정부지원 해커로 알려진 ‘금성121(Geumseong121)’ 그룹이 ‘남북이산가족찾기 전수조사’ 내용으로 사칭한 해킹 이메일을 통해 APT 공격을 수행하고 있어, 각별한 주의가 필요한 상황이다. 이번 공격을 상세히 분석한 이스트시큐리티 시큐리티대응센터(이하 ESRC) 심기범 차장은 “이번 공격에 사용된 한글(HWP) 문서취약점은 기존 스타일에서 포스트스크립트(PostScript) 리버스 난독화 기법이 추가되었고, 문서 스트림에 암호화되어 숨겨진 최종 페이로드는 쉘코드 명령에 의해 작동 후 드롭박스 명령제어(C2)서버로 은밀하...

안티랜섬웨어 전문기업 체크멀(대표 김정훈)은 갠드크랩(GandCrab) 랜섬웨어가 v4 버전으로 새로운 변종이 실행된 것을 확인했다고 3일 밝혔다. 갠드크랩 랜섬웨어는 올해 1월 최초 등장해 한국어로 작성된 다양한 이메일을 통해 표적형 공격을 시도했다. 여전히 입사지원서, 채무, 이미지 도용 및 저작권과 관련된 메일을 통해 감염시키고 있다. 이메일 유포 방식 외에도 취약점을 통한 유포 행위도 있었지만, 5월 하순 이후로는 취약점 유포는 사라진 상태이다. 갠드크랩 랜섬웨어의 변종은 기존과 다르게 C&C 서버와 통신 없이 파일 암...

2일, 갠드크랩 V4가 발견됐다. 데이터 보안담당자의 각별한 주의가 요구된다. 갠드크랩은 2017년 10월 초 최초 유포된 이후 올해 4월에 V2, 5월에 V3이 발견되는 등 신변종 제작 기간이 가속화 되고 있다. 수산아이앤티 CERT팀의 분석에 따르면, 이번 갠드크랩 V4는 기존 갠드크랩 V3처럼 드라이브 바이 다운로드(Drive-by Download) 방식으로 유포되고 있지만, 기존 갠드크랩의 특징이던 .CRAB확장자가 .KRAB로 바뀌어 일반 보안 솔루션의 시그니처 탐지기술을 우회할 수 있다. 따라서 현재까지 국내 보안 ...

각 제조사의 무선공유기를 연이어 침입했던 사토리(Satori) 봇넷이 또다시 활동을 시작한 것으로 드러났다. 중국 보안기업 치후360은 또다시 디링크(D-Link)와 기타 중국 제품에서 사토리의 활동을 발견했다고 최근 경고했다. 미라이(Mirai) 변종인 사토리(Satori)는 치후 넷랩 360연구센터에서 2017년 11월 최초 발견했다. 같은 해 12월 사토리가 2주만에 감염시킨 10만대의 loT 장치중 약 9만대가 화웨이 가정용 공유기였다고 밝혔다. 한편 치후 360에 따르면, 올해 2월 사토리는 한국 D사의 가정용 공유기...

전세계 디도스(DDoS) 공격은 분석 기간 동안 7822건 발생해 전년 동기(2016년 11월~2017년 4월) 대비 16% 증가했다. 이 기간 동안 발생한 가장 큰 디도스 공격은 맴케시드(memcached) 반사 기법을 사용한 공격으로 사상 최대 공격 규모인 1.35Tbps를 기록했다. 반사 기반 공격은 전년 동기 대비 4% 증가했다. 전세계 디도스 공격 상위 발원 국가는 소스 IP 개수 기준으로 미국(30%), 중국(16%), 영국(5%), 인도(4%), 스페인(3%) 순이었다. 한국은 전 세계 디도스 공격에 총 4천820...

암호 화폐 채굴 악성 코드 공격을 받은 인터넷 사용자 수가 1년 사이 190만 명에서 270만 명으로 증가했다. 지난 24개월 동안의 통계 자료를 보면 채굴 악성 코드는 개발도상국에 집중하는 경향이 늘어나고 있으며 해당 지역 사용자의 컴퓨터 자원을 통해 수익을 늘리고 있는 것으로 나타났다. 이러한 추세는 카스퍼스키랩의 2016~2018 연간 랜섬웨어 및 암호 화폐 채굴 악성 코드 보고서에서 가장 두드러지는 결과 중 하나이다. 2016년 4월~2017년 3월, 2017년 4월~2018년 3월 간의 통계를 분석한 결과 랜섬웨어는 ...

최근 IT관련 뉴스에서 눈 여겨 볼 만한 소식 중 하나는 바로 크롬(Chrome) 브라우저를 제공하고 있는 구글(Google)에서 2018년 7월, Chrome 68버전부터 HTTPS가 아닌 모든 HTTP 사이트에 대해 자사의 Chrome 브라우저에서 "Not secure" 경고 메시지를 출력할 계획이라고 밝힌 것이다. 최근까지는 HTTP임에도 불구하고, 로그인 등 입력 form이 있는 경우만 예외적으로 경고를 표시했는데, 앞으로는 이에 관계없이 HTTP 이기만 하면 무조건 경고 메시지를 출력한다는 것이다. 당장 구글 크롬 브...

