오브의 빛나는 별

- 최근 이력서를 사칭하여 LockBit 랜섬웨어와 Vidar 정보 탈취형 악성코드가 함께 유포 중인 정황 확인 - 인포스틸러는 텔레그램 웹 사이트에 명시되어 있는 문자열을 C2서버로 활용하여 주기적인 C2 변경을 통해 네트워크 탐지를 우회 LockBit 랜섬웨어: 2019년 말에 등장하였으며 러시아에 기반을 두고 전 세계의 기업 및 공공기관을 대상으로 활동. 'lockbit' 확장자를 가진 파일로 암호화하여 데이터(파일, 이미지, 비디오)에 대한 액세스를 제한하는 파일 암호화 랜섬웨어 Vidar InfoStealer: 사용자 정보를 유출하는 기능을 갖는 인포스틸러 악성코드 https://asec.ahnlab.com/ko/58252/ 이력서를 사칭하여 유포되는 LockBit 랜섬웨어와 Vidar Info..

- 사회공학적 기법을 이용한 비정상적인 본인 인증 시도가 발견되고 있어 사용자들의 각별한 주의 필요 - 온라인 정부민원 포털서비스인 정부 24 홈페이지의 특정 간편인증에서 불특정 다수에게 본인이 요청하지 않은 인증 요청이 발송되어 사용자들의 혼란 야기 - 비정상적인 인증 요청을 허용해버리면, 인증 철회가 어려울 뿐만 아니라 각종 증명서와 같은 민감정보 유출 사회공학적 기법: 사람을 속여 정보를 획득하는 기법. 특별한 기술이 필요하지 않지만 가장 효과적인 공격방식 중 하나 이메일 인증: 증을 요청한 자가 실제 이메일의 소유자인지 인증하는 절차로, 본인인증 절차로 많이 사용 간편인증: 민간 인증서를 사용하여 본인을 인증하는 방식으로, 공공서비스에서도 접근성을 높히기 위하여 민간인증서로 접속 가능한 간편인증서..

- AvosLocker는 오픈 소스 원격 시스템 관리 도구와 LotL(living off-the-land)에 의존하여 흔적을 남기지 않고 조직의 네트워크를 손상 - Mozilla를 사칭하여 Thunderbird의 트로이 목마 버전을 설치하도록 속이는 악성 광고 캠페인을 활용하여 악성파일 배포 중 LotL : PowerShell, WMI또는 암호 저장 도구인 Mimikatz 등 대상 컴퓨터에 설치된 도구를 사용하여 공격 수행 https://thehackernews.com/2023/10/fbi-cisa-warn-of-rising-avoslocker.html FBI, CISA Warn of Rising AvosLocker Ransomware Attacks Against Critical Infrastructur..

- 정상 EXE 파일과 악성 DLL을 같은 디렉토리에 압축하여 정상 EXE 파일 실행을 유도하는 정보탈취 악성코드가 활발히 유포 중으로 사용자들의 주의 필요 - 암호화된 RAR 압축 파일이 다운로드되며 패스워드는 파일명 혹은 유포 페이지에 명시되어 있음 - 데이터 파일, 정상 EXE, 변조된 악성 DLL이 한 디렉토리 내에 위치해야 악성코드가 동작하고, 데이터 파일은 PNG 이미지 파일로 위장 DLL Hijacking: 공격자가 공격에 사용될 DLL 파일 내부에 악성코드를 삽입한 이후 DLL 파일을 검색하고 로드하는 방식을 악용하여 애플리케이션에 악성코드를 주입하는 방식 RAR: TUI 셸 프로그램을 제공해 메뉴를 통해서 파일을 압축하거나 압축을 풀 수 있는 무손실 압축 포맷 EntryPoint: 운영 ..

- WordPress 관리자를 대상으로 9월 한 달 동안 Balada Injector 악성코드로 17,000개가 넘는 WordPress 웹사이트 공격 - tagDiv Composer 취약점을 사용하여 백도어 업로드, 악성 플러그인 추가, 악성 블로그 관리자 생성을 통해 손상된 사이트를 지속적으로 제어 - 404.php 파일에 백도어 설치 후 wp-content/plugins 디렉토리에 악성 wp-zexit 또는 wp-swamp 설치 Balada Injector 악성코드: 주로 리눅스 기반 호스트들을 공략하고, 고 언어로 만들어졌으며 백도어를 심어 정보를 빼돌리는 기능을 가진 백도어 크로스 사이트 스크립팅(XSS): 악의적인 사용자가 공격하려는 사이트에 스크립트를 넣는 기법 WordPress: 프로그래밍 ..

- 서비스에 등록되어 동작하는 Volgmer는 정상 파일을 위장한 이름으로 설치되며 설정 데이터를 레지스트리 키에 암호화하여 저장하는 점이 특징 - 2022년부터는 Volgmer 대신 Scout라는 이름의 다운로더 악성코드가 감염 시스템을 제어하기 위한 백도어 악성코드로 공격에 사용 중 - Scout 다운로더는 Graphical User Interface(GUI) 프로그램들과 유사하게 윈도우를 생성하여 동작하는 것이 특징 Volgmer 악성코드: 감염된 시스템의 백도어를 열 수 있는 보안 위협으로, 이를 통해 악성 코드가 C&C 서버와 통신하면서 시스템 정보를 검색하고 명령을 실행하며 파일을 업로드하고 실행 파일을 다운로드 Scout 악성코드: 다운로드한 페이로드는 감염 시스템을 제어하기 위한 백도어 악..

- 최근 부적절하게 관리되고 있는 리눅스 SSH 서버를 대상으로 설치되고 있는 ShellBot 악성코드의 유포 방식이 일반적인 IP 주소 대신 16진수 값으로 변경 - 일반적으로 '점 – 10진수 표기법'을 사용하나 공격자들은 URL 진단을 우회하기 위한 목적으로 10진수나 16진수로 표현 - ShellBot이 설치될 경우 DDoS Bot으로 사용되거나 다양한 백도어 기능을 통해 추가 악성코드 설치 및 다른 공격에 사용 ShellBot 악성코드: PerlBot이라고도 불리는 ShellBot은 Perl 언어로 개발된 DDoS Bot 악성코드로서 C&C 서버와 IRC 프로토콜을 이용해 통신하는 것 DDoS Bot: 스팸 발송, 데이터 도난, 랜섬웨어, 사기성 광고 클릭 또는 DDoS(분산 서비스 거부) 공격..

- 메일을 통해 악성 BAT파일로 유포되는 AgentTesla 정보 탈취 악성코드의 유포 정황 발견 - 다른 이메일 계정을 통해 발신한다는 제목으로 수신자를 속여 악성파일(.BAT)의 실행 유도 - xcopy 명령을 통해 BAT 파일을 복사하고, 정상 powershell.exe를 png 확장자로 위장 BAT 파일: 실행시 윈도우 응용프로그램인 cmd.exe에 의해 구동되는 스크립트 파일 유형 AgentTesla: 인포스틸러 악성코드로, 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보 유출 파일리스(Fileless) 기법: 일반적인 악성코드는 실행파일(PE)형태를 가지지만, 파일리스는 운영체제에서 제공하는 스크립트 엔진을 사용해 악성행위를 수행 https://asec.ahnlab.com/..