴 도메인을 이용해 합법적인 사이트처럼 보이도록 위장하고 있어, 접속 페이지의 URL 주소를 확인하고 주의할 것을 권고했다. 사진출처 : Confense 출처 [1] Confense (2022.09.19) - Credential Phishing Targeting Government Con..

최근, 보안 업체 Resecurity가 다크웹과 Telegram에서 발견된 Escanor RAT에 대한 보고서를 발표했다. 보고서에 따르면, 공격자가 Escanor라는 도구를 이용해 Microsoft Office 및 Adobe PDF 문서 등에 악성코드를 삽입한 후 공격을 시도했다고 밝혀졌다. 발견된 악성코드는 Android와 PC 버전의 RAT 악성코드로, HVNC(Hidden Virtual Network Computing) 기능을 통해 피해자의 눈에 띄지 않고 시스템에서 명령을 실행할 수 있다. 또한, 모바일 버전 악성코드는 온라인 뱅킹 사용자로부터 OTP 코드를 탈취하고, 사용자 GPS 좌표 수집 및 키 입력 모니터링 등의 악성 행위를 수행한다. Resecurity의 연구원은 최근 발생한 온라인 뱅..

인보이스로 위장한 피싱 메일 주의! 최근, 인보이스로 위장한 HTML 파일을 통해 Microsoft Outlook 계정을 탈취하는 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 해당 피싱 메일은 "[HardRock Invoice#1271833 17] Thanks for your order, tax invoice issued for goods dipatched"라는 제목으로 유포되며, 호주의 온라인 패션 의류 업체 H사를 사칭해 첨부파일 실행을 유도한다. 사용자가 첨부된 html 파일을 실행할 경우 Microsoft를 사칭한 피싱 사이트로 연결되고, Outlook 계정의 비밀번호를 입력하도록 한다. 이때, 이메일 주소 필드에는 수신인을 타깃으로 이메일 주소가 미리 입력되어 있기 때문에 사용자들은 무심코..

최근, 가짜 DDoS 보호 팝업을 통한 악성코드 유포 캠페인이 발견됐다. 보안 업체 Sucuri는 공격자가 악성코드 유포를 위해 가짜 DDoS 보호 팝업을 띄우는 스크립트를 취약한 WordPress 사이트에 삽입했다고 알렸다. 이러한 사이트에 접속할 경우 DDOS GUARD라는 프로그램으로 위장한 ISO 파일이 다운로드 되는데, 이때 해당 프로그램을 통해 얻은 인증 코드 입력을 요구하는 팝업을 띄운다. 만약 인증 코드를 얻기 위해 ISO 파일 내부의 security_install.exe 파일을 실행할 경우 “NetSupport RAT”과 "RaccoonStealer" 악성코드가 설치된다. Sucuri는 웹 사이트 관리자 계정에 강력한 암호와 2FA(이중 보안 인증)을 사용할 것을 권고했다. 사진출처 : ..

최근, 보안 업체 CheckPoint가 Python 오픈소스 패키지 저장소인 PyPI에서 10개의 악성 패키지를 발견했다. CheckPoint의 보고서에 따르면, 공격자가 PyPI 저장소에 정상 패키지로 위장한 악성 패키지를 업로드해 사용자의 설치를 유도했다고 밝혀졌다. 해당 패키지를 설치할 경우, setup.py 설치 스크립트에 포함된 인포스틸러 악성코드가 함께 설치돼 사용자의 로컬 계정 및 개인 소스코드 등을 탈취한다. CheckPoint의 보고 이후 악성 패키지들이 PyPI에서 삭제 조치 됐으며, CheckPoint 측은 사용자들에게 오픈소스인 PyPI 패키지를 사용하는 경우 보안에 유의할 것을 권고했다. 사진출처 : CheckPoint 출처 [1] CheckPoint (2022.08.08) - C..

인보이스로 위장한 피싱 메일 주의! 최근, 인보이스로 위장한 메일을 통해 Microsoft Outlook 계정을 탈취하는 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 해당 피싱 메일은 "Invoice"라는 제목으로 유포되며, 메일 본문의 “Safe Sender”라는 문구를 통해 사용자로 하여금 의심을 피하고 첨부파일 실행을 유도하고 있다. 첨부된 html 파일을 실행할 경우 Microsoft를 사칭한 피싱 사이트로 연결되고, Outlook 계정의 비밀번호를 입력하도록 유도한다. 이때, 이메일 주소 필드에는 메일 수신인의 이메일 주소가 미리 입력되어 있기 때문에 무심코 비밀번호를 입력하지 않도록 주의가 필요하다. 비밀번호를 입력하고 “Sign in” 버튼을 클릭할 경우 입력한 비밀번호와 사용자의 IP..

미국 보안 업체 McAfee의 모바일 연구팀이 Google Play에서 새롭게 발견된 악성 앱에 대한 분석 보고서를 발표했다. 보고서에 따르면, 발견된 앱 중 다수가 배터리 최적화 등을 위한 클리너 앱으로 위장했고, 다운로드 후에는 아이콘과 이름을 변경해 모습을 숨긴다. 이후, 악성 앱을 실행하면 사용자의 모바일 기기에서 광고를 표시하는 악성 서비스를 생성한다. 또한, 사용자가 Google Play에서 악성 앱을 설치하는 즉시 실행하지 않아도 해당 악성 앱이 자동으로 동작하도록 설계됐다. 현재, McAfee는 Google에 해당 위협을 알리고, 발견된 모든 악성 앱들은 Google Play Store에서 삭제되었음을 밝혔다. 사진출처 : McAfee 출처 [1] McAfee (2022.07.28) – N..