7개월 전, 보안 전문가들이 워드프레스 모든 버전에 영향을 주는 파일 삭제 취약점을 발견했다. 그러나 해당 취약점이 아직 패치되지 않은 것으로 파악돼 사용자들의 각별한 주의가 요구된다. 공격자는 해당 취약점을 익스플로잇 해 유명 CMS(콘텐츠 관리 시스템)를 실행하는 웹 사이트를 탈취, 임의 코드 실행을 할 수 있다. 잠재적인 영향을 고려하면 문제는 더 심각할 수 있다. 워드프레스가 가장 인기있는 CMS이고, 대략 30%의 웹사이트들이 사용하고 있기 때문이다. 해당 취약점을 익스플로잇하기 전에 공격자는 미디어 파일은 편집하거나...

중국의 ‘Tick’APT 해킹그룹이 한국 방위산업체가 만든 특정 유형의 보안 USB 드라이브를 타깃으로 공격활동을 해 온 사실이 해외 보안기업에 의해 발견됐다. Bronze Butler로도 불리는 Tick APT 그룹은 최소 10년간 활동해 왔고, 2016년에 시만텍에 의해 처음 발견되었다. 전문가들은 이들이 중국과 연관되어 있고, 일본과 한국의 특정 지역에서 사용하는 소프트웨어의 제로데이 취약점을 발견하는 능력을 보유하고 있다고 판단했다. 해당 그룹은 에어갭 시스템을 손상시켜 한국 방위산업체가 만든 보안 USB 드라이브를 타...

새롭게 발견된 인텔 CPU의 취약점은 메시지 서명을 위한 암호화키 유출에 사용될 수 있지만, 인텔은 패치를 진행하지 않았다. 블랙햇 2018에서 발표될 이 취약점에 대한 논문에는 인텔의 하이퍼쓰레딩 기술에 대해 데이터 암호화 서명에 사용된 256비트 EdDSA 암호화 키를 추출하는 사이드채널 공격이 상세히 나타나 있다. 연구자들은 인텔 CPU 아키텍쳐에 따라 TLBleed로 명명된 공격이 98% 이상 성공율로 다른 프로그램의 키를 유출할 수 있었다고 언급했다. 키 유출은 키가 데이터 서명에 사용될 때 발생한다. 공격이 인텔의 ...

파일 암호화 후 바탕화면의 작업 표시줄을 따라 도넛이 굴러다니는 '도넛(Donut) 랜섬웨어'가 확인돼 이용자들의 주의가 요구된다. 안티랜섬웨어 전문기업 체크멀(대표 김정훈)은 "올해 6월 해외에서 첫 보고가 이루어진 Donut 랜섬웨어는 Hidden-Tear 오픈 소스 기반 랜섬웨어로, 456종의 파일 확장명에 대해 암호화가 실행된다"며 "파일 암호화가 완료된 파일에는 .donut 확장명이 추가되며 암호화된 폴더에는 decrypt.txt 결제 안내 파일이 생성된다"고 설명했다. AES CBC 암호화 알고리즘을 이용해 암호화 ...

최신 모바일 해킹과 보안 기술 정보를 공유하는 최고 수준의 컨퍼런스인 MOSEC 2018이 6월 22일 중국 상하이 완다린(Wanda Reign)호텔에서 500여 명의 전세계 모바일 해킹 보안 연구가들이 참석한 가운데 개최됐다. 이 자리에서 세네갈 해커 아마트 카마(Amat Cama)는 와이파이, 블루투스, 휴대폰 통신 등에서 이용되는 모바일 임베디드 칩의 펌웨어가 가진 취약점에 대해 발표했다. 특히 2017년 모바일 폰투오운(Pwn2Own)에서 성공한 삼성 스마트폰 모바일칩 샤넌(Shannon) 베이스밴드 취약점 및 익스플로...

최근 웹브라우저에 입력되는 로그인 아이디와 패스워드 그리고 메일계정 패스워드 정보 등을 탈취해 가는 멀웨어가 국내에 동시다발적으로 유포되고 있어 사용자들의 각별한 주의가 요구된다. 멀웨어 파일은 메일 캠페인을 통해서 “Request For Quotation.Exe” 파일이 첨부되거나, P2P 사이트에서 다운로드되며 어도비 PDF 아이콘으로 위장해 유포되고 있다. 이번 멀웨어를 발견하고 데일리시큐에 제보한 파고네트웍스(대표 권영목) 지능형위협분석대응팀은 "이 멀웨어 파일이 실행되면, 사용자가 웹브라우저를 통해 입력하는 로그인아이...

