암호 화폐 사용자들을 대상으로 공격 중인 ViperSoftX
AhnLab SEcurity intelligence Center(ASEC)은 ViperSoftX 공격자가 국내 사용자들을 대상으로 지속적으로 악성코드를 유포하고 있는 것을 확인하였다. ViperSoftX는 감염 시스템에 상주하면서 공격자의 명령을 실행하거나 암호 화폐 관련 정보를 탈취하는 기능을 담당하는 악성코드이다. ASEC은 2024년 5월 ViperSoftX 공격자의 공격 사례를 분석해 공개하였으며 해당 사례에서는 원격 제어 악성코드인 Quasar RAT과 딥러닝 방식의 오픈 소스
아랍어 기반 공격자에 의한 ViperSoftX 악성코드 유포 정황
AhnLab SEcurity intelligence Center(ASEC)은 아랍어를 사용하는 것으로 추정되는 공격자가 2025년 4월 1일 부터 최근까지 국내 대상으로 다수의 ViperSoftX 악성코드를 유포하는 정황을 확인하였다. ViperSoftX 악성코드는 주로 정상 소프트웨어 크랙 프로그램이나 토렌트로 유포되는 악성코드이다. ViperSoftX의 주요 특징은 파워쉘(PowerShell) 스크립트로 동작하며 C&C 통신 과정에서 URI 경로에 “/api/”, “/api/v1”, “/api/v2”, “/api/v3/”와 같은 파라미터 정보를
Larva-24009 공격자의 스피어 피싱 공격 사례 보고서
ASEC(AhnLab SEcurity intelligence Center)은 최근 Larva-24009 공격자가 국내 사용자들을 대상으로 스피어 피싱 공격을 수행 중인 것을 확인하였다. Larva-24009 공격자는 적어도 2023년 경부터 활동이 시작되고 있으며 주로 해외 사용자들을 대상으로 스피어 피싱 공격을 사용해 왔다. 하지만 최근에는 국내 사용자들을 대상으로도 감염 사례가 확인되는 것이 확인되었다. 공격자에 대한 정보는 알려져 있지
지속적으로 공격에 사용 중인 사설 HTS 프로그램
AhnLab SEcurity intelligence Center(ASEC)은 과거 “Quasar RAT을 유포하는 사설 HTS 프로그램” 블로그를 통해 사설 홈트레이딩시스템(HTS : Home Trading System)을 통해 Quasar RAT을 유포하는 공격 사례를 다룬 바 있다. 동일한 공격자는 지속적으로 악성코드를 유포하고 있으며 최근까지도 공격 사례가 확인된다. 악성코드는 과거와 동일하게 HPlus라는 이름의 HTS를 유포하였으며 전체적인 감염 흐름은 유사하지만 NSIS 인스톨러 형태였던 최초
Kimsuky 그룹이 사용하는 Github Repository
개요 AhnLab SEcurity intelligence Center(ASEC)에서는 Kimsuky 그룹의 악성코드를 분석하던 중 특정 GitHub Repository를 발견했다. 확인 결과 2020년부터 유포 중인 FlowerPower 악성코드 유형이 업로드되어 있는 것을 확인했으며 해당 Github로 유출된 사용자 정보가 업로드되어 있으며 과거에 사용한 유형과 동일한 유형[1]임을 확인했으며 분석하는 현 시간(07/05)까지 접근이 가능했다. [그림 1] GitHub Repository
딥러닝 기반 Tesseract를 활용해 정보를 탈취하는 ViperSoftX
AhnLab SEcurity intelligence Center(ASEC)에서는 최근 ViperSoftX 공격자가 Tesseract를 활용하여 사용자의 이미지 파일들을 탈취하고 있는 것을 확인하였다. ViperSoftX는 감염 시스템에 상주하면서 공격자의 명령을 실행하거나 암호 화폐 관련 정보를 탈취하는 기능을 담당하는 악성코드이다. 이번에 새롭게 확인된 악성코드는 오픈 소스 OCR 엔진인 Tesseract를 활용하였다. Tesseract는 딥러닝 방식으로 이미지에서 텍스트를 추출하는 기능을 지원한다. 공격에
Quasar RAT을 유포하는 사설 HTS 프로그램
ASEC 분석팀에서는 최근 사설 홈트레이딩시스템(HTS : Home Trading System)을 통해 Quasar RAT 악성코드가 유포되고 있는 것을 확인하였다. 공격에 사용된 HPlus라는 이름의 HTS는 검색으로 정보를 찾을 수 없다. 또한 설치 과정에서 확인되는 약관에도 업체의 이름이 확인되지 않아 피해자들은 제도권 금융회사에서 제공하는 HTS가 아닌 무인가 또는 위장 금융 투자 업체를 통해 HPlus
Kimsuky 그룹의 xRAT(Quasar RAT) 유포 정황
2022년 1월 26일 ASEC 분석팀은 Kimsuky 공격 그룹에서 xRAT (Quasar RAT 기반의 오픈소스 RAT) 악성코드를 사용하는 정황을 포착하였다. xRAT Github 주소 : https://github.com/tidusjar/xRAT 자사 ASD(AhnLab Smart Defense) 인프라에 확보된 로그에 따르면 공격자는 Gold Dragon의 변종을 1월 24일 최초 감염 PC에 설치하였다. 확보된 파일이 Gold Dragon의 변종이라고 추정하는 근거는 다음과 같다.
