본문 바로가기

전체 글보기1256

링크 개체를 이용한 악성 한글문서(HWP) 주의 - 코인업체 사칭 ASEC 분석팀은 지난주 코인업체를 사칭한 악성 한글 문서 파일이 유포됨을 확인하였다. 한글 파일에는 특정 코인 업체의 운영 정책이 변경되어 해당 사항을 확인하도록 하는 내용이 담겨있다. 파일 실행 시 내부에 포함된 OLE 개체(EXE 실행파일)가 %temp%폴더에 생성된다. 파일명이 hanwordupdate.exe로 되어있어 사용자가 한글의 정상 파일로 착각할 수 있어 주의가 필요하다. 파일 내부에는 개체를 실행하기 위해 링크가 포함된 도형이 존재하며, 특정 도형들은 페이지 전부를 덮고 있어 사용자가 어느 곳을 선택하여도 악성 파일의 링크를 실행하게 된다. 아래의 그림에서 빨간색으로 표시된 부분이 링크를 포함하는 도형을 나타낸다. 도형에 삽입된 링크는 "..\appdata\local\temp\hanwo.. 2020. 7. 14.
ASEC 주간 악성코드 통계 ( 20200706 ~ 20200712 ) ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 7월 6일 월요일부터 2020년 7월 12일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러 악성코드가 49.5%로 1위를 차지하였으며, 그 다음으로는 RAT (Remote Administration Tool) 악성코드가 15.9%, Coin Miner 악성코드가 13.7%를 차지하였다. 다운로더 악성코드는 7.7%, 뱅킹 악성코드는 6.6%를 차지하였으며 랜섬웨어가 4.4%로 그 뒤를 따랐다. Top 1 - AgentTesla 22.0%를 차지하는 AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정.. 2020. 7. 14.
국내 포털(NAVER) 계정정보 탈취용 피싱메일 주의! ASEC 분석팀은 지난주 국내 포털 계정정보를 탈취하는 피싱 메일이 유포 중인 것을 공유하였는데, 금일 다른 국내 유명 포털 계정정보를 탈취하는 피싱 메일이 추가로 다수 유포 중인 것을 확인하였다. 해당 메일은 이전과 비슷한 방식으로 견적서, 송장과 관련된 내용을 포함하고 있으며 첨부 파일 실행을 유도하고 있다. 각 메일에는 "견적 의뢰서.xlsx.htm", "Purchase order.htm.rar" 명으로 파일이 첨부되어 있다. 파일명에 .xlsx 을 추가하여 엑셀 파일로 위장하고 있으며 rar 파일은 압축 해제시 내부에 악성 html 파일이 존재한다. 국내 포털 계정정보 탈취용 피싱메일 주의! ASEC 분석팀은 국내 포털 사이트를 위장한 피싱 파일(HTML)이 스팸메일을 통해 국내에 유포되고 있는 .. 2020. 7. 8.
영화 '결백' 동영상 파일(*.AAC)로 위장하여 유포되는 백도어 지난 6월 24일 ASEC 분석팀은 현재 상영중인 영화 "결백"으로 위장한 백도어형 악성코드(Innocence Bot) 유포 이력을 확인하였다. 이번에 사용된 유포 방식은 많은 사용자가 이용하는 "토렌트"를 통해 유포되었으며 자사 ASD(AhnLab Smart Defense) 인프라에 따르면 해당 파일에 의한 감염자 수가 5만건 이상으로 보고되었다. 확인 결과, 해당 악성 파일은 지난 5월에 반영한 V3 제너릭(Generic) 진단에 의해 기 진단되고 있었다. 즉, V3 사용자의 경우 이번 유포에 의한 피해가 발생하지 않았을 것으로 추정된다. 유포지에서 다운로드 된 토렌트 파일명은 영화 파일("결백.Innocence.2019.WEBRip.1080p.x264.AAC.zip")인 것처럼 보이지만, 실제 파일.. 2020. 7. 7.
국립공원공단(@knps.or.kr) 대상으로 피싱메일 유포 중 ASEC 분석팀은 지난 주 공직자를 타겟으로 한 피싱 메일이 국내에 유포 중임을 공개하였는데 금일에는 국립공원공단을 대상으로한 피싱 메일을 확인하였다. 메일에는 아래 [그림1]과 같이 시스템 점검을 위해 이메일 버전 업그레이드를 하도록 유도하록하는 내용이 포함되어있다. 공직메일(@korea.kr) 계정탈취를 위한 피싱메일 유포 중 ASEC 분석팀은 공직자를 타켓으로 한 스팸메일이 국내에 유포되고 있는 것을 확인하였다. 메일에는 계정에 대한 접근이 중단되었으며 요청을 취소하려면 하이퍼링크를 클릭하라는 내용이 담겨� asec.ahnlab.com 위 메일을 열람 후 피싱 메일인지 인지 못한 사용자가 '새로운 서버 버전'을 확인하기 위해 해당 버튼을 클릭하면 로그인을 유도하는 피싱 페이지를 확인 할 수 있다. .. 2020. 7. 7.
ASEC 주간 악성코드 통계 ( 20200629 ~ 20200705 ) ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 6월 29일 월요일부터 2020년 7월 5일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러 악성코드가 57.4%로 1위를 차지하였으며, 그 다음으로는 Coin Miner 악성코드가 14.9%, RAT (Remote Administration Tool) 및 Banking 악성코드가 9.2%를 차지하였다. 랜섬웨어와 다운로더 악성코드는 4.6%, 4.3%로 그 뒤를 따랐다. Top 1 - AgentTesla 24.5%를 차지하는 AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 인포스틸러.. 2020. 7. 7.
Dridex 악성코드 다운로드 방식(WMIC 이용 XSL 실행) 지난 6월 ASEC 분석팀은 금융 정보 탈취형 악성코드로 알려진 Dridex의 새로운 유포 방식을 확인하였다. 이번에 확인된 유포 방식([그림 1])은 악성 매크로가 담긴 문서 파일 실행을 시작으로 정상 윈도우 유틸리티(WMIC.exe)을 활용하여 악성 XSL(Extensible Stylesheet Language) 문서 스크립트 파일을 실행하는 방식이다. 결과적으로 감염 PC에는 실행된 XSL 포맷 파일에 의해 Dridex가 실행된다. ※ XSL 포맷은 XML 형식으로 javascript, vbscript 등의 스크립팅을 지원하는 문서 포맷이다. 아래 [그림 2]는 악성 문서파일 실행 시 자사의 엔드포인트 위협 탐지 & 대응 솔루션인 EDR(Endpoint Detection & Response)을 통해.. 2020. 7. 7.
견적, 구매 메일로 위장해 유포되는 Formbook 악성코드 Formbook 악성코드는 2017년 처음 보고된 이후 현재까지도 꾸준히 유포되고 있는 정보 탈취 유형의 악성코드이다. 최근에는 주로 견적 구매 관련 메일로 위장하여 유포되고 있다. 메일에는 압축된 첨부파일이 포함되어 있으며 압축파일 내부에는 악성코드 실행 파일이 존재한다. 단순한 방식으로 유포되지만 유포량은 전체 악성코드 샘플 중에서 큰 비중을 차지하기 때문에 주의가 필요하다. ASEC 주간 악성코드 통계 ( 20200622 ~ 20200628 ) ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 6월 22일 월요일부터 2020년 6월 28일 일요일까지 수집된 한 주 asec.ahnlab.com ASEC .. 2020. 7. 6.