몸캠 피싱을 이용한 안드로이드 악성 앱이 다시 기승을 부리고 있다. 몸캠 피싱은 음란한 화상 채팅을 빌미로 악성 앱 설치를 유도한다. 해당 악성 앱은 몸캠을 진행하는데 필요한 필수 앱으로 사용자를 속이고 사용자의 기기에 저장된 전화번호부를 탈취, 이를 통해 ‘사용자의 몸캠 이용 사실’을 지인들에게 알리겠다고 협박해 금전을 갈취하는 방식을 취한다. 다음은 ‘Trojan.Android.InfoStealer’ 악성코드에 대한 이스트시큐리티의 상세 분석 보고서 내용이다. 사용자를 속이기 위해서 ‘카카오스토리’ 아이콘을 사용하고, 앱 ...

최근 북미 정상회담이 이루어졌지만 보이지 않는 사이버 첩보전은 계속되고 있다. 실제로 현재 북한과 미국의 정세를 이용한 “미북 정상회담 전망 및 대비.hwp”제목으로 위장한 악성 파일이 발견됐다. 해당 파일은 북미 정상회담이 이루어지기 전인 5월 30일에 제작되어 공격이 시도된 것으로 추정된다. 공격자는 악성코드의 감염 사실을 사용자로부터 은폐하기 위해 hwp취약점을 이용해 정상 프로세스인 iexplore.exe에 악성코드를 인젝션했다. 해당 코드는 C&C서버로부터 악성코드 다운로더 기능을 수행한다. 최종적으로 실행되는 코드의...

안랩(대표 권치중)은 최근 사회적으로 이슈가 된 유명 유튜버의 유출 사진을 위장해 악성코드를 유포한 사례를 발견해 사용자 주의를 당부했다. 공격자는 특정 온라인 커뮤니티 게시판에 “OOO(유명 유튜버) 유출사진”이라는 제목으로 자극적인 이미지와 악성 링크를 게시하고, 사용자의 호기심을 자극해 악성 링크 실행을 유도했다. 만약 사용자가 게시글에 포함된 링크로 접속해 다운로드 한 압축 파일을 풀면 이미지 파일, 바로가기 파일, 악성 실행 파일이 나타난다. 이 때 영상 아이콘으로 위장한 바로가기 파일이나 텍스트 파일로 위장한 악성 ...

암호화폐 거래소 빗썸이 20일 침해사고를 당해 350억 규모의 암호화폐를 탈취당했다. 20일, 한국인터넷진흥원(KISA)은 빗썸으로부터 20일 오전 9시 50분에 침해사고 신고를 접수했으며 현재 KISA 사고원인 분석을 위해 현장에 출동중이다. 한편 빗썸 측은 홈페이지 긴급공지란에 '암호화폐 입금 서비스 일시 중단 안내문'을 걸고 "최근 잇따른 보안 위협 시도 증가로 긴급히 암호화폐 입금 지갑 시스템을 변경하고자 한다. 회원들은 피해예방을 위해 빗썸 암호화폐 주소로 입금을 별도 공지시까지 중단해 주기 바란다"고 공지했다. KI...

중국과 연결된 APT15 그룹(Ke3chang, Mirage, Vixen Panda, Royal APT, Playful Dragon으로도 불림)이 과거 사용한 작전에서 일부 코드를 차용한 새로운 멀웨어를 개발한 것으로 보인다. APT15는 적어도 2010년부터 활동해온 그룹이며, 전세계 국방, 첨단 기술, 에너지 부문, 정부 기관, 우주 항공 산업, 제조업 등을 타깃으로 사이버 간첩 캠페인을 벌여왔다. 이들은 점점 더 정교한 수준의 맞춤 멀웨어와 다양한 익스플로잇을 보여왔다. 지난 몇년간 보안 업체들은 Mirage, BS200...

안티 바이러스 소프트웨어 업체인 360 토탈 시큐리티(360 Total Security)가 PC들이 충돌을 일으키도록 만드는 가상화폐(암호화폐) 마이닝 멀웨어를 발견했다. 윈스타Nssm마이너(WinstarNssmMiner)라는 이 멀웨어는 이미 3일 만에 벌써 50만 건의 공격을 시도했다. 이 멀웨어는 감염된 PC를 가로챈 다음 윈도우의 중요한 시스템 서비스에 침입해 자체 삭제를 방지한다. 그 다음 PC의 처리 능력을 활용해 디지털 코인을 채굴한다. 이 멀웨어는 모네로라는 가상화폐를 채굴하는 멀웨어다. 멀웨어가 PC에 감염되는...

최근 미국 트럼프 대통령과 김정은 북한 위원장이 만나 긍정적인 분위기가 조성되고 있는 상황에서 美국토안보부와 FBI는 'Typeframe'이라는 새로운 트로이목마에 대한 보고서를 내놓았다. 이번 멀웨어 분석보고서(이하 MAR)에 따르면 알려진 북한 해킹 그룹인 '히든코브라(Hidden Cobra)'가 Typeframe을 사용중이며 연방 정부에서 멀웨어에 대한 노출을 줄이기 위해 보고서를 배포하고 있다고 밝혔다. 국토안보부와 FBI는 32비트 및 64비트 윈도우 실행 파일이 들어있는 11개의 악성코드 샘플과 VisualBasic...