해킹그룹 ‘APT32’, 코로나19 첩보수집 위해 활발히 활동 중…주의

수집 날짜

2020-04-24

원문 링크

https://www.dailysecu.com/news/articleView.html?idxno=108105

내용 요약

APT32 공격자, 스피어피싱 이메일통해 악성 첨부 파일 전달

파이어아이에서 코로나19 관련 정보를 수집하기 위해 정부지원을 받는 APT32 그룹이 활발히 활동하고 있는것이 발견되어 주의를 당부했다. APT32는 베트남 정부와 관련된 것으로 추정되며 코로나19가 처음 발견된 우한시 중국 비상관리부를 표적으로 여러차례 스피어피싱 메세지 공격을 하였다. 이들이 주로 사용하는 악성코드는 OUNDBITE, WINDSHIELD, PHOREAL, BEACON, KOMPROGO 등이다.

잊을 만 하면 등장하는 ‘발주서’ 악성메일, 이번엔 포스코 사칭했다

수집 날짜

2020-04-24

원문 링크

https://www.boannews.com/media/view.asp?idx=87769

내용 요약

포스코 '발주서'를 사칭한 악성메일이 23일 오전에 발견됐다. 실존 기업을 사칭하고 있어 주의가 필요하다. 첨부된 파일은  ‘RFQ-PO-067MR65870-NO#10-Order&Specifications' 이미지(.img)파일이며 압축해제시 실행파일(.exe)이 나온다.

원격수업 피싱사이트에서 랜섬웨어 유포

수집 날짜

2020-04-24

원문 링크

http://www.inews24.com/view/1259966

내용 요약

코로나19 사태로 온라인 원격수업이 시작되면서 원격수업 관련 파일 다운로드를 유도하는 피싱사이트에서 랜섬웨어가 유포된 사례가 발견됐다. 공격자는 보안이 취약한 웹서버를 해킹하여 자신이 만든 원격수업 관련프로그램 다운로드 위장 피싱 웹페이지를 업로드했다. 원격수업에 필요한 프로그램을 다운받기위하여 검색하는 '구글 클래스룸', '웹캠 드라이버'등을 검색하면 해당 사이트가 검색 결과에 노출된다. 따라서 원격수업을 위한 파일과 프로그램은 공식 페이지에서 다운받아야한다.

SeaChange video platform allegedly hit by Sodinokibi ransomware

수집 날짜

2020-04-24

원문 링크

https://www.bleepingcomputer.com/news/security/seachange-video-platform-allegedly-hit-by-sodinokibi-ransomware/

내용 요약

SeaChange 비디오 플랫폼이 Sodinokibi 랜섬웨어에 의해 공격받았다. 공격자들은 SeaChange 전용 페이지를 만들고 해당 기업에서 유출한 데이터 이미지를 게시하여 몸값을 요구하고 있다. 서버의 폴더 스크린샷, 은행 명세서, 보험증서, 운전면허증 펜타곤 주문형 비디오 서비스 제안서 표지서신등을 게시하였다. 아직 정확하게 얼마를 요구했는지는 알려지지 않았다.

Valve Confirms CS:GO, Team Fortress 2 Source-Code Leak

수집 날짜

2020-04-24

원문 링크

https://threatpost.com/valve-confirms-csgo-team-fortress-2-source-code-leak/155092/

내용 요약

Valve에서 인기 게임 CS: Counter-Strike: Global Attack에서 소스코드가 유출된 것이 발견되었다고 발표했다. 소스 코드 액세스는 일반적으로 소스 엔진 면허인, 밸브 직원 및 계약업체로 제한되어 있는다 유출로 인해 악성 프로그램 설치, 원격 코드 실행 공격 또는 제로 데이 공격 개발 등과 같은 심각한 보안 문제에 대한 우려를 제기하고 있다.

