국내 포털(NAVER) 계정정보 탈취용 피싱메일 주의!

ASEC 분석팀은 지난주 국내 포털 계정정보를 탈취하는 피싱 메일이 유포 중인 것을 공유하였는데, 금일 다른 국내 유명 포털 계정정보를 탈취하는 피싱 메일이 추가로 다수 유포 중인 것을 확인하였다. 해당 메일은 이전과 비슷한 방식으로 견적서, 송장과 관련된 내용을 포함하고 있으며 첨부 파일 실행을 유도하고 있다. 각 메일에는 “견적 의뢰서.xlsx.htm”, “Purchase order.htm.rar” 명으로 파일이 첨부되어 있다. 파일명에 .xlsx 을 추가하여 엑셀 파일로 위장하고 있으며 rar 파일은 압축 해제시 내부에 악성 html 파일이 존재한다. https://asec.ahnlab.com/1345 첨부된 파일(HTML)을 실행시 아래와 같이 국내 유명 포털 사이트의 로그인…

영화 ‘결백’ 동영상 파일(*.AAC)로 위장하여 유포되는 백도어

지난 6월 24일 ASEC 분석팀은 현재 상영중인 영화 “결백”으로 위장한 백도어형 악성코드(Innocence Bot) 유포 이력을 확인하였다. 이번에 사용된 유포 방식은 많은 사용자가 이용하는 “토렌트”를 통해 유포되었으며 자사 ASD(AhnLab Smart Defense) 인프라에 따르면 해당 파일에 의한 감염자 수가 5만건 이상으로 보고되었다. 확인 결과, 해당 악성 파일은 지난 5월에 반영한 V3 제너릭(Generic) 진단에 의해 기 진단되고 있었다. 즉, V3 사용자의 경우 이번 유포에 의한 피해가 발생하지 않았을 것으로 추정된다. 악성코드 유포 토렌트 사이트 유포지에서 다운로드 된 토렌트 파일명은 영화 파일(“결백.Innocence.2019.WEBRip.1080p.x264.AAC.zip“)인 것처럼 보이지만,…

국가기관(@knps.or.kr) 대상으로 피싱메일 유포 중

ASEC 분석팀은 지난 주 공직자를 타겟으로 한 피싱 메일이 국내에 유포 중임을 공개하였는데 금일에는 국립공원공단을 대상으로한 피싱 메일을 확인하였다. 메일에는 아래 [그림1]과 같이 시스템 점검을 위해 이메일 버전 업그레이드를 하도록 유도하록하는 내용이 포함되어있다. https://asec.ahnlab.com/1346 위 메일을 열람 후 피싱 메일인지 인지 못한 사용자가 ‘새로운 서버 버전’을 확인하기 위해 해당 버튼을 클릭하면 로그인을 유도하는 피싱 페이지를 확인 할 수 있다. 해당 계정의 사용자가 암호를 입력후 로그인을 진행하면 사용자의 계정 정보는 유출된다.  접속 피싱 주소 : hxxp://manalhaddara.com/dcokkin/new/index.php?email=[계정명]@knps.or.kr 정보 유출 주소 : hxxp://manalhaddara.com/dcokkin/new/mail.php…

ASEC 주간 악성코드 통계 ( 20200629 ~ 20200705 )

ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2020년 6월 29일 월요일부터 2020년 7월 5일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러 악성코드가 57.4%로 1위를 차지하였으며, 그 다음으로는 Coin Miner 악성코드가 14.9%, RAT (Remote Administration Tool) 및 Banking 악성코드가 9.2%를 차지하였다. 랜섬웨어와 다운로더 악성코드는 4.6%, 4.3%로 그 뒤를 따랐다. Top 1 –  AgentTesla 24.5%를 차지하는 AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 인포스틸러 악성코드이다. 최근 유입되는 샘플들은 수집한 정보 유출 시 아래와…

Dridex 악성코드 다운로드 방식(WMIC 이용 XSL 실행)

지난 6월 ASEC 분석팀은 금융 정보 탈취형 악성코드로 알려진 Dridex의 새로운 유포 방식을 확인하였다. 이번에 확인된 유포 방식([그림 1])은 악성 매크로가 담긴 문서 파일 실행을 시작으로 정상 윈도우 유틸리티(WMIC.exe)을 활용하여 악성 XSL(Extensible Stylesheet Language) 문서 스크립트 파일을 실행하는 방식이다. 결과적으로 감염 PC에는 실행된 XSL 포맷 파일에 의해 Dridex가 실행된다. ※ XSL 포맷은 XML 형식으로 javascript, vbscript 등의 스크립팅을 지원하는 문서 포맷이다. [그림 1] Dridex 유포 및 동작 과정 아래 [그림 2]는 악성 문서파일 실행 시 자사의 엔드포인트 위협 탐지 &…