악성 매크로 코드를 ‘좀 더’ 숨긴 엑셀 파일 유포 – very hidden
새로운 방식으로 악성 매크로 코드를 숨긴 엑셀 파일이 발견되었다. 이번 파일은 엑셀 4.0 (XLM) 매크로 시트를 이용하였는데, 기존의 악성 매크로 시트를 단순히 숨겼던 방식에서 일반적인 사용자 인터페이스로는 숨김 속성을 없앨 수 없게 없게 변경하였다. VBA 매크로 코드 방식을 이용하지도 않고 XLM 매크로 시트를 직접 확인할 수도 없기 때문에 문서 내에
신천지 비상연락처 위장한 Bisonal 악성코드 유포 중 (2020.03.05)
ASEC분석팀은 현재 우리나라에서 이슈가 되고있는 신천지 관련 악성코드가 유포된 것을 확인하였다. 유포 파일명은 xlsx 엑셀 또는 ppt 파워포인트 문서 파일로 보이지만, 유니코드 RLO(Right to Left Override) 방식을 이용하여 파일 확장자를 다른 형태로 보이도록 하였다. 실제 악성 파일은 *.scr 파일이다. RLO 변조 된 파일 유니코드 RLO 변조 유포 악성 파일 신천지예수교회비상연락처(1).Rcs.xlsx
견적서 위장 정보 유출형 악성코드 유포 중(구글 드라이브 이용)
ASEC 분석팀은 오늘(3월 4일) 견적서로 위장한 정보 탈취 형(키보드 입력값 유출) 악성코드가 유포 중임을 확인하였다. 2차 악성파일 다운로드 주소가 일반인들이 정상적으로 많이 사용하는 구글 드라이브(https://drive.google.com)를 이용한 점도 정상적인 행위로 위장하기 위한 것으로 추정된다. 해당 악성코드는 자사에서 이전에 공개하였던 오토캐드(AutoCAD) 도면 파일(dwg)로 위장한 아래의 악성코드와 동일한 유형으로 확인되었다. [주의] 오토캐드(AutoCAD) 설계도면 파일(dwg)로
마이킹즈(MyKings) 봇넷 동향
마이킹즈 봇넷은 다크클라우드(DarkCloud), 히든(Hidden), 스모민루(Smominru) 등으로도 불리는 봇넷으로, 2014년 8월 관련 악성코드가 처음 발견되었다. 국내에서는 2015년 5월 처음 확인됐다. 이후 꾸준히, 그러나 조용하게 활동해온 이 봇넷은 2018년 중반 이후 활발한 움직임을 보였다. 안랩에서도 2016년 11월 국내 기업의 디지털 인증서로 서명된 악성코드를 분석하던 중 마이킹즈 봇넷과 연관된 정황을 확인한 바 있다. 이후 2018년 중반부터 국내 대학, 협회, 방송, 제조, 금속, 솔루션 서비스, 웹호스팅 등 다양한 산업 분야에서 채굴 악성코드(Coin Miner, 코인마이너) 재감염, 백신 프로그램 장애, 부트킷 악성코드 등 다른 듯 유사한 사례가 지속적으로 확인됐다. 별개로 보이는 이들 사례를 안랩이 분석한 결과, 모두 동일한 그룹의 소행으로 결론 내렸다. 마이킹즈 봇넷에 대한 요약 글과 전체 PDF 파일은 다음 주소에서 확인 할 수 있다. . 서버 노리는 마이킹즈(MyKings) 봇넷의 실체 (https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?curPage=1&menu_dist=2&seq=29020) . PDF 파일 다운로드 (http://download.ahnlab.com/kr/site/library/[AhnLab]Analysis%20Report_MyKings%20Botnet.pdf)
3월 3일!! 또 다시 ‘전자상거래 위반행위 사칭’ 신종 랜섬웨어 유포 중
