1. 개요 해커들은 다양한 목적 달성을 위해 악성코드를 공격에 활용하고 있다. 직접 악성코드를 제작하여 사용하는가 하면, 다크웹을 통해 유료로 구매하여 사용하기도 한다. 특히 랜섬웨어의 경우, 판매자와 공격자가 수익의 일부를 나눠 갖는 서비스형 랜섬웨어(RaaS, Ransomware-as-a-Service) 구조가 성행하면서 악성코드를 활용한 사이버 공격의 초기 진입 장벽은 더욱 낮아지고 있다. 악성코드를 직접 제작하거나 구매하지 않더라도 악성코드를 확보할 대안은 다양하다. 깃허브 저장소 등에서 오픈소스로 공유되는 악성코드를 활용할 수 있고, 유료로 거래되는 악성코드의 유출된 크랙 버전을 활용할 수도 있다. 뿐만 아니라, 범죄 그룹 내부 불화로 인해 악성코드의 소스코드나 빌더가 유출되는 사례도 발생하고 ..

악성코드 분석 리포트 2022. 12. 23. 16:44

1. 개요 LockBit 랜섬웨어 그룹은 2019년 9월을 시작으로, 서비스형 랜섬웨어(Ransomware-as-a-Service)로 운영되어 온 조직이다. 지난 6월에는 LockBit 3.0을 출시하면서 랜섬웨어 조직으로써는 최초로 버그바운티 프로그램을 운영하는 등 다른 랜섬웨어 그룹과는 차별화된 행적을 보여준 바 있으며, 올해 상반기에는 가장 활발한 랜섬웨어 조직으로 급부상하였다. 하지만 최근 이러한 LockBit의 행적에 제동을 거는 이슈가 발생했다. 바로 LockBit 3.0 빌더가 유출된 것이다. 올해 상반기 주요 화두로 떠오른 랜섬웨어 조직인만큼 빌더 유출 이슈는 보안업계에서도 주요 관심사가 되었다. 지난 9월 21일, ali_qushji는 트위터를 통해 LockBit 랜섬웨어 그룹의 서버를 ..

악성코드 분석 리포트 2022. 10. 31. 17:12

1. 개요 지난 8월 22일, 하반기 최대 규모 한미 연합훈련인 을지프리덤실드(UFS)가 시행되었다. 북한의 공격에 대한 대응능력을 강화하고자 시행하는 훈련인만큼 이러한 기간 동안에는 북한의 사이버 공격이 증가할 수 있다. 이번 을지프리덤실드 연합훈련 기간에도 예외 없이 북한의 사이버 위협 징후가 다수 포착되었다. 주로 국내 방위산업체를 대상으로 한 공격이 다수 발견되었으며, 본 보고서에서는 그 중 을지프리덤실드 연합훈련 시작일과 맞물리는 8월 22일에 처음 탐지가 된 윈도우 실행파일 형태의 북한발 악성코드에 대해 다루어 보고자 한다. ※ 관련 기사 링크 : http://whytimes.kr/m/view.php?idx=12635&mcode=m114v4r8 해당 악성코드는 컴퓨터의 IP나 MAC주소 등 네..

악성코드 분석 리포트 2022. 9. 30. 17:42

1. 개요 최근 귀신(Gwisin) 랜섬웨어 피해 사례가 증가하고 있다. 귀신 랜섬웨어는 한국 기업을 타깃으로 공격을 수행하는 것으로 알려져 있으며, 랜섬웨어 작명에서부터 협상에 이르기까지 여러 정황들을 보았을 때 한국 정서나 기업 문화에 대해 잘 아는 조직으로 보인다. 랜섬웨어 감염 시 복호화 안내를 위해 생성되는 랜섬노트는 영어로 작성되어 있지만, KISA 등 전문기관에 신고하지 말 것을 경고하기도 하며, 피해 업체의 회사명과 피해 현황에 대한 내용도 포함되어 있다. 2. 분석 샘플 정보 귀신 랜섬웨어는 윈도우 시스템뿐만 아니라 리눅스 시스템도 타깃으로 하는 것으로 확인된다. 본 보고서에서 다룰 내용은 리눅스용 귀신 랜섬웨어이며, 샘플 정보는 다음과 같다. 구분 내용 파일명 x86_nix 파일 크기 ..

