코인 마이너를 설치하는 Shc 리눅스 악성코드
ASEC 분석팀은 최근 Shc로 개발된 리눅스 악성코드가 코인 마이너 악성코드를 설치하고 있는 것을 확인하였다. 공격자는 부적절하게 관리되고 있는 리눅스 SSH 서버를 대상으로 사전 공격을 통해 인증에 성공한 뒤 다양한 악성코드들을 설치한 것으로 추정되며, Shc 다운로더 악성코드와 이를 통해 설치되는 XMRig 코인 마이너 그리고 Perl로 개발된 DDoS IRC Bot이 확인된다. 1.
인포스틸러 공격자들이 수익을 얻는 방식
인포스틸러는 정보 탈취형 악성코드로서 웹 브라우저나 이메일 클라이언트 같은 프로그램에 저장되어 있는 사용자 계정 정보나 가상화폐 지갑 주소, 파일과 같은 사용자의 정보들을 탈취하는 것이 목적인 악성코드이다. 2022년 3분기 ASEC 리포트에 따르면, 인포스틸러는 실행 파일 포맷 기준 고객사로부터 접수되거나 수집된 악성코드 유형 중 절반이 넘는 수를 차지하고 있다. 다운로더 유형의 악성코드들도
ASEC 주간 피싱 이메일 위협 트렌드 (20221211 ~ 20221217)
ASEC 분석팀에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2022년 12월 11일부터 12월 17일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써
최신 닷넷 패커의 종류 및 국내 유포 동향
[TOC] 0. 개요 본 내용은 TI 보고서 ‘최신 닷넷 패커의 동향 및 분류 보고서‘를 축약한 내용으로 자세한 내용은 가장 하단의 링크를 통해 확인할 수 있다. 최근 닷넷으로 만들어진 패커가 국내와 국외 많은 곳에서 확인되고 있다. 따라서 ASEC 분석팀에서는 국내에 주로 유포되는 다섯 종류의 닷넷(.NET) 패커에 대해 소개하고 국내 유포
ASEC 주간 피싱 이메일 위협 트렌드 (20221204 ~ 20221210)
ASEC 분석팀에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2022년 12월 04일부터 12월 10일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의
Microsoft 인증서로 서명된 악성코드 유포 주의
Microsoft에서 Microsoft 인증서로 서명된 악성코드가 유포되고 내용에 대해 공개하였다.[1] 그 내용에 따르면 Microsoft의 여러 개발자 계정의 유출로 인해 Windows 하드웨어 개발자 프로그램(Windows Hardware Developer Program)에서 인증한 드라이버가 악용되었으며, 피해를 막기 위하여 Microsoft에서는 관련한 계정을 차단하고 보안 업데이트(Microsoft Defender 1.377.987.0 이상)를 적용하였다. Windows에서는 커널 모드 드라이버를 로드 할 때 보안 위험을
국내 유명 금융 앱 사칭한 피싱공격
ASEC 분석팀은 최근 금융권의 정상 웹사이트를 타겟으로 한 악성 도메인들이 다수 생성된 정황을 확인하였다. 지난 11월 초부터 아래와 같이 네이버 고객센터를 사칭한 피싱메일의 유포가 다수 확인되었고, 이를 통해 해당 메일에 포함된 악성URL을 모니터링 하고 있었다.보낸사람의 Username은 ‘Naver센터’ 였으며, 내용은 연락처 변경알림 / 새 일회용번호 생성알림 / 타지역 로그인 알림 /
가상 디스크 파일 (*.vhd) 로 유포 중인 Qakbot
최근 디스크 이미지 파일을 이용한 악성코드 유포가 증가하고 있다. 그 중 Qakbot 악성코드는 ISO 및 IMG 파일을 통해 유포되어 왔으며, 현재는 VHD 파일로 변경되어 유포 중인 것을 확인하였다. 이와 같이 Qakbot 악성코드가 디스크 이미지 파일(IMG, ISO, VHD) 을 이용하는 것은 MOTW(Mark of the Web) 을 우회하기 위한 것으로 보인다. 디스크
다양한 플랫폼을 악용하는 Vidar Stealer
Vidar 악성코드는 꾸준하게 유포 중인 정보탈취 유형의 악성코드로 최근 유포량이 눈에 띄게 늘었다. Telegram, Mastodon등의 유명 플랫폼을 중간 C2로 활용하는 것이 특징이다. 다음 링크는 Mastodon을 활용하여 악성 행위를 수행하는 사례에 대한 포스팅이다. 마스토돈 SNS를 악용하는 Vidar 악성코드 – ASEC BLOG ASEC 분석팀에서는 최근 Vidar 인포스틸러 악성코드가 마스토돈(Mastodon)이라는 SNS 플랫폼을 악용하여
Magniber Ransomware 12/9 유포 시작 코로나 관련 파일명 포함 유포 주의!
안랩 ASEC 분석팀은 Magniber Ransomware가 2022.12.09에 재유포 되는 것을 확인하였다. 기존에 보안 업데이트 관련 파일명을 포함하여 코로나가 기승을 부리는 시기에 Magniber Ransomware도 코로나 관련 파일명을 포함하여 유포되는 것을 확인하였다. C:\Users\$USERS\Downloads\COVID.Warning.Readme.2f4a204180a70de60e674426ee79673f.msiC:\Users\$USERS\Downloads\COVID.Warning.Readme.502ef18830aa097b6dd414d3c3edd5fb.msiC:\Users\$USERS\Downloads\COVID.Warning.Readme.a179a9245f8e13f41d799e775b71fdff.msi [표-1] 코로나 관련 유포 파일명 Magniber는 과거 Internet Explorer 취약점을 이용하여 사용자의 특별한 동작 없이 웹페이지 방문만으로 Drive by Download로