ASEC 분석팀은 3월 3일 금융기관 및 인사담당자를 대상으로 ‘부당 전자상거래 위반행위’ 및 ‘이력서’ 사칭 랜섬웨어 유포를 확인하였다. 이메일의 압축 첨부파일(7z, zip) 형태로 유포되며, 내부에는 PDF 문서 아이콘의 실행파일(exe)이 존재한다. 일반 사용자의 경우, 문서 아이콘 형태이면서 실행파일 확장자(exe)가 노출되지 않아 문서파일로 착각하고 실행하게되며, 실제로는 랜섬웨어가 동작하게된다. 이러한 공격방식은 1월 6일자에 아래의
가짜 윈도우 화면과 함께 설치되는 신종 랜섬웨어 국내 발견(*.rezm 확장자)
ASEC분석팀은 2020년 3월 2일 가짜 윈도우 업데이트 화면과 함께 설치되는 신종 랜섬웨어를 발견하였다. 해당 랜섬웨어는 기존 국내에 널리 유포되고 있는 Bluecrab, Nemty, Paradise 이름의 랜섬웨어와 동일한 패커(Packer)를 사용하여 유포 중이며 암호화된 파일은 확장자가 .rezm 이 추가되는 특징을 갖는다. 가짜 윈도우 업데이트 화면 파일 실행 시 아래 주소에서 Fake 윈도우즈 업데이트
특정 환경에서만 동작하는 새로운 동적 분석 우회 기법
ASEC 분석팀은 활발하게 유포되고 있는 악성코드들을 모니터링하던 중 새로운 형태의 동적 분석 우회 기법을 확인하였다. 최근 다수 유포되고 있는 악성코드들은 진단을 회피하기 위한 목적으로 악성코드 실행 환경을 확인 후 조건에 부합하면 Crash를 발생시켜 동작하지 않도록 한다. 이번에 소개될 기법은 특정 어셈블리 명령어를 사용하는 방법과 사이즈가 큰 메모리를 할당 가능한지에 대한
![[주의] 오토캐드(AutoCAD) 설계도면 파일(dwg)로 위장하여 악성코드 유포](https://asec.ahnlab.com/wp-content/uploads/2020/09/chain-1.png)
[주의] 오토캐드(AutoCAD) 설계도면 파일(dwg)로 위장하여 악성코드 유포
최근 들어 오토캐드(AutoCAD) 도면 파일(dwg)로 위장한 악성코드가 유포되고 있다. 해당 파일명은 imageXXX_M-003 장비일람표.dwg.exe 형식을 가지며 주로 스팸 메일을 통해 유포되고 있는 것으로 추정된다. dwg 파일로 위장한 exe 실행파일 위와 같이 유포된 파일은 VB(VisualBasic) 아이콘을 사용하며 윈도우 폴더 기본 옵션인 확장명 숨기기 기능을 해제 할 경우 다음과 같은 dwg 파일명 뒤에 .exe
주의! 실시간 코로나19 현황 프로그램을 위장한 악성코드 유포
ASEC 분석팀은 국내와 일본 사용자를 대상으로 코로나 바이러스와 관련된 악성코드가 유포되고 있는 것을 확인하였다. 해당 악성코드는 코로나19 현황을 나타내는 팝업창을 생성하고 Temp 경로에 악성 파일을 드롭 후 실행한다. 이때 사용자 몰래 악성 파일이 생성되기 때문에 팝업창만 확인시 마치 정상 코로나 현황 프로그램으로 착각할 수 있어 사용자의 주의가 필요하다. 유포중인 파일은
[주의] 코로나 바이러스를 이용한 다양한 형태의 악성코드 유포
전 세계적으로 이슈인 코로나 바이러스를 이용한 악성코드들이 다수 발견되고 있다. 테스트 파일, JOKE 파일, 실제 악성 파일까지 다양하게 존재하며 현재 코로나 바이러스의 관심도가 높은 상황에서 이러한 악성코드의 제작 및 유포는 더 큰 사회 불안을 발생시킬 수 있어 사용자의 큰 주의가 요구되는 시점이다. [1] 여행자를 위한정보 문서파일 (테스트 파일 추정) 파일명 :
