오브의 빛나는 별

- Phobos 랜섬웨어는 파일 감염 시 원본 확장자 뒤에 감염 PC의 VSN, 공격자 메일주소 등의 정보들이 추가됨 - 해당 랜섬웨어는 지속성 유지를 위해 악성코드를 특정 경로에 복사하고 RUN 키에 등록함으로써 재부팅 이후에도 재실행될 수 있도록 함 - AES로 암호화된 명령어 문자열을 디코딩 한 후 “cmd.exe” 프로세스의 인자로 실행하는 방식으로, 방화벽 비활성화 및 볼륨 쉐도우 복사본을 삭제 Phobos 랜섬웨어: Dharma, CrySis 랜섬웨어와 기술 및 운영상의 유사점을 공유하는 변종 형태로 알려진 랜섬웨어. 외부에 노출된 보안이 취약한 RDP 서비스를 공격 벡터로하여 유포 초기 침투(Initial Access): 조직 네트워크 내에서 초기 발판(foothold)을 확보하기 위한 기술..

- ‘급여이체확인증 입니다’ 라는 메일 제목으로 수신자를 속여 유포 됨 - 메일 내에 첨부된 cab 압축파일 내부에는 PDF 파일 아이콘으로 위장한 EXE 파일(Remcos RAT)가 첨부 - Remcos RAT 악성코드는 공격자의 명령에 따라 키로깅, 스크린샷 캡쳐 등 악의적인 원격 제어가 가능 Remcos RAT 악성코드: Remcos 자체는 해외 보안 업체에서 합법적으로 윈도우를 관리하기 위해 개발된 프로그램이나, 공격자들의 원격 접근 툴(RAT)로 악용됨. 사용자의 시스템 장악 및 정보 탈취, 원격 명령 수행, 키로거, 화면 캡처, 파일 다운로드, 웹 브라우저 로그인 정보 저장 등 다양한 기능 존재 키로거(Keylogger): 사용자가 키보드 등 입출력 장치에서 입력한 정보를 사용자 동의없이 기록..

- AvosLocker는 오픈 소스 원격 시스템 관리 도구와 LotL(living off-the-land)에 의존하여 흔적을 남기지 않고 조직의 네트워크를 손상 - Mozilla를 사칭하여 Thunderbird의 트로이 목마 버전을 설치하도록 속이는 악성 광고 캠페인을 활용하여 악성파일 배포 중 LotL : PowerShell, WMI또는 암호 저장 도구인 Mimikatz 등 대상 컴퓨터에 설치된 도구를 사용하여 공격 수행 https://thehackernews.com/2023/10/fbi-cisa-warn-of-rising-avoslocker.html FBI, CISA Warn of Rising AvosLocker Ransomware Attacks Against Critical Infrastructur..

- 정상 EXE 파일과 악성 DLL을 같은 디렉토리에 압축하여 정상 EXE 파일 실행을 유도하는 정보탈취 악성코드가 활발히 유포 중으로 사용자들의 주의 필요 - 암호화된 RAR 압축 파일이 다운로드되며 패스워드는 파일명 혹은 유포 페이지에 명시되어 있음 - 데이터 파일, 정상 EXE, 변조된 악성 DLL이 한 디렉토리 내에 위치해야 악성코드가 동작하고, 데이터 파일은 PNG 이미지 파일로 위장 DLL Hijacking: 공격자가 공격에 사용될 DLL 파일 내부에 악성코드를 삽입한 이후 DLL 파일을 검색하고 로드하는 방식을 악용하여 애플리케이션에 악성코드를 주입하는 방식 RAR: TUI 셸 프로그램을 제공해 메뉴를 통해서 파일을 압축하거나 압축을 풀 수 있는 무손실 압축 포맷 EntryPoint: 운영 ..

- WordPress 관리자를 대상으로 9월 한 달 동안 Balada Injector 악성코드로 17,000개가 넘는 WordPress 웹사이트 공격 - tagDiv Composer 취약점을 사용하여 백도어 업로드, 악성 플러그인 추가, 악성 블로그 관리자 생성을 통해 손상된 사이트를 지속적으로 제어 - 404.php 파일에 백도어 설치 후 wp-content/plugins 디렉토리에 악성 wp-zexit 또는 wp-swamp 설치 Balada Injector 악성코드: 주로 리눅스 기반 호스트들을 공략하고, 고 언어로 만들어졌으며 백도어를 심어 정보를 빼돌리는 기능을 가진 백도어 크로스 사이트 스크립팅(XSS): 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법 WordPress: 프로그래밍 ..

- 서비스에 등록되어 동작하는 Volgmer는 정상 파일을 위장한 이름으로 설치되며 설정 데이터를 레지스트리 키에 암호화하여 저장하는 점이 특징 - 2022년부터는 Volgmer 대신 Scout라는 이름의 다운로더 악성코드가 감염 시스템을 제어하기 위한 백도어 악성코드로 공격에 사용 중 - Scout 다운로더는 Graphical User Interface(GUI) 프로그램들과 유사하게 윈도우를 생성하여 동작하는 것이 특징 Volgmer 악성코드: 감염된 시스템의 백도어를 열 수 있는 보안 위협으로, 이를 통해 악성 코드가 C&C 서버와 통신하면서 시스템 정보를 검색하고 명령을 실행하며 파일을 업로드하고 실행 파일을 다운로드 Scout 악성코드: 다운로드한 페이로드는 감염 시스템을 제어하기 위한 백도어 악..

- 최근 부적절하게 관리되고 있는 리눅스 SSH 서버를 대상으로 설치되고 있는 ShellBot 악성코드의 유포 방식이 일반적인 IP 주소 대신 16진수 값으로 변경 - 일반적으로 '점 – 10진수 표기법'을 사용하나 공격자들은 URL 진단을 우회하기 위한 목적으로 10진수나 16진수로 표현 - ShellBot이 설치될 경우 DDoS Bot으로 사용되거나 다양한 백도어 기능을 통해 추가 악성코드 설치 및 다른 공격에 사용 ShellBot 악성코드: PerlBot이라고도 불리는 ShellBot은 Perl 언어로 개발된 DDoS Bot 악성코드로서 C&C 서버와 IRC 프로토콜을 이용해 통신하는 것 DDoS Bot: 스팸 발송, 데이터 도난, 랜섬웨어, 사기성 광고 클릭 또는 DDoS(분산 서비스 거부) 공격..

- 메일을 통해 악성 BAT파일로 유포되는 AgentTesla 정보 탈취 악성코드의 유포 정황 발견 - 다른 이메일 계정을 통해 발신한다는 제목으로 수신자를 속여 악성파일(.BAT)의 실행 유도 - xcopy 명령을 통해 BAT 파일을 복사하고, 정상 powershell.exe를 png 확장자로 위장 BAT 파일: 실행시 윈도우 응용프로그램인 cmd.exe에 의해 구동되는 스크립트 파일 유형 AgentTesla: 인포스틸러 악성코드로, 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보 유출 파일리스(Fileless) 기법: 일반적인 악성코드는 실행파일(PE)형태를 가지지만, 파일리스는 운영체제에서 제공하는 스크립트 엔진을 사용해 악성행위를 수행 https://asec.ahnlab.com/..