본문 바로가기

악성코드113

Pastebin 서비스를 이용한 원격 제어 악성코드 온라인상에 텍스트나 소스코드 데이터를 저장해서 공유할 수 있는 Pastebin (페이스트빈) 서비스를 이용한 악성코드가 발견되었다. Pastebin 서비스에 Raw 데이터 텍스트 스트링을 올려두면 부여되는 고유한 URL을 통해 접속할 수 있는 점을 이용하였다. 악성코드는 성인물로 위장하여 ‘2.zip’ 압축 파일명으로 유포되었다. 실행된 악성코드는 단독으로 동작하거나 실행되지 않고 여러 개의 Visual Basic 스크립트 파일과 EXE 실행 파일을 만들거나 메모리에 로드하여 최종 파일을 생성한다. 이 과정에서 악성코드는 Pastebin 도메인의 각기 다른 4개 URL에 접속하여 해당 주소의 텍스트 데이터를 받아 악성코드를 로딩하는 데 이용한다. 최종 실행되는 파일은 ‘njRAT’ 이름을 가진 원격 제어.. 2018.04.23
스팸 메일로 유포되는 Hancitor 악성코드 재활동 스팸 메일에 첨부되어 유포되는 Microsoft Office 문서 파일 악성코드 중 Hancitor (Chanitor) 유형이 2016년 이후 다시 활발히 유포되고 있는 정황이 확인되었다. Hancitor 악성코드는 VBA 매크로를 이용하여 ‘사용자 정의 폼’ 내부의 암호화 된 쉘코드를 이용하여 생성한 PE를 정상 프로세스에 인젝션하여 악성 기능을 수행한다. 관련하여 2016년 다음과 같은 제목으로 본 블로그에 분석 정보를 제공하였다. ‘MS 워드 문서에서 폼 개체를 활용한 악성코드’ - http://asec.ahnlab.com/1052 최근 유포되고 있는 Hancitor 악성코드는 2016년과 비교했을 때 폼 개체 이용 및 프로세스 인젝션을 비롯한 전체적인 동작 방식에는 큰 변화가 없다. 부분적으로 쉘.. 2018.03.22
웹 브라우저를 통해 마이닝 동작하는 악성코드 암호화폐 시장이 달아오름과 동시에 채굴 방식 또한 점차 다양해지고 있다. PC에 악성 채굴기 실행파일을 몰래 설치하는 악성코드뿐만 아니라, 웹 브라우저를 기반으로 하여 암호화폐를 채굴하는 방식이 2017년부터 폭증하고 있다. 웹 브라우저 기반으로 동작하는 마이닝 방식은 기존의 실행 파일 기반과는 다르게 악성 자바스크립트(JavaScript)를 이용해 동작한다. 자바스크립트는 추가로 악성 자바(JAVA) 파일 또는 웹어셈블리(WebAssembly) 파일을 로드할 수 있으며, 해당 웹 페이지에 접속했을 때 접속자는 개인 하드웨어 자원을 이용하여 채굴을 하게 되고 그 결과는 공격자의 지갑 주소에 전송된다. 파일 기반의 악성코드는 최종 페이로드를 사용자 시스템에 전달하기 위해 파일 다운로드 후 실행하기까지 과정.. 2018.01.17
2014년 예상 7대 보안 위협 트렌드 발표 - 악성코드와 공격기법의 고도화, 국가간 사이버보안 위협 증대, 침투경로의 다양화 등 사이버 공격이 더욱 교묘해지고 심화될 것으로 예측 안랩[대표 권치중, www.ahnlab.com]은 ‘2014년 예상 7대 보안 위협 트렌드’를 발표했다. 이에 따르면 2014년 예상되는 주요 이슈는 ►APT방식의 악성코드 고도화와 표적[target] 확대 ► 전자금융사기와 사이버범죄의 산업화 가속 ►악성코드 유포 방법의 다양화 및 고도화 지속 ►윈도XP 지원 종료에 따른 보안 위협 증가 ►특정 표적을 노린 소규모 모바일 악성코드 ►사이버 보안에 대한 국가적 인식 변화 ►펌웨어 업데이트에 악성코드 포함 시도 증가 등이다. 1] APT방식의 악성코드 고도화와 표적[target] 확대2013년까지 기업이나 기관 등 특정 표.. 2014.01.10
