DDoS 17

DDoS 공격과 암호화폐 채굴 기능을 가진 KmsdBot 악성코드

최근, DDoS 공격과 암호화폐 채굴 기능을 가진 "KmsdBot" 악성코드가 발견됐다. 보안 업체 Akamai에 따르면 "KmsdBot"은 GO 언어로 작성됐으며, 취약한 SSH 계정을 통해 감염된다고 알려졌다. 해당 악성코드에 감염될 경우, DDoS 공격을 시도하고 암호화폐 채굴 도구인 "XMRig"을 통해 암호화폐를 채굴한다. Akamai는 이러한 악성코드로부터 시스템을 보호하기 위해 SSH 연결에 공개키 인증을 사용할 것을 권고했다. 사진출처 : Akamai 출처 [1] Akamai (2022.11.10) – KmsdBot: The Attack and Mine Malware https://www.akamai.com/blog/security-research/kmdsbot-the-attack-and-..

소스코드가 공개된 EnemyBot 악성코드

과거 “Mirai”, “Qbot” 과 같은 봇넷 악성코드의 소스코드가 공개된 바 있다. 이러한 이유로 해당 악성코드들의 소스코드를 사용한 변종 악성코드들이 현재까지 지속적으로 발견되고 있다. 올해 상반기에도 “EnemyBot” 라는 악성코드가 발견 되었는데, 살펴 본 결과 해당 악성코드 또한 기존 소스코드를 사용한 것으로 확인되고 있다. 그래서 “EnemyBot” 을 비롯한 변종 악성코드들은 “Mirai”, “Qbot” 악성코드와 많은 공통점을 가지며, 실행 시 취약한 기기를 감염시켜 DDoS 공격을 수행한다. 공개된 소스코드 “EnemyBot” 악성코드는 소스코드와 함께 발견 되었는데, 게시자는 스스로를 “Kek Security” 소속의 악성코드 개발자라고 밝히고 있다. “Kek Security” 는 ..

리눅스 장비를 노리는 XorDDoS 악성코드

“XorDDoS” 악성코드는 2014년 처음 발견된 이후 최근까지 지속적으로 유포되고 있다. 공격자로부터 전달되는 명령, C&C 서버 주소 등 악성 행위에 필요한 데이터를 XOR 연산으로 디코딩하여 사용하는 특징을 가져 “XorDDoS” 라는 이름으로 명명 되었으며, IoT 장비 혹은 리눅스 서버를 감염하기 위해 ARM, x86 및 x64와 같은 다양한 Linux 아키텍처 버전으로 제작되었다. 공격자는 주로 SSH Brute Force 공격을 통해 공격 대상의 자격 증명을 획득하고 “XorDDoS” 악성코드를 설치한다. 이렇게 실행된 “XorDDoS” 는 자가복제 후 재실행, 프로세스명 변경 및 루트킷 등을 통해 탐지를 회피하려 하며 공격자의 명령을 전달받아 DDoS 공격을 수행한다. 자가복제 및 재실행..

이스라엘 정부 웹사이트를 대상으로 하는 DDoS 공격

최근 이스라엘의 보건·내무·법무부를 포함한 다수의 정부 웹사이트가 대규모 DDoS 공격을 받아 운영에 차질을 빚었다. 외신은 이스라엘 국방부와 국가 사이버 보안국이 비상사태를 선포했으며, 공격이 중요 기반 시설에 피해를 입혔는지 확인하고 있다고 전했다. 한편, 이스라엘 언론 예루살렘 포스트는 이번 공격이 이란과 연계됐을 가능성이 있다고 주장했다. 사진 출처 : National Cyber Directorate 출처 [1] SecurityAffairs (2022.03.15) - A massive DDoS attack hit Israel, government sites went offline https://securityaffairs.co/wordpress/129063/cyber-warfare-2/massiv..

러시아 방산업체 Rostec을 노린 DDoS 공격

최근 외신은 러시아의 방산업체 Rostec이 DDoS 공격을 받아 웹사이트를 일시 폐쇄했다고 알렸다. 피해 업체는 외신을 통해 당사가 2월 말부터 지속적인 해커의 공격을 받고 있다고 전했으며, 공격의 배후가 우크라이나의 급진 세력이라고 언급했다. 한편, Rostec의 여러 도메인과 리소스는 IT Army of Ukraine에 의해 DDoS 공격 대상으로 지정된 바 있다. 사진 출처 : IT Army of Ukraine 출처 [1] Bleepingcomputer (2022.03.11) - Russian defense firm Rostec shuts down website after DDoS attack https://www.bleepingcomputer.com/news/security/russian-def..

