Sophos에서 최근 두 번의 Entropy 랜섬웨어 공격을 분석한 결과, 뱅킹 트로이 목마로 시작된 Dridex 악성코드와 Entropy 랜섬웨어 사이에 연결성 및 코드 유사성이 발견되었습니다. SophosLabs 분석가는 “Entropy의 첫 번째 언패킹 수행 과정이 2018년 Dridex 샘플에서 발견된 LdrLoadDLL로 불리는 API를 참조하는 Dridex v4loader의 행위와 유사하다.”라며 Entropy가 랜섬웨어 코드를 숨기기 위해 사용하는 서브루틴 중 일부가 Dridex의 서브루틴과 유사하다는 것을 발견했습니다. Dridex-Entropy 악성코드의 유사성은 익명의 미디어 회사와 지방 정부 기관을 대상으로 한 공격 이후에 밝혀졌습니다. 두 공격 모두 Cobalt Strike 비콘 및..

국내외 보안동향 2022. 2. 24. 17:22

1. 개요 2021년 11월에 발견된 CVE-2022-21999 취약점은 윈도우의 프린트 스풀러 권한 상승 취약점입니다. 프린트 스풀러는 인쇄 작업을 대기열에 전달하고 사용자 애플리케이션과 프린터 간 이벤트를 처리하는 윈도우 기본 구성요소로써, 대부분의 윈도우 시스템에 존재합니다. 공격자는 해킹을 통해 최소한의 접근 권한을 얻은 윈도우 피해 시스템에서 해당 취약점을 악용하여 권한 상승을 시도할 수 있습니다. 취약점 악용에 성공하면 공격자는 윈도우 시스템 최고 권한인 SYSTEM 권한으로 추가적인 악성행위를 수행할 수 있습니다. 해당 취약점은 지난 2월 9일 마이크로소프트 정기 패치에서 다른 프린트 스풀러 권한 상승 취약점과 함께 패치 되었으며, 패치가 이루어진 프린트 스풀러의 4가지 권한 상승 취약점 목..

취약점 분석 리포트 2022. 2. 18. 12:16

Microsoft는 LSASS 프로세스에서 Windows 자격 증명을 도용하려는 해커의 시도를 차단하기 위해, 기본적으로 Microsoft Defender ASR 보안 규칙을 사용하고 있습니다. 위협 행위자는 네트워크를 감염시켜서 자격 증명을 훔치거나 익스플로잇을 사용하여 다른 기기로 측면 이동을 시도합니다. Windows 자격 증명을 훔치는 가장 일반적인 방법 중 하나는 감염된 기기에 대해 관리자 권한을 얻은 다음 Windows에서 실행되는 LSASS 프로세스의 메모리를 덤프하는 것입니다. 사용자가 로그인에 성공하면 다양한 자격 증명이 생성되고 메모리의 로컬 보안 시스템 서비스인 LSASS에 저장되기 때문입니다. 이 메모리 덤프에는 컴퓨터에 로그인한 사용자의 Windows 자격 증명에 대한 NTLM 해..

국내외 보안동향 2022. 2. 17. 17:31

국내에서 첫 디파이 해킹 사고가 발생하였습니다. 카드뉴스를 통해 자세히 알아보겠습니다. 국내 첫 디파이 해킹 사고, 클레이스왑 클레이스왑은 카카오의 퍼블릭 블록체인 플랫폼 '클레이튼'을 기반으로 하는 디파이 서비스 중 가장 많은 사용자 수를 확보한 국내 최대 규모 서비스 입니다. 2022년 2월 3일 오전 11시 31분경, '클레이스왑'이 공격을 받아 22억원 상당의 암호화폐를 탈취당하는 해킹 사례가 발생했습니다. ※ 디파이 서비스 블록체인과 스마트 컨트랙트를 이용해 가상자산을 예치하고 이자를 받는 등의 금융 서비스를 제공하는 것 원인이 무엇인가요? 해킹 수법은 BGP 하이재킹이라 불리는 공격으로 추정되고 있습니다. 외부 네트워크망에 대한 공격으로 인해 사용자의 정상적인 Kakao SDK Javascri..

