Larva-25004 (Kimsuky 연관) 그룹의 추가 인증서 악용 사례 – Nexaweb 인증서로 서명된 악성코드
ASEC(AhnLab SEcurity intelligence Center)은 한국 업체의 인증서로 서명된 악성코드와 동일한 특징을 가진 파일을 조사해 Nexaweb Inc. 인증서로 서명된 악성코드를 발견했다.이들 악성코드는 다른 보안업체에서 Kimsuky 그룹의 활동으로 보고했었다. 안랩은 이들을 Larva-25004로 명명하고 추적 중이다. Nextweb 인증서 서명 악성코드 발견된 파일은 2개로 MD5 해시 정보는 다음과 같다. Job
국내 공공기관의 설치 파일을 위장한 악성코드 (Kimsuky 그룹)
AhnLab SEcurity intelligence Center(ASEC)에서는 최근 Kimsuky 그룹이 악성코드를 국내 공공기관의 인스톨러로 위장하여 유포한 사실을 확인하였다. 해당 악성코드는 드로퍼(Dropper)로서 과거 “보안 프로그램 설치 과정에서 감염되는 TrollAgent (Kimsuky 그룹)” [1] 게시글에서 다룬 공격에서 사용된 백도어 악성코드인 Endoor를 생성한다. 비록 드로퍼 악성코드가 실제 공격에 사용된 이력은 확인되지 않지만 해당 드로퍼가 생성하는 백도어 악성코드의
Microsoft 인증서로 서명된 악성코드 유포 주의
Microsoft에서 Microsoft 인증서로 서명된 악성코드가 유포되고 내용에 대해 공개하였다.[1] 그 내용에 따르면 Microsoft의 여러 개발자 계정의 유출로 인해 Windows 하드웨어 개발자 프로그램(Windows Hardware Developer Program)에서 인증한 드라이버가 악용되었으며, 피해를 막기 위하여 Microsoft에서는 관련한 계정을 차단하고 보안 업데이트(Microsoft Defender 1.377.987.0 이상)를 적용하였다. Windows에서는 커널 모드 드라이버를 로드 할 때 보안 위험을
