ASEC 보안 위협 동향 리포트 2013 Vol.44 발간 Posted By ASEC , 2013년 10월 7일 안랩 ASEC에서 2013년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.44을 발간하였다. 이 번에 발간된 ASEC 리포트는 2013년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈 메모리 패치형 Banki의 온라인 뱅킹 정보 탈취 기법 분석 고객님, 영수증이 발급되었습니다 아마존 구매 관련 메일로 위장한 스팸 메일 특정 은행 대출 승인 메일로 위장한 스팸 메일 휴가철, 사용자의 휴가비를 노려라! 동영상 재생 프로그램을 이용한 악성코드 유포 토렌트 파일로 위장한 악성코드 주의 Your reservation is now confirmed!’ 델타 항공 메일로 위장한 악성코드 유포 2) 모바일 악성코드 이슈 V3 모바일 설치 위장 스미싱 주의! 금융사 피싱 앱 주의 3) 보안 이슈 자바 취약점과 결합된 메모리 해킹 인터넷 뱅킹 보안 대책 ASEC에서 발간하는 월간 보안 위협 동향…
주민번호 체크하는 파밍 사이트 (인터넷 뱅킹 정보 탈취) Posted By ASEC , 2013년 3월 18일 국내 온라인 뱅킹 사용자를 타깃으로 보안카드 등의 금융 정보를 노리는 악성코드(Banki) 변종이 지속적으로 발견되는 가운데, 최근 이름과 주민번호를 체크하는 루틴까지 추가된 변종이 발견되면서 그 수법이 점차 고도화되고 있어 사용자의 주의가 필요로 하다. '파밍' 이라고도 부르는 해당 악성코드는 가짜 뱅킹 사이트로 연결되도록 조작해 금융정보를 빼내는 신종 사기 수법으로, 최근 거액의 사기사건이 보고되면서 사회적인 이슈가 되고 있다. 보통 악성 스크립트가 삽입된 취약한 웹사이트를 통해 감염되며, 감염 시 hosts 파일을 변경하여 악성코드 제작자가 만든 가짜 뱅킹 사이트로 접속됨으로써 사용자의 금융정보를 입력 하도록 유도하고 있다. 이번에 발견된 변종이 유포되는 유포지 와 [9090.exe] 다운로더 에 의해 생성되는 파일은 아래와 같다. [Download URL] http://125.***.***.5/9090.exe (Downloder) http://sk*******3.g****.net/asd.txt (다운로드되는 파일 목록) http://125.***.***.4:8080/26.exe (hosts 파일 변조) http://125.***.***.5/8888.exe (021F0552svchsot.exe 생성) http://125.***.***.5/23.exe (hosts 파일 변조) 다운로드 된 [26.exe],…
ASEC 보안 위협 동향 리포트 2012 Vol.36 발간 Posted By ASEC , 2013년 2월 13일 안랩 ASEC에서 2012년 12월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.36을 발간하였다. 이 번에 발간된 ASEC 리포트는 2012년 12월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다. 1) 악성코드 이슈 온라인 뱅킹 트로이목마 Banki(1) 온라인 뱅킹 트로이목마 Banki(2) 패스워드를 노리는 악성코드 악성코드의 3단 콤보 공격 온라인 게임핵 변종 악성코드 특정 후보의 정책관련 한글문서 위장 악성코드 부킹닷컴을 사칭한 악성코드 과다 트래픽을 발생시키는 악성코드 상품권 번호 탈취하는 온라인 게임핵 악성코드 Xerox WorkCentre를 사칭한 악성 메일 Facebook을 사칭한 악성 e-mail 주의 2) 모바일 악성코드 이슈 국내 스마트폰 사용자를 노린 Win-Android/Chest 악성코드 PUP 앱의 폭발적인 증가 3) 보안 이슈 Stuxnet 기술을 이용하는 MySQL 취약점 지속적으로 보고되는 인터넷 익스플로러 use-after-free 취약점 4) 2012년 보안 동향 분석 악성코드 통계 – 2012년 악성코드,…
국내 인터넷 뱅킹 정보 탈취 악성코드 for Windows, Android Posted By ASEC , 2013년 2월 1일 취약점을 이용해서, PC 사용자가 감염사실을 인지 할 수 없도록 동작하는 국내 인터넷 뱅킹 정보 탈취 악성코드가 끊임없이 발견되고 있다. 과거 국내를 대상으로 제작된 정보 탈취 형 악성코드는 주로 주말에 취약점을 통해서 유포/확산 되었지만, 모니터링 결과 주중에도 변형을 제작하여 유포하고 있다. 국내 인터넷 뱅킹 정보 탈취 악성코드는 Windows 뿐만 아니라, Android 기반의 스마트폰 앱으로도 유포되었으며, 변종이 계속 발견되고 있다. 더욱이 구글 공식 마켓인 Play Store 에 등록되어 있어 그 영향이 작지 않을 것이다. 해킹된 웹사이트에 삽입된 악성 스크립트를 통하여 유포되는, 즉 취약점을 통하여 감염되는 흐름은 이 전에 다루었으므로 생략하겠다. 취약점을 통하여 PC에 다운로드/실행 되는 악성 파일은 아래와 같다. hxxp://121.***.**.229:280/goutou.exe 해당 파일이 실행되면 아래와 같은 명령으로 시스템의 Hosts 파일이 변조된다. 이후 PC 사용자는 인터넷 뱅킹을 위해 정상(은행) 사이트를 방문하지만, 실제로는 제작자에 의하여…
온라인 뱅킹 트로이목마 Banki(2) Posted By ASEC , 2013년 2월 1일 지난 12월 국내 인터넷 뱅킹 사용자가 타켓인 악성코드(Banki)에서 특정 시스템 날짜가 되면 윈도우 시스템 파일을 삭제하는 기능이 발견되었다. 과거에 발견된 Banki정보는 아래 페이지에서 확인이 가능하다. http://asec.ahnlab.com/search/banki 이번에 발견된 Banki 변종은 Induc 바이러스에 감염된 악성코드이며, http://210.***.**.32:2323/qq.exe 를 통하여 유포 되는 것으로 확인되었다. (온라인 뱅킹 트로이목마 Banki(1) 에서 유포과정을 다루었다.) 위 파일이 실행되어 악성코드에 감염될 경우 아래와 같은 경로에 파일이 생성된다. C:Windowssystem32muistempblogs.tempblogs.. ‘1216’, ‘Winlogones.exe’, ‘csrsses.exe’ [그림1] 악성코드에 의하여 생성된 파일 감염 후 아래와 같이 레지스트리에 서비스로 등록되어, 부팅시 실행된다. [그림2] 서비스 등록 실행된 환경에 따라 다르게 나타날 수 있지만, 악성 프로세스 ‘winlogones.exe’는 정상 프로세스인 ‘winlogon.exe’ 에 자신을 인젝션하여 프로세스 목록에 ‘winlogones.exe’ 가 보이지 않게 한다. 동시에 또 다른 악성 프로세스인 ‘csrsses.exe’ 도 계산기 프로세스 이름인 ‘calc.exe’ 에 자신을 인젝션하여 실행한다. [그림3] 정상적인 프로세스만…
