ASEC 주간 악성코드 통계 ( 20210201 ~ 20210207 ) Posted on 2021년 2월 9일 ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2021년 2월 1일 월요일부터 2021년 2월 7일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러가 70.9%로 1위를 차지하였으며, 그 다음으로는 Coin Miner가 13.7%, RAT (Remote Administration Tool) 악성코드가 13.2%, 다운로더는 2.2%로 집계되었다. 랜섬웨어와 뱅킹 악성코드는 수량이 줄어들어 집계되지 않았다. Top 1 – AgentTesla AgentTesla는 22.9%를 차지하며 1위를 기록하였다. AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 인포스틸러 악성코드이다. 최근…
견적서/발주서 제목의 정보유출 악성코드(Formbook) 주의! Posted on 2021년 2월 4일 Formbook 악성코드는 예전부터 현재까지 지속적으로 유포되어온 정보 탈취 유형의 악성코드이다. 최근에는 업체명의 이름이 들어간 파일명으로 Formbook 악성코드가 유포되고 있어 각별한 주의가 필요하다. Formbook 악성코드는 지난 ASEC 주간 악성코드 통계에 따르면 전체 악성코드 유포량 중 2위를 차지하고 있으며, 악성코드가 유포되는 방식은 전과 동일하게 악성코드가 첨부파일에 포함된 메일을 통하여 유포가 이루어지고 있다. Formbook 악성코드는 아래와 같은 메일을 통하여 들어오게 된다. 제목에는 주로 설계서, 견적서, 발주서와 같은 제목으로 이루어져 있으며, 첨부 파일명에 특정 회사의 이름이 포함되어 있어 실제 업무 사용자가 해당 이메일에 관심을…
‘2021년 국방부 업무보고 수정’ 문서로 위장한 악성코드 유포 Posted on 2021년 2월 3일 1월 24일 ASEC에서는 ‘2021년 국방부 업무보고 수정’문서로 위장하여 악성코드가 함께 유포된 정황을 확인하였다. 해당 악성코드의 확장자는 아래와 같이 *.pif로 만들어져 유포되었으며 이는 EXE 확장자와 같은 실행 가능한 파일이다. 파일 실행 시 아래의 그림과 같이 현재 국방부 홈페이지에서 제공하는 정상 PDF 문서의 내용과 동일한 파일이 사용자에게 보여진다. 하지만, 정상 PDF 문서파일과 함께 (사용자 모르게) 악성 파일(DLL형식)이 생성 및 실행되는 구조를 갖는다. 유포 파일 명 2021년 국방부 업무보고 수정.pif 생성 파일 %원본파일 경로%\2021년 국방부 업무보고 수정.pdf (정상문서) C:\ProgramData\Intel\Driver\driver.cfg (악성 DLL 파일) 생성된…
ASEC 주간 악성코드 통계 ( 20210125 ~ 20210131 ) Posted on 2021년 2월 3일 ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT를 활용하여 알려진 악성코드들에 대한 분류 및 대응을 진행하고 있다. 여기에서는 2021년 1월 25일 월요일부터 2021년 1월 31일 일요일까지 수집된 한 주간의 통계를 정리한다. 대분류 상으로는 인포스틸러가 69.3%로 1위를 차지하였으며, 그 다음으로는 Coin Miner가 12.1%, RAT (Remote Administration Tool) 악성코드가 10.2%, 다운로더는 7.4%로 집계되었다. 랜섬웨어는 0.9%를 기록했으며 뱅킹 악성코드는 수량이 줄어들어 집계되지 않았다. Top 1 – AgentTesla AgentTesla는 26.0%를 차지하며 1위를 기록하였다. AgentTesla는 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 인포스틸러 악성코드이다. 최근 유입되는 샘플들은…
파일공유 사이트(WeTransfer) 를 위장한 피싱메일 유포 Posted on 2021년 2월 2일 최근 파일공유 사이트 WeTransfer를 위장하여 사용자의 개인정보를 유출하는 피싱메일이 유포되고 있다. 2월 2일 ASEC 분석팀이 수집한 이메일에 의하면, 공격자는 본문에 악성 링크가 포함된 메일을 수신자 맞춤형으로 개별 발송하였다. 본문 내용은 WeTransfer를 통해 새로운 파일이 도착했다는 내용이다. 링크를 클릭할 시 공격자가 미리 준비해둔 피싱 웹페이지로 접속하게 된다. 악성 이메일은 한글 또는 영문 형태가 모두 확인되었다. 사용자의 주의가 필요하다. 특징적으로 공격자는 피싱 웹페이지를 구축하기 위해 ‘appdomain.cloud’ 이라는 IBM 클라우드 서비스를 이용하였다. 최근 공격자는 클라우드 기반으로 자유롭게 도메인을 구축할 수 있는 서비스를 악용하여…
