본문 바로가기

파워쉘4

새롭게 변형되어 유포 중인 JS.BlueCrab 랜섬웨어 ASEC 분석팀은 JS형태로 유포되는 BlueCrab 랜섬웨어의 감염 과정에서 큰 변형이 발생한 것을 확인하여 관련 내용을 공유하고자 한다. JS.BlueCrab 랜섬웨어는 다운로드 페이지를 위장한 피싱 페이지로부터 유포된다. 공격자는 취약한 워드프레스 환경의 웹 서버를 탈취하여 다수의 악성 게시글을 업로드 하며 해당 악성 게시글에 접속 시 다음과 같이 다운로드 페이지로 위장한 피싱 페이지가 출력된다. 각 게시글마다 키워드를 다르게 하여 사용자의 악성코드 다운로드를 유도한다. 모니터링 과정에서 다음 그림처럼 외국어(독일어)로 된 피싱 페이지도 존재하는 것을 확인했다. 피싱 페이지에서 다운로드된 .JS 파일은 BlueCrab 랜섬웨어를 다운로드하여 실행하는 스크립트로 해당 스크립트에 대한 설명은 아래 블로.. 2020. 10. 26.
암호 걸린 첨부 파일로 유포 중인 Emotet 악성코드 ASEC 분석팀은 메일에 암호 걸린 압축 파일로 첨부되어 이모텟(Emotet) 악성코드가 유포 중인 것을 확인하였다. 메일 본문에 압축 파일을 풀기 위한 암호가 적혀있어서, 메일을 수신한 사람만 파일을 실행할 수 있다. 또한 압축 파일 내의 파일을 안티바이러스 제품에서 탐지하고 있더라도, 압축 파일 자체에 암호가 걸려있기 때문에 암호 해제 전까지는 자동으로 탐지가 어렵다. 메일은 10월 17일 발송되었고, 다음과 같이 기업 관계자를 위장하고 있다. 첨부된 파일은 압축 파일로서, 압축 해제 시 'MYTNXTOJ3 202010月17.doc' 이름의 워드 파일이 존재한다. 'MYTNXTOJ3 202010月17.doc' 워드 문서 파일의 내용은 위와 같다. 매크로 [콘텐츠 사용] 허용 시 악성 매크로 코드가 동.. 2020. 10. 20.
'원산지 조사 자율 점검표' 한글(HWP) 악성코드 유포 ASEC 분석팀은 7월 23일 악성 EPS를 포함한 한글 문서가 유포되고 있음을 확인하였다. 문서에 포함된 악성 PS(Post Script)파일의 주요 행위는 7월 15일 아래의 글을 통해 확인한 코로나 예측 결과 위장 엑셀문서와 유사하다. 해당 문서에는 원산지 조사 자율 점검표가 존재하며, 문서 정보로 보아 실제 '국가법령정부센터'에서 제공한 문서를 악의적으로 가공한 것으로 추정된다. 코로나 예측 결과 위장 악성 문서(xls) 유포 중 올해 코로나 관련된 주제의 악성코드가 끊임없이 발견되고 있는 가운데 이번에도 ASEC 분석팀에서는 '코로나 예측 결과'에 대한 내용으로 사용자를 속여 메일과 문서를 열람하도록한 공격을 확�� asec.ahnlab.com 한글문서 첫 페이지 우측 상단에는 아래의 그림과 같.. 2020. 7. 24.
Avaddon 랜섬웨어 유포 스크립트 및 V3 행위탐지 지난 6월 26일 "RigEK 이용한 Avaddon 랜섬웨어 국내 유포 중(*.avdn 확장자)"라는 제목으로 블로그를 통해 분석 정보를 공유하였다. ASEC 분석팀은 금일 이 Avaddon 랜섬웨어 유포에 사용된 자바 스크립트 파일을 확인하여 이에 대한 내용과 해당 유포에 사용된 방법이 V3 행위탐지에 의해 사전 차단되는 내용을 소개하고자 한다. RigEK 이용한 Avaddon 랜섬웨어 국내 유포 중(*.avdn 확장자) 6월 초에 아래의 해외 사이트를 통해 Avaddon 이름의 신종 랜섬웨어에 대한 기사가 소개되었다. 6월 8일부터 국내에서 RigEK(Rig Exploit Kit)를 이용한 악성코드 유포 수가 급증한 것을 확인하였고, 해당 asec.ahnlab.com 아래의 코드가 실제 해당 랜섬웨어.. 2020. 6. 26.