인터넷 익스플로러 취약점 악용으로 유포된 관리자 계정 탈취 악성코드 변형 이번 악성코드의 유포방식은 10월에 알려진 변형들은 IE 제로데이 취약점을 사용하였다. 2013년 10월9일 보안패치가 나온 것을 감안 하면 그 이전부터 유포가 진행되었을 가능성이 높으며, 취약점 패치를 하지 않은 PC에는 여전히 유포 가능성이 존재한다. 아울러, CDN 서비스 업체인 G사를 통해 서비스 운영 중인 웹 사이트가 악성코드 배포지 중 일부로 악용된 것으로 추정된다. Microsoft Security Bulletin MS13-080 - 긴급Internet Explorer 누적 보안 업데이트 (2879017) 아래 그림은 IE 제로데이 취약점을 통해 감염이 이루어지는 과정을 나타낸다. 붉은색 블록으로 표시한 파일이 실제 핵심적인 기능을 수행하며, "악성코드 다운로드" 및 "관리자 페이지 계정정보.. 2013.11.05
안랩, 국내 16개 기업 웹사이트 대상 대규모 디도스 공격 경보 - 어제(10월 24일) 오후부터 발생, 악성코드 확산 범위 큰 것으로 예상- 포털, 언론사, 게임사를 포함한 13개 기업 16개 웹사이트 대상- 안랩 V3 엔진 긴급 업데이트 조치, 사용자는 V3 업데이트 후 검사 필수 안랩(대표 김홍선, www.ahnlab.com)은 24일 오후 16시 경부터 국내 16개 웹사이트를 대상으로 디도스(DDoS; Distributed Denial of Service, 분산 서비스 거부) 공격이 발생하고 있다고 발표했다. 안랩은 이번에 발생한 디도스 공격이 지난 7월 발견된 악성코드와 최근 발견된 변종 악성코드에 의해 발생한 것으로 보고 있다. 안랩 확인결과 25일 현재 디도스 유발 악성코드에 감염이 확인된 PC 대수만 1만대를 넘어 해당 악성코드가 많이 확산 된 것으로 .. 2013.10.25
ASEC 보안 위협 동향 리포트 2013 Vol.44 발간 안랩 ASEC에서 2013년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.44을 발간하였다. 이 번에 발간된 ASEC 리포트는 2013년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈메모리 패치형 Banki의 온라인 뱅킹 정보 탈취 기법 분석고객님, 영수증이 발급되었습니다아마존 구매 관련 메일로 위장한 스팸 메일특정 은행 대출 승인 메일로 위장한 스팸 메일휴가철, 사용자의 휴가비를 노려라!동영상 재생 프로그램을 이용한 악성코드 유포토렌트 파일로 위장한 악성코드 주의Your reservation is now confirmed!’델타 항공 메일로 위장한 악성코드 유포 2) 모바일 악성코드 이슈V3 모바일 설치 위장 스미싱 .. 2013.10.07
V3 모바일, AV-Comparative 테스트에서 진단율 1위 기록 - 안랩 V3모바일, 안드로이드 악성코드 99.99%진단율로 전체 공동 1위 기록 - 배터리 사용량에서도 글로벌 제품과 어깨 나란히 - 국제 인증에서 높은 성적 잇따라 획득, 글로벌 시장 진출 발판 글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com]의 모바일 보안 제품인 V3 모바일 2.0[이하 V3 모바일]’이 독립 보안제품 성능 평가 기관인 ‘AV-Comparatives [http://www.av-comparatives.org, 이하 AV 컴패러티브]’에서 2013년 8월에 진행한 성능평가에서 전체 1위의 악성코드 진단율을 기록했다고 밝혔다. 이번 테스트는 AV 컴패러티브가 8월에 카스퍼스키, 트렌드마이크로 등 전세계 14개 모바일 보안 제품을 전세계에서 수집한 2,947개의 안드.. 2013.09.02