본문 바로가기

악성코드 정보1079

부동산 투자관련 메일로 유포 중인 한글 악성코드 (EPS사용) 지난 4월부터 증가한 악성 한글 파일의 유포가 여전히 지속 되고있다. ASEC에서는 지난 주 부동한 투자관련 내용으로 위장한 한글 문서(.HWP)가 메일을 통해 유포되고 있음을 알리고자 한다. 아래 [그림1]과 같이 부동산 투자 관련한 제목의 메일에 여러개의 한글 문서들을 첨부하였고 이 첨부된 문서 중 악성 한글 파일을 포함하였다. 메일과 문서 내용을 위와 같이 그럴듯하게 작성하여 사용자가 방심하도록 유도 후 악성 한글 파일을 실행하도록한다. 실행 된 이 한글 파일은 내부에 있는 악성 포스트스크립트(EPS)가 동작하여 악성의 기능을 수행하게 된다. 해당 EPS는 CVE-2017-8291 취약점을 발생시켜 내부 코드를 실행하도록 한다. 해당 코드는 %appdata%\Microsoft\Internet Exp.. 2020. 5. 25.
코로나 문구가 포함된 랜섬웨어 국내발견 (.corona-lock 확장자) ASEC 분석팀은 5월22일 BlueCrab, Nemty 등과 동일한 외형 정보로 국내 유포되는 신규 랜섬웨어를 발견하였다. 해당 랜섬웨어는 암호화시 원본 확장자 이름에 코로나 문구를 포함한 “.corona-lock” 확장자로 변경하며 백업과 관련된 파일들을 삭제하여 복구가 불가능하게 한다. 랜섬노트는 바탕화면에 생성되며 아래와 같이 암호화된 파일 목록이 포함되어 있다. 해당 랜섬웨어는 암호화전 프로세스 및 서비스 목록을 검사하여 존재할 경우 종료 혹은 멈추는 행위를 수행한다. 프로세스 종료 및 서비스 종료 목록 프로세스 종료 대상 wxServer.exe wxServerView sqlservr.exe sqlmangr.exe RAgui.exe supervise.exe Culture.exe RTVscan.e.. 2020. 5. 22.
Nemty Special Edition 버전 유포중 (복원가능) ASEC 분석팀은 5월18일 Nemty 랜섬웨어가 Special Edition 버전으로 유포되고 있는 것을 확인하였다. 유포 방식은 기존과 동일하게 pdf 파일로 위장하였으며, ‘이력서’ 문구 외 '이미지 무단 사용' 문구가 추가되어 유포되었다. 또한 랜섬웨어 기능에도 작은 변화가 생겼다. 랜섬웨어 기능 중 볼륨 쉐도우 삭제 명령어가 사라졌으며 랜섬노트 및 바탕화면이 변경되었다. [유포 파일명] \성지영\이력서\이력서\지원서_200518(뽑아주시면 열심히하겠습니다 잘부탁드리겠습니다).exe \이재희\이력서\지원서_200518(뽑아주시면 열심히하겠습니다 잘부탁드리겠습니다).exe \김용우\이력서\지원서_200518(뽑아주시면 열심히하겠습니다 잘부탁드리겠습니다).exe \한영철\이력서\지원서_200518(뽑.. 2020. 5. 20.
코인업체 인력모집 양식 가장한 워드문서로 악성코드 유포 중 지난 5월 8일 해당 블로그에 게시 한 것과 같이 메일을 통해 국내 게임업체 인증서를 도용한 악성코드가 유포 중임을 공유하였다. 자사 ASEC에서는 해당 류의 악성코드가 조금 변형 된 형태로 여전히 다양한 제목으로 유포 중임을 확인하여 이에 대해 추가 내용을 알리고자 한다. 지난 블로그 : https://asec.ahnlab.com/1318 국내 대형 게임업체 인증서 도용 악성코드, 문서 통해 유포 ASEC 분석팀에서는 지난달 아래 링크와 같이 상여금 발급 청구서로 위장한 악성 문서에 대해 블로그 글을 게시했었다. 이번에 동일류의 악성코드가 추가로 확인되어 아래와 같이 정보를 공개한�� asec.ahnlab.com 위 지난 블로그에서 처럼 해당 악성코드는 문서 내용을 그대로 코인업체 입력모집 양식의 표를.. 2020. 5. 14.
