VPN 홈페이지에서 유포 중인 NKNShell 악성코드
AhnLab SEcurity intelligence Center(ASEC)은 국내 VPN 업체의 홈페이지에서 악성코드가 업로드되어 있는 것을 확인하였다. 해당 공격은 악성코드 유포 방식이나 사용된 악성코드 등의 특징으로 보아 2023년부터 국내 VPN 업체를 공격해 악성코드를 유포했던 공격자와 동일한 소행으로 보인다. 과거 사례에서 공격자는 최종적으로 SparkRAT, MeshAgent, Sliver와 같은 백도어 악성코드를 설치해 감염 시스템을 제어하였는데 최근 확인된
2025년 2분기 윈도우 웹 서버 대상 악성코드 통계 보고서
개요 AhnLab SEcurity intelligence Center (ASEC)에서는 자사 AhnLab Smart Defense(ASD) 인프라를 활용하여 부적절하게 관리되고 있는 윈도우 웹 서버를 대상으로 하는 공격들에 대한 대응 및 분류를 진행하고 있다. 이 글에서는 이 글에서는 2025년 2분기에 확인된 로그를 기반으로 공격 대상이 된 윈도우 웹 서버들의 피해 현황과 해당 서버들을 대상으로 발생한 공격들에 대한
MeshAgent와 SuperShell을 악용한 국내 웹 서버 대상 공격 사례
최근 국내 웹 서버들을 대상으로 MeshAgent와 SuperShell을 악용한 공격 사례들이 확인되고 있다. 악성코드 배포 주소에 ELF 포맷의 악성코드들이 함께 존재하는 것을 보면 공격자는 윈도우 서버뿐만 아니라 리눅스 서버도 공격 중인 것으로 보인다. 공격자는 파일 업로드 취약점을 이용해 웹쉘을 설치한 것으로 추정되며 이를 이용해 추가 페이로드를 설치하였는데 탐색 및 측면 이동
국내 자산 관리 솔루션을 악용하여 공격 중인 Andariel 그룹 (MeshAgent)
AhnLab SEcurity intelligence Center(ASEC)에서는 최근 Andariel 그룹이 국내 기업들을 대상으로 지속적인 공격을 수행 중인 것을 확인하였다. 이번에 확인된 공격의 특징이라고 한다면 공격 과정에서 MeshAgent를 설치한 사례가 확인되었다는 점이다. MeshAgent는 원격 관리 도구로서 원격 제어를 위한 다양한 기능들을 제공하기 때문에 다른 원격 관리 도구들처럼 공격자들이 악용하는 사례들이 자주 확인된다. 공격자는 이전
국내 프로그램 개발 업체를 통해 유포 중인 Sliver C2
AhnLab Security Emergency response Center(ASEC)에서는 과거 “국내 VPN 설치파일에 포함되어 유포 중인 SparkRAT” [1] 포스팅과 “국내 VPN 설치에서 MeshAgent 감염으로 이어지는 공격 사례 분석” [2] 포스팅을 통해 국내 VPN 업체의 설치 파일에서 SparkRAT 악성코드가 유포된 사례를 공개한 바 있다. ASEC에서는 최근 유사한 악성코드들이 국내 VPN 업체들과 마케팅 프로그램 판매 업체의
국내 VPN 설치에서 MeshAgent 감염으로 이어지는 공격 사례 분석
AhnLab Security Emergency response Center(ASEC)에서는 과거 “국내 VPN 설치파일에 포함되어 유포 중인 SparkRAT”[1] 블로그에서 국내 VPN 프로그램의 인스톨러에 SparkRAT이 포함되어 유도된 사례를 소개한 바 있다. 해당 VPN은 주로 중국에서 원활한 인터넷 접속을 필요로 하는 사람들이 설치했던 사례가 많았으며 블로그 공개 이후 조치가 완료되었다. 하지만 최근 동일한 VPN 업체의 인스톨러에서 SparkRAT을
