잉카인터넷 시큐리티대응센터 블로그

최근 EtterSilent라는 Office 악성문서 빌더가 발견되었다. 해당 악성 빌더는 2020년부터 해커 포럼에 게시되어 판매되고 있으며, 보안 솔루션에서 탐지되지 않고 있어 Trickbot, IcedID, Ursnif 밍 QakBot 등 악명 높은 악성코드 제작자들이 사용하고 있다. EtterSilent 빌더를 통해 생성된 악성문서는 피싱 메일을 통해 사용자들에게 유포되며, 매크로 혹은 취약점을 사용해 파일을 다운로드하여 추가적인 악성행위를 수행한다. 판매자는 해커 포럼에서 EtterSilent 빌더를 판매하고 있으며, 악성 빌더의 두 가지 버전과 함께 Windows Defender, Smart Screen, Gmail 및 이메일 서비스 우회 기능에 대해 홍보하고 있다. 첫 번째 버전은 취약점을 사..

오프라인 환경에서 암호화하는 GandCrab 4 버전 감염 주의 1. 개요 올해 상반기에 유행했던 GandCrab 랜섬웨어가 버전 4로 업그레이드되어 돌아왔다. 많은 부분이 이전 버전과 동일하지만, C&C 서버와 통신을 시도하지 않고 암호화 과정을 진행한다는 점에서 차이가 있다. 이로 인해 오프라인이나 폐쇄된 네트워크 환경에서도 곧바로 암호화가 진행되기 때문에 주의가 필요하다. 이번 보고서에서는 GandCrab 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 210,432 byte 진단명 Ransom/W32.GandCrab.210432 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 해당..

1. 대북단체에 HWP 악성파일 1년 넘게 공격 정황포착 잉카인터넷 대응팀은 지금으로부터 약 1년 전 2012년 06월 경 "탈북인 인적사항으로 유혹하는 HWP 악성파일 등장" 내용의 HWP 악성파일 정보를 공개한 바 있다. 그런 가운데 2013년 09월 13일 대북언론매체인 데일리NK 뉴스를 통해서 "북한에서 보내는 해킹 파일로 의심했다"라는 발췌내용의 뉴스기사가 공개되었다. 해당 악성파일을 조사해 본 결과 작년과 동일한 제작자나 조직이 만든 정황근거가 확인됐다. 아울러 공격자가 사용 중인 명령제어(C&C)서버는 이미 한국인터넷진흥원(KISA) 등 유관기관을 통해서 신속하게 접속이 차단조치된 상태이기 때문에 현재는 추가적인 명령을 수행할 수 없는 상태이다. 北해커 '좀비 PC' 악성코드 對北 단체에 대..