악성코드 분석 리포트 2022. 8. 19. 14:59

1. 개요 최근 F5 BIG-IP의 원격코드 실행 취약점(CVE-2022-1388)이 공개되면서, 공격자들은 대대적으로 이를 악용하기 시작했습니다. 아래 그림은 트위터에서 공유된 관련 취약점 공격 패킷 중 하나이며, 원격 실행된 명령을 통해 악성코드가 호스팅 된 IP 정보를 확인할 수가 있습니다. [그림 1]에서 확인된 IP(154.23.191[.]157:5896)에 접속해보면 패킷에서 확인되는 파일은 확인할 수 없었지만, 또 다른 악성코드가 호스팅 되어 있는 것을 발견할 수 있었습니다. 분석 결과, 해당 악성코드(589.exe)는 원격제어 악성코드인 Gh0st RAT의 변종으로 확인되었습니다. Gh0st RAT는 인터넷에 오픈소스로 공개되어 있기 때문에 많은 공격자들이 사용하는 원격제어 악성코드 중 하..

악성코드 분석 리포트 2022. 6. 3. 12:17

최근 깃허브 저장소를 통해 Windows SMB 원격 코드 실행 취약점(CVE-2022-24500)의 Exploit 도구로 위장한 악성코드가 유포된 정황이 발견되었습니다. Exploit이 성공적으로 이루어지는 것처럼 보이는 이미지 파일을 함께 첨부하는 등 교묘하게 정상 파일로 위장하였기 때문에 자칫 사용자들은 무심코 이를 다운로드하여 실행할 수 있습니다. 업로드 되어 있는 파일들 중 실제 악성코드인 “CVE-2022-24500.exe” 파일에 대해 분석을 진행하였으며, 샘플 정보는 아래 표와 같습니다. 구분 내용 샘플명 CVE-2022-24500.exe MD5 FDCF0AAD080452FA14DF221E74CCA7D0 SHA1 7431846D707140783EEA466225E872F8757533E3 Vi..

악성코드 분석 리포트 2022. 5. 24. 09:57

1. 개요 MedusaLocker 랜섬웨어는 2019년에 최초 발견되었으며, 그동안 여러 산업에 걸쳐 감염 사례가 보고된 바 있다. 특히 COVID-19 팬데믹 이후에는 관련 의료산업에서의 감염 사례들도 보고되었으며, 최근 국내 감염사례가 확인되어 해당 케이스를 토대로 분석을 진행하였다. 이번 국내 감염사례에서의 최초 공격 벡터는 RDP Bruteforce Attack으로 확인되었으며, 이를 통해 RDP 접속정보를 알아낸 공격자가 MedusaLocker를 실행하여 파일을 암호화한 사례이다. 2. 최초 공격 벡터 본 사례에서 확인된 MedusaLocker의 최초 공격 벡터는 RDP Bruteforce Attack으로 확인된다. 아래 그림은 감염PC의 이벤트 로그이며, 기존부터 RDP Bruteforce A..

악성코드 분석 리포트 2022. 3. 11. 16:26

1. 개요 Hancitor 악성코드는 주로 악성 피싱 이메일을 통해 유포되는 ‘다운로더’ 유형의 악성코드이다. 피싱 이메일을 통해 매크로가 포함된 악성 문서를 유포한 뒤, 사용자의 매크로 실행을 유도하여 Hancitor 악성코드를 드롭 및 실행하는 형태가 다수 발견되고 있다. 공격자는 Hancitor 악성코드를 이용하여 최종적으로 CobaltStrike, Pony Stealer, Ficker Stealer, Zeppelin 랜섬웨어, Cuba 랜섬웨어 등 인포스틸러나 랜섬웨어와 같은 추가 악성코드를 유포한다. 지난 11월 초 미국의 금융, 정부, 의료, 제조, IT 등의 주요 인프라 내 조직 49곳 이상을 해킹한 Cuba 랜섬웨어 그룹 역시 Hancitor 악성코드를 이용하여 랜섬웨어를 유포한 것으로 확..

악성코드 분석 리포트 2022. 3. 11. 16:01