세금계산서로 가장하여 유포되는 Remcos RAT 악성코드 Posted By ASEC , 2022년 2월 28일 ASEC 분석팀은 세금계산서로 가장한 Remcos RAT 악성코드가 유포되는 정황을 확인하였다. 피싱메일의 내용과 유형은 기존에 본 블로그를 통해 지속적으로 공유했던 형태와 크게 다르지 않다. 메일 본문에는 어색한 문법으로 쓰여진 짧은 메세지가 포함되어있다. 다만 관련업무를 하고있을경우 메일 내용에는 크게 개의치않고 무심코 첨부파일을 실행할 가능성이 있으므로 주의가 필요하다. 첨부파일인 ‘Tax.gz’ 파일을 압축해제하면 ‘Tax.com’ 이라는 실행파일이 존재하며, 디버깅하여 파일 내부를 확인해보면 아래와 같은 코드를 확인할 수 있다. 만약 실행환경이 64비트 환경이라면 ‘hxxp://zhost.polycomusa[.]com/Chrimaz.exe’ 에서 해당 환경에 적합한 악성파일(1df2bf9313decafd0249d6a4556010bc)을 내려받아 실행하며, 그렇지 않을 경우 ‘3xp1r3Exp.ps1’ 이라는…
국내 유명 포털 서비스로 위장한 피싱 메일 Posted By ASEC , 2022년 2월 8일 ASEC 분석팀은 최근 국내 유명 포털 서비스를 사칭하여 이용자의 정보를 수집하는 피싱 메일을 확인하였다. 해당 피싱메일은 메일함의 용량을 업그레이드를 요구하며 링크 클릭을 유도하는 내용으로 구성되어 있다. 해당 링크를 클릭할 경우 비밀번호 입력을 유도하는 피싱 사이트로 연결된다. 메일 제목 및 본문은 아래와 같으며, 연결된 링크를 통해 피싱 사이트로 이동한다. 본문 메일에 연결된 링크로 접속하면, 아래와 같은 국내 유명 포털 서비스를 사칭한 피싱사이트로 연결된다. 피싱 사이트 URL : hxxp://www.eylulrentacar[.]com/indexh.html 정상적인 포털 서비스 로그인 사이트와 달리 피싱 사이트는 일회용 번호, QR코드, 비밀번호 찾기,…
다양한 그룹웨어를 사칭하여 유포되고 있는 피싱 스크립트파일 Posted By ASEC , 2022년 1월 26일 작년 5월, ASEC 분석팀에서는 TI 분석보고서와 ASEC블로그를 통해 ‘국내 메일 서비스 사용자를 타겟으로 한 피싱 사이트’에 대해 소개한 바 있다. 당시에는 네이버 웍스(NAVER WORKS)/메일 플러그(MAILPLUG)/하이웍스(hiworks)/천리안/다음 사용자를 대상으로 사용자 정보를 유출한 내용을 소개하였다. 기업용 그룹웨어 로그인 페이지를 가장하여 사용자 계정정보를 유출하기 위한 파일들은 매우 흔하게 유포되어 온 피싱 유형 중 하나이며, 메일 제목,내용/첨부파일명/스크립트 코드 등에서 사소한 변형을 사용하고 있다. 국내 사용자들이 많이 이용하는 해당 그룹웨어들을 사칭하는 것은 동일하지만, 이번에는 공격자가 보다 간단한 방식을 사용하며 동일한 스크립트 파일을 수신인에 맞게 다양한 파일명으로…
보다 정교해진 피싱메일을 통해 유포되는 FormBook 악성코드 Posted By ASEC , 2021년 12월 10일 ASEC 분석팀에서는 국내 공공기관 내부 불특정 다수를 상대로 피싱메일을 통해 FormBook 악성코드를 유포하는 정황을 확인하였다. 송신자는 해당 기관의 내부 메일을 사용하였으며, 메일의 첨부파일로는 회사소개 브로슈어를 이용하였다. 첨부파일이 정상이므로 의심 없이 메일을 열람할 가능성이 높으나, 메일 본문에 기재된 URL링크에서 인포스틸러 유형의 FormBook 악성코드가 내려받아진다. FormBook 악성코드는 ASEC 블로그를 통해 매주 제공하는 주간 악성코드 통계에서도 매번 순위권에 존재하는 만큼 유포가 매우 활발한 것을 알 수 있으며, FormBook 악성코드에 대한 상세 정보는 아래에 링크한 게시글을 통해 확인 가능하다. 또한, ASEC블로그에서 자주 소개한 바와…
국내 연구기관 및 기업 대상 피싱메일 유포 Posted By ASEC , 2021년 12월 1일 ASEC 분석팀에서는 국내 연구기관과 기업을 대상으로 패스워드를 탈취하는 피싱메일 유포를 확인하였다. 해당 피싱메일은 국제 운송 업체를 사칭하였으며 통관 정보 제출, 첨부파일 열람 등을 요구하며 링크 클릭을 유도하는 내용으로 구성되어 있다. 포함된 링크를 클릭할 경우 비밀번호 입력을 유도하는 피싱 페이지로 연결된다. 동일한 도메인을 사용하여 연구 기관 뿐만 아니라 다수의 기업을 대상으로 유포된 정황도 확인되어 주의가 필요하다. 수집된 샘플은 다음과 같이 화물 도착(예정) 안내 메일을 위장하고 있으며 유명 해외 운송기업을 사칭하였다. 본문에서는 통관 정보를 입력하기 위해 링크를 클릭하도록 유도하며, 해당 링크를 클릭할…
