악성코드 정보

ASEC 주간 악성코드 통계 ( 20200831 ~ 20200906 )

ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 8월 31일 월요일부터 2020년 9월 6일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러 악성코드가 54.1%로 1위를 차지하였으며, 그 다음으로는 RAT (Remote Administration Tool)가 14.8%, 뱅킹 악성코드 악성코드가 14.4%를 차지하였다. Coin Miner는 10.1%를 차지하였으며, 다운로더 악성코드가 5.8%, 랜섬웨어가 0.8%로 그 뒤를 따랐다. Top 1 –  AgentTesla AgentTesla는 26.1%를 차지하며 1위를 차지하였다. AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 인포스틸러 악성코드이다.  https://asec.ahnlab.com/1361 최근 유입되는…

정상 문서 파일로 위장한 악성 코드 유포 (Kimsuky 그룹)

ASEC 분석팀은 지난 8월 20일부터 Kimsuky 그룹의 공격 정황을 다수 확인하였다. 파일명에 docx, pdf, txt 등 문서 확장자를 포함한 정상 파일로 위장하여 유포 중이며, 해당 악성코드는 정상 파일 드롭 및 실행, 감염 PC 정보 탈취, 추가 악성코드 다운로드를 수행한다. 해당 방식은 Kimsuky 그룹이 자주 사용하는 위장 방식과 동작 방식으로 국내 정부기관, 대학 교수 등을 대상으로 하는 APT 공격에 사용된다. 유포 파일명 유포 날짜 유포 파일명 2020/08/20 4.[아태연구]논문투고규정.docx.exe 2020/08/26 Button01_[2020 서울안보대화] 모시는 글.pdf.exe 2020/09/03 [양식] 개인정보이용동의서.txt.exe 해당 악성코드 유형은 리소스 영역에…

ASEC 주간 악성코드 통계 ( 20200824 ~ 20200830 )

ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 8월 17일 월요일부터 2020년 8월 23일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러 악성코드가 41.4%로 1위를 차지하였으며, 그 다음으로는 뱅킹 악성코드 악성코드가 30.2%, Coin Miner 악성코드가 12.1%, 차지하였다. RAT (Remote Administration Tool)는 11.8%를 차지하였으며, 다운로더 악성코드가 2.4%, 랜섬웨어가 2.1%로 그 뒤를 따랐다. Top 1 –  Emotet Emotet은 29.3%를 차지하며 이번 주 1위를 차지하였다. Emotet은 뱅킹 악성코드이며 스팸 메일을 통해 꾸준히 유포되고 있다. https://asec.ahnlab.com/1358 기본적으로 설치되는 형태는 추가적인 기능이…

구매 주문서 메일로 위장하여 유포 중인 Lokibot 악성코드

Lokibot 은 인포스틸러 악성코드로서, 웹 브라우저, 메일 클라이언트, FTP 클라이언트 등 감염 PC에 설치된 다양한 프로그램들에서 계정 정보를 탈취하는 기능을 가지고 있다. 수 년 전부터 꾸준히 유포되고 있는 악성코드이지만, 아래의 주간 통계에서 확인되듯이 최근까지도 Top 5에 매주 포함되고 있는 것을 확인할 수 있다. asec.ahnlab.com/1371 Lokibot은 최근 AgentTesla, Formbook, AveMaria 등의 악성코드와 유사하게 대부분 스팸 메일을 통해 유포되고 있다. 또한 진단을 우회하기 위해 위의 악성코드들과 유사한 닷넷(.NET) 외형의 패커로 패킹되어 유포 중이다. 다음은 유포에 사용된 스팸 메일로서 아래와 같이 전형적인 구매 주문서(P.O. – Purchase Order) 관련 내용을 담고 있으며 첨부 파일 실행을 유도한다. 첨부 파일을 확인해 보면 cab 포맷의 압축 파일이 존재하며, 압축 파일을 풀면 exe 파일이 추출되는데, 이것이 Lokibot 악성코드이다. 만약 사용자가 위의 첨부 파일을 압축 해제한 후 구매 주문서 파일로 착각하고…

[주의] 특정 기업을 타깃으로 유포되는 WastedLocker 랜섬웨어

지난 7월 23일에 스마트 워치 및 웨어러블 제조업체인 ‘Garmin’이 WastedLocker 이름의 랜섬웨어 공격을 받아 서비스 및 생산라인이 중단되는 이슈가 발생했었다. 해당 랜섬웨어의 제작자는 ‘Evil Corp’라는 러시안 사이버 범죄 그룹으로 알려져 있으며 이들은 특정 기업을 대상으로 APT 공격을 수행한 뒤, 침투 테스킹 도구인 Cobalt Striker를 이용하여 WastedLocker 랜섬웨어를 배포한 것으로 추정된다. WastedLocker는 시스템 내의 파일을 암호화 시켜 복호화해주는 대가로 금전을 요구하는 전형적인 랜섬웨어의 특징을 가진 악성코드이다. 특히나 WastedLocker 랜섬웨어 같은 경우, 프로그램에 전달되는 특정 매개 변수 조건에 따라 암호화 범위를 컨트롤…