코인 지갑 주소를 변경하는 악성코드 유포 중 (Clipbanker) ASEC 분석팀은 최근 복사한 코인 지갑 주소를 공격자의 지갑 주소로 변경하는 기능을 갖는 악성코드가 유포 중인 것을 확인하였다. 해당 악성코드는 아래의 글에서 언급한 샘플들과 동일한 패커로 포장되어 유포 중이다. https://asec.ahnlab.com/1276 동일 외형의 서로 다른 악성코드 배포 중: 서비스형 악성코드 확산? ASEC 분석팀은 Nemty, Ryuk, BlueCrab(=Sodinokibi) 랜섬웨어와 Raccoon, Predator 정보유출형 악성코드들이 동일한 외형의 정상 프로그램을 위장하여 유포중인 것을 확인하였다. 소스코드가 공개된 정상 프로�� asec.ahnlab.com 코인 지갑 주소의 경우 길고 랜덤한 문자열을 갖기 때문에 일반 사용자가 직접 외워서 쓰기가 쉽지 않다. .. 2020. 5. 11.
국내 대형 게임업체 인증서 도용 악성코드, 문서 통해 유포 ASEC 분석팀에서는 지난달 아래 링크와 같이 상여금 발급 청구서로 위장한 악성 문서에 대해 블로그 글을 게시했었다. 이번에 동일류의 악성코드가 추가로 확인되어 아래와 같이 정보를 공개한다. https://asec.ahnlab.com/1308 [주의] 상여금 발급 청구서로 위장한 워드 문서파일 ASEC분석팀은 직원 활동 상여금 발급 청구서로 위장한 악성 문서파일을 발견하였다. 과거 악성 문서파일들의 경우 매크로 실행에 필요한 콘텐츠 사용을 유도하기 위해 Office 이미지 또는 Invoice (�� asec.ahnlab.com 이번에 확인된 문서는 메일을 통해 유포된 이력이 확인되었다. 아래 메일 캡처와 같이 보낸사람 주소를 특정 언론사 메일 주소로 사칭한 것으로 보인다. 마지막에 최종적으로 실행 되는 .. 2020. 5. 8.
Lazarus 그룹의 방위산업체 대상 공격 증가 Lazarus 그룹의 방위산업체 대상 공격이 지난달부터 증가하고 있다. 공격은 Microsoft Office Word 프로그램의 Office Open XML 타입의 워드 문서 파일을 이용하였다. (샘플 출처: 해외 트위터) Senior_Design_Engineer.docx - 영국 BAE 시스템즈 (5월 접수) Boeing_DSS_SE.docx - 미국 Boeing (5월 접수) US-ROK Relations and Diplomatic Security.docx - 국내 ROK (4월 접수) 문서 파일은 공통으로 외부 External 주소에 접속하여 추가 문서 파일(*.dotm, Word Macro-Enabled Template)을 다운받는다. 다운된 추가 문서 파일은 특정 패턴의 VBA 매크로 코드로 악.. 2020. 5. 8.
[주의] 이력서와 공정거래위원회를 사칭한 악성코드 유포 ASEC 분석팀은 5월 6일 이력서와 공정거래위원회를 사칭한 악성코드가 다수 유포됨을 확인하였다. 해당 악성코드는 첨부파일 형태로 유포되는 악성코드이며 하나의 압축파일에 파일명은 유사하지만, 성격이 다른 악성코드들이 포함되어 함께 유포되었다. 유포된 첨부 파일 중 “이력서.zip” 파일의 경우 내부에 2개의 실행 파일이 존재하였다. 먼저 아래 [그림 3]의 좌측 한글 문서(.hwp) 아이콘 실행 파일은 Nemty 랜섬웨어이고, 우측 PDF 문서 (.pdf) 아이콘 실행 파일은 "Vidar"이라고 알려진 정보 유출형 악성코드이다. 사용자 파일을 암호화하는 Nemty 랜섬웨어와 달리 “Vidar” 정보 유출형 악성코드는 로컬 시스템의 인터넷 브라우저, FTP, 메신저 계정정보와 더불어 시스템에 저장된 암호화.. 2020. 5. 6.