Middlebox를 이용한 새로운 DDoS 공격 발견

최근, 미국의 클라우드 업체 Akamai가 TCP Middlebox Reflection 라는 새로운 기술을 이용한 DDoS 공격을 탐지했다고 발표했다. Akamai는 해당 공격이 방화벽과 IDS같은 Middlebox(네트워크 트래픽 검사 및 필터링 장치)를 이용한 DRDoS 공격이며 응답 트래픽을 65배 증폭시킬 수 있다고 언급했다. 또한, 공격자들이 Middlebox에서 차단된 도메인을 Host Header로 사용해 다양한 TCP 패킷을 생성하고 Middlebox로 전송해 대량의 응답 트래픽이 피해자의 시스템으로 향하도록 만들었다고 알렸다. 해당 업체는 Snort나 방화벽 ACL(Access Control List)의 규칙 설정을 통해 TCP Middlebox Reflection 공격을 차단해야 한다고..

우크라이나의 정부기관과 은행을 노린 DDoS 공격

최근, 우크라이나의 정부기관과 은행이 대규모 DDoS 공격을 받았다. 우크라이나 특수통신정보보호국(SSSCIP)는 24일 발생한 대규모 DDoS 공격으로 일부 정부기관과 은행의 정보 시스템이 마비됐다고 알렸다. 현재, 해당 기관은 공격에 대한 정보를 수집 및 분석하고 있으며, SNS를 통해 현재 상황을 계속해서 업데이트 하겠다고 밝혔다. 또한, 사이버 공격을 받았거나 공격이 의심된다면 CERT-UA로 신고할 것을 권고했다. 사진출처 : Twitter 출처 [1] 우크라이나 특수통신정보보호국 (2022.02.24) – Чергова кібератака на сайти державних органів та банки https://cip.gov.ua/en/news/chergova-kiberataka-na-s..

유명 VoIP 업체, DDoS 공격으로 피해

최근, 미국의 VoIP (Voice over Internet Protocol) 통신 업체 Telnyx가 DDoS 공격을 받았다. 이 공격은 11월 9일 11시경 발생했으며 해당 공격으로 인해 업체가 제공하는 VoIP 서비스가 실패하거나 지연됐다. 피해 업체 측은 공격을 완화하기 위해 분산 도메인 제공 업체 Cloudflare 의 Magic Transit로 네트워크를 이전했으며 사건을 조사 중이라고 밝혔다. 사진출처 : Telnyx 출처 [1] Telnyx (2021.11.11) – Status Telnyx https://status.telnyx.com/

추가 악성코드를 실행하는 랜섬웨어

최근 원격 교육 및 업무의 비중이 늘어남에 따라 네트워크 사용빈도가 늘어나고, 광범위한 연결성을 가진 기업의 운영기술 환경(OT)이 많아졌으며 이러한 이유로 DDoS 공격이 효과적인 공격이 되었다. 이에 따라 DDoS 공격을 통해 금전을 요구하는 “랜섬디도스” 공격이 증가하였으며 랜섬웨어 공격 그룹은 추가적으로 DDoS 공격을 하겠다고 위협하기 시작했다. 암호 화폐의 가치가 높아지면서 불법적인 암호 화폐 채굴 악성코드가 성행하기 시작했고, 랜섬머니 이외의 추가적인 이득을 얻기 위해 랜섬웨어 공격 그룹은 랜섬웨어와 함께 암호화폐 채굴 악성코드를 실행시키는 “랜섬마이너”가 다시 등장하였다. 이처럼 랜섬웨어는 더 많은 금전적 이득을 챙기기 위해 더 이상 파일 암호화에 국한되지 않고, 트렌드에 맞춘 악성코드를 ..

[악성코드 분석] 사용자 PC를 감염시켜 봇으로 만드는 악성코드 jorik

사용자 PC를 감염시켜 봇으로 만드는 악성코드 jorik 1. 개요 해커가 마음대로 제어할 수 있는 감염된 다수의 컴퓨터로 형성된 네트워크를 봇넷(Botnet)이라 한다. 이 봇넷을 구성하는 감염된 컴퓨터 봇(Bot)은 C&C(Command and Control) 서버의 명령을 수행한다. C&C 서버의 명령은 주로 봇넷 확장을 위한 악성코드 유포 또는 DDoS(Distributed Denial of Service) 공격을 이루기 위한 DoS(Denial of Service) 공격 등이다. 본 보고서에선 사용자 컴퓨터를 감염시켜 봇으로 만드는 C&C 악성코드의 주요 기능을 분석하여 봇의 동작 방식을 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명server.exe파일크기90,624 byt..