봇넷 6

빠른 속도로 전파 중인 P2PInfect 악성코드

최근 봇넷으로 알려진 "P2PInfect" 악성코드가 급속도로 전파 중인 정황이 발견됐다. 보안 업체 Cado Security는 확인된 건수가 지난 8월 말과 비교해 600배 증가했다고 언급하며 리눅스 환경에서 발견된 샘플의 분석 보고서를 공개했다. 공격자는 클라우드 서비스의 인스턴스를 노드로 구성하고 SSH를 사용해 악성코드를 유포한다. "P2PInfect" 악성코드는 피해자 시스템에서 스케줄러인 cron을 사용해 30분마다 기본 페이로드를 실행하도록 지속성을 설정한다. 또한, 로컬 호스트의 소켓으로 기본 페이로드의 메인 프로세스를 모니터링하며, 프로세스 종료로 바이너리가 삭제되면 다른 노드에서 메인 바이너리를 가져와 실행한다. 이 외에도 공격자의 SSH 키로 SSH Authorized keys 파일을..

올해 초 다시 등장한 FritzFrog 봇넷

최근 보안 업체 Guardicore는 "FritzFrog" 봇넷이 교육 및 정부 시스템을 대상으로 다시 유행하고 있다고 발표했다. 해당 봇넷은 SSH 서버를 감염시키기 위해 무차별 대입공격을 시도하고 공격에 성공할 경우 주기적으로 시스템 상태를 모니터링하며 Monero 코인을 채굴한다. 또한, P2P와 Fileless 기법을 사용해 공격자 추적과 봇넷 탐지를 어렵게 한다고 알려졌다. 보안 전문가는 이러한 종류의 공격을 예방하기 위해 미사용 SSH 서비스 비활성화와 SSH 포트 변경 및 SSH 공개키 인증 사용을 권고했다. 출처 [1] Akamai (2022.02.10) - FritzFrog: P2P Botnet Hops Back on the Scene https://www.akamai.com/blog/s..

동일한 C&C 서버를 사용하는 Abcbot 봇넷과 Xanthe 봇넷

최근 보안 업체 Cado Security의 연구원들이 동일한 C&C 서버를 사용하는 악성코드를 발견했다. 이들에 따르면 해당 악성코드 중 Abcbot 봇넷은 리눅스 시스템을 대상으로 디도스 공격을 하기 위해 사용하고, Xanthe 봇넷은 암호화폐 채굴을 위한 악성코드로 알려졌다. Cado Security의 연구원은 두 봇넷의 코드가 유사하며, 사용하는 C&C 서버가 같기 때문에 동일 세력일 가능성이 높다고 전했다. 또한, 외신에 따르면 공격자는 공격 목표를 암호화폐 채굴에서 DDoS 공격으로 전환하고 있는 것으로 추정한다고 말했다. 사진 출처 : SecurityAffairs 출처 [1] SecurityAffairs (2022.01.13) - Abcbot and Xanthe botnets have the ..

전 세계적으로 암호화폐를 가로채는 Twizt 악성코드

"Twizt" 악성코드는 감염 대상 PC의 로컬 네트워크에서 게이트웨이 장치를 검색하고, 해당 장치에 UDP 및 TCP 포트 매핑을 추가해 공격자와 통신한다는 특징이 있다. 이러한 특징으로 인해 해당 악성코드는 공격자의 C&C 서버를 노출하지 않고 사용자의 PC를 제어하거나 추가 페이로드를 다운로드할 수 있다. 또한, 윈도우 클립보드를 공격자의 암호화폐 지갑 주소로 변경하여 사용자의 암호화폐를 가로챈다. Analysis "Twizt"라는 이름은 악성코드가 처음 발견됐을 때 사용된 뮤텍스명에서 따왔다. 해당 악성코드는 실행 시 우선적으로 감염된 PC의 로케일을 확인하여 "UKR(우크라이나)"인 경우 프로세스를 종료한다. 확인을 마치면 지속성을 위해 레지스트리에 등록한다. 이로 인해 사용자가 PC를 부팅하면..

IoT 장치를 위협하는 Simps 봇넷

다크웹에서 IoT 노드를 사용하여 DDoS 공격을 수행하는 "Simps"라는 이름의 봇넷이 발견되었다. Uptycs 사이버 위협 연구팀은 특정 Discord 메시지를 단서로 해당 봇넷이 Keksec 그룹의 활동이라고 규정했다. 현재 캠페인에서는 Realtek 및 Linksys 장비의 취약점을 악용하여 Gafgyt 봇넷을 통해 기기를 감염시킨 후, Simps를 다운로드 및 실행시킨다. 실행된 Simps는 기기가 감염되었다는 사실을 기록하는 로그 파일을 삭제하고 C&C 서버에 연결한 후, Mirai 및 Gafgyt 모듈을 사용하여 DDoS 공격을 수행한다. 사진 출처 : https://www.uptycs.com/blog/discovery-of-simps-botnet-leads-ties-to-keksec-gr..

[악성코드 분석] 사용자 PC를 감염시켜 봇으로 만드는 악성코드 jorik

사용자 PC를 감염시켜 봇으로 만드는 악성코드 jorik 1. 개요 해커가 마음대로 제어할 수 있는 감염된 다수의 컴퓨터로 형성된 네트워크를 봇넷(Botnet)이라 한다. 이 봇넷을 구성하는 감염된 컴퓨터 봇(Bot)은 C&C(Command and Control) 서버의 명령을 수행한다. C&C 서버의 명령은 주로 봇넷 확장을 위한 악성코드 유포 또는 DDoS(Distributed Denial of Service) 공격을 이루기 위한 DoS(Denial of Service) 공격 등이다. 본 보고서에선 사용자 컴퓨터를 감염시켜 봇으로 만드는 C&C 악성코드의 주요 기능을 분석하여 봇의 동작 방식을 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명server.exe파일크기90,624 byt..