보안 카드뉴스 2022. 2. 11. 13:47

악성코드 개발자로 추정되는 사용자가 Maze, Egregor, Sekhmet 랜섬웨어의 마스터 암호 해독키를 BleepingComputer 포럼에 공개하였습니다. 2020년 10월 Maze 그룹이 운영을 중단한 후, Egregor라는 랜섬웨어 그룹을 결성한 것으로 추측됩니다. Egregor 랜섬웨어는 Sekhmet 랜섬웨어와 Maze 랜섬웨어를 수정한 악성코드의 형태를 가지고 있습니다. 세 가지 랜섬웨어 변종 모두 소스코드 유사점이 있으며 모두 동일한 피해자 인구를 대상으로 하는 것이 특징입니다. 랜섬웨어 마스터 복호화 키 공개 랜섬웨어의 복호화 키가 BleepingComputer 포럼에 유출되었습니다. 해당 복호화 키는 이 세 가지 랜섬웨어 작업을 모두 개발했다고 주장하는 'Topleak'이라는 이름의..

국내외 보안동향 2022. 2. 11. 10:45

FBI(연방수사국)는 2022년 2월 4일에 발표된 새로운 플래시 경고에서 LockBit 랜섬웨어 공격과 관련된 기술적 세부 정보와 침해 지표를 발표했습니다. LockBit 랜섬웨어 그룹은 2019년 9월 RaaS(Ransomware-as-a-Service)로 출시된 이후 현재까지 활발하게 활동하고 있습니다. 또한 그룹 대표가 서비스를 홍보하고 러시아 해킹 포럼에 대한 지원을 제공하며 랜섬웨어 공격 및 네트워크 암호화를 할 공격자들을 모집합니다. 2021년 6월 LockBit은 랜섬웨어 공격자들이 사이버 범죄 포럼에서 포스팅이 금지되자, LockBit 데이터 유출 홈페이지에 LockBit 2.0 RaaS를 공개했습니다. 이후 랜섬웨어 그룹은 Tor 사이트를 재설계하고 악성코드에 AD 그룹 정책을 통한 ‘..

국내외 보안동향 2022. 2. 8. 13:20

유럽의 미디어 및 정부 조직을 대상으로 Zimbra의 크로스사이트스크립팅(XSS) 보안 취약점이 활발히 악용되고 있습니다. Zimbra는 인스턴트 메시지, 화상 회의, 파일 공유 및 클라우드 스토리지 기능을 포함하는 이메일 및 공동 작업 플랫폼이며, 140여개 국가에서 20만여 이상의 기업(1,000개 이상의 정부 및 금융 기관을 포함)이 사용하고 있습니다. 해당 취약점은 Zimbra 8.8.15 및 이전 버전에 영향을 미치며, 현재 8.8.15 p30용 핫픽스를 제공하고 있습니다. 취약점을 이용하면 이메일을 훔치는 것 이외에도 아래와 같은 악의적인 행위를 수행할 수 있습니다. 사서함에 대한 지속적인 액세스를 허용하도록 쿠키를 유출 사용자의 연락처에 피싱 메시지 보내기 신뢰할 수 있는 웹 사이트에서 멀웨..

국내외 보안동향 2022. 2. 8. 13:14

월마트의 사이버 위협 팀이 새로운 서비스형 랜섬웨어 패밀리 Sugar를 분석했습니다. Sugar 랜섬웨어는 기업 망 전체를 겨냥한 기존 랜섬웨어와는 달리 주로 특정 컴퓨터에 집중 하는 것으로 확인되었습니다. Sugar 랜섬웨어는 2021년 11월에 실제 공격에서 처음 발견되었으며, 다른 랜섬웨어 패밀리의 코드를 차용하는 Delphi 악성코드입니다. Sugar 랜섬웨어의 특징은 크립터에서 사용되는 수정된 버전의 RC4 알고리즘이 악성코드 내 문자열 디코딩 과정에서 재사용된다는 것입니다. 월마트의 사이버 위협 팀은 "해당 악성코드는 델파이로 작성되었지만, RE 관점에서 흥미로운 부분은 악성코드에서 문자열 디코딩의 일부로 크립터의 동일한 루틴을 재사용했다는 것” 이라고 밝혔습니다. 따라서 Sugar 랜섬웨어와..

국내외 보안동향 2022. 2. 3. 17:13