PDF 내 첨부된 파일을 안전한 파일로 속이기 위한 수법 Posted By ASEC , 2022년 5월 19일 ASEC 분석팀은 PDF의 첨부파일(Attachment)기능을 이용하여 인포스틸러 유형의 악성코드가 유포되는 것을 확인하였다. 이전에도 확인된 공격방법이었지만, 최근 이러한 유형의 악성코드가 다시 활발하게 유포되는 정황이 확인되어 사용자들에게 알리려 한다. 사용자를 속이기 위해 공격자가 첨부파일의 이름을 활용하여 간단한 트릭을 사용한 점이 주목할만하다. Acrobat Reader에서는 PDF파일 자체에 첨부파일을 추가할 수 있는 기능이 존재하는데, 디폴트 블랙리스트로 지정된 .bin/.exe/.bat/.chm 등의 확장자를 갖는 파일은 위험요소로 인식하여 첨부할 수 없다. 디폴트 블랙리스트/화이트리스트에 존재하지 않는 그 외의 파일들에 대해 사용자의 판단을 확인하는 메세지박스가 발생하는데, 공격자는 이러한 점을 악용하였다. 이메일에 첨부된…
블랙프라이데이 시즌을 노린 기업 타겟 악성 엑셀 문서 유포 Posted By ASEC , 2021년 11월 25일 블랙프라이데이 시즌을 노린 악성 엑셀 문서가 기업을 대상으로 유포되고 있다. 오늘 11월 25일 확인된 이메일은 국내 모 기업에서 접수되었다. 이메일은 엑셀 문서를 첨부 파일로 포함하고 있었다. 엑셀 문서는 XLSB 엑셀 바이너리 포맷의 Excel 4.0 Macro (XLM) 매크로시트를 포함한 파일로서, 실행 대상 시스템의 도메인 컨트롤러 여부를 확인하여 추가 악성 기능이 실행한다. 첨부된 엑셀 문서는 파일명이 ‘promo details-[숫자].xlsb’ 형식이고 XLSB 파일 포맷인 것이 특징이다. XLSB은 엑셀 바이너리 파일 포맷으로서, 기존의 XLS 또는 XLSX 파일과는 다소 다른 파일 구조를 보인다. XLSX가 스트링 기반의…
스팸 메일을 통해 유포 중인 스네이크 키로거 (Snake Keylogger) Posted By ASEC , 2021년 4월 12일 최근 스팸 메일을 이용한 스네이크 키로거 (Snake Keylogger)의 유포가 급증하고 있다. Snake Keylogger는 닷넷으로 만들어진 정보 유출 악성코드로써, 아래의 주간 통계에서도 확인되듯이 최근들어 Top 5 순위에도 꾸준히 포함되고 있다. 주로 스팸 메일을 통해 유포되는 정보 유출 악성코드라는 점에서 AgentTesla 악성코드와 유사한 점이 많다. Snake Keylogger도 AgentTesla처럼 메일 즉 SMTP 프로토콜을 이용한 정보 유출 기능을 지원한다. 악성코드를 첨부한 스팸 메일을 통해 유포되는 악성코드들로는 AgentTesla 외에도 Lokibot, Formbook, AveMaria, Remcos 같은 인포스틸러 및 RAT 악성코드들이 있다. 다음은 유포에 사용된 스팸 메일 사례이며,…
스팸 메일로 유포 중인 NanoCore RAT 악성코드 Posted By ASEC , 2020년 12월 11일 NanoCore는 RAT(Remote Administration Tool) 악성코드로서 개발자가 과거 2014년부터 제작하기 시작했고 2016년 체포되기 전까지 딥웹을 통해 판매되었다. 하지만 크랙 버전이 공개됨에 따라 개발자가 체포된 후에도 현재까지 꾸준히 공격자들에 의해 사용되고 있다. RAT 악성코드인 NanoCore는 키로깅, 스크린샷 캡쳐, 웹캠 제어와 같은 기능들뿐만 아니라 DDoS, 웹 브라우저 및 이메일 그리고 FTP 클라이언트 계정 정보 수집과 같은 다양한 기능들을 지원한다. NanoCore는 플러그인 기반 악성코드로서 위에서 언급한 거의 모든 기능들이 각각의 플러그인에 구현되어 있다. 즉 공격자가 어떠한 플러그인을 사용하느냐에 따라 다양한 기능들을 사용할 수 있는…
비트코인 노리는 협박메일, 공공기관과 기업 대상으로 글로벌 유포 중 Posted By ASEC , 2020년 10월 27일 비트코인을 노리는 협박성 스팸 메일이 공공기관과 기업을 대상으로 글로벌하게 유포 중이다. 스팸 메일은 2020년 3월부터 10월 현재까지 지속적으로 확인되었다. 동일한 내용이 한국어, 영어, 러시아어, 스페인어 등 다국어로 번역되어 관공서, 대학교, 사기업을 포함해 각국에 유포되고 있다. 스팸 메일은 본문 내용만 있고 별도의 첨부파일이나 악성코드는 포함되어있지 않다. 다만 메일 내용이 공격 대상에게 충격과 공포를 일으킬 수 있는 협박을 하고 있고, 비트코인 입금을 요구하고 있기 때문에 속지 않도록 주의가 필요하다. 아래는 협박 메일의 제목이다. 계약에 따른 지불. Yoúr accoúnt has sígns of hackíng…