주의! 21대 국회의원 선거관련 악성 워드문서 유포 중

수집 날짜

2020-04-10

원문 링크

https://ahnlabasec.tistory.com/1312

내용 요약

21대 국회의원 선거가 닷새 앞으로 다가온 가운데 이를 악용한 악성코드가 유포돼 이용자 주의가 요구된다. 안랩 시큐리티대응센터(ASEC)는 9일 21대 국회의원 선거 관련 문서를 사칭한 악성코드가 유포되고 있다면서 이용자 주의를 당부했다 .공격자는 '21대 국회의원 선거 관련(20200401)'이라는 제목으로 문서 파일을 제작했다. 파일 본문에는 국회 의석수 현황이라고 적은 후 교섭단체·정당별 의석수 현황을 지역구와 비례대표로 구분해 표기했다. 워드 문서처럼 보이는 이 파일을 열면 다운로드를 시도하는 화면이 나타난다. 특정 인터넷 주소(URL)에서 악성 파일을 다운로드하도록 설계됐다. 워드 문서 내 개체 파일 타깃 항목에 의해 다운로드 기능이 동작한다. 다운로드가 끝나면 특정 주소로 이용자 정보를 유출한다.

파워포인트를 통한 ‘호버 위드 파워’ 공격, 클릭 없이도 멀웨어 설치

수집 날짜

2020-04-10

원문 링크

https://www.boannews.com/media/view.asp?idx=87509

내용 요약

파워포인트 파일을 통해 멀웨어를 다운로드 받게 하는 공격 기법이 발견됐다. 이 공격의 특징은 피해자가 악성 링크를 클릭하지 않고, ‘마우스오버’만 실행해도(즉, 마우스 커서를 링크 위에 가져다 놓기만 해도) 멀웨어가 설치되기 시작한다는 것이다. 그러나 마이크로소프트는 이를 대단히 큰 위험으로 받아들이지 않고 있다. 마우스오버 만으로 멀웨어가 다운로드 되긴 하지만, 팝업 창이 하나 뜨고 피해자가 ‘확인’을 눌러야 하기 때문이다. 이 공격 기법에 ‘호버 위드 파워(Hover with Power)’라는 이름을 붙이고 MS 측에 알렸다. 하지만 마이크로소프트의 보안 대응 센터(MSRC)는 “소셜 엔지니어링 요소가 포함된 공격이기 때문에 해당 문제점을 취약점이라고 보기 힘들다”는 답장을 보내왔다. “안전한 컴퓨터 사용 습관이 있다면 얼마든지 막을 수 있다”는 것이다. 상세한 익스플로잇 방법은 깃허브(https://github.com/ethanhunnt/Hover_with_Power/blob/master/README.md)를 통해 공개되어 있다. 페이지를 맨 아래까지 내리면 익스플로잇이 이뤄지는 과정을 애니메이션으로도 볼 수 있다.

[긴급] ‘긴급재난자금’ 상품권 사칭한 스미싱 유포

수집 날짜

2020-04-10

원문 링크

https://www.boannews.com/media/view.asp?idx=87514

내용 요약

최근 정부와 각 지자체의 ‘코로나19 관련 긴급 재난 지원금’이 이슈가 되고 있는 가운데, 4월 9일 ‘긴급재난자금’을 사칭한 스미싱이 유포되고 있어 주의가 요구된다고 이스트시큐리티 ESRC(센터장 문종현)가 밝혔다. 최근 코로나19 바이러스 감염으로 인한 직·간접적 피해를 입은 국민들의 삶을 지원하고 경기를 활성화시키기 위한 정부 긴급재난지원금 지급이 논의되고 있으며, 일부 지자체는 이미 인터넷으로 신청을 접수중인 상태다. 특히 재난기본소득에 대한 지급을 최초로 결정했던 경기도의 경우 4월 9일 15시부터 재난기본소득 온라인 신청을 오픈할 예정인데, 공격자들은 ‘긴급재난자금’에 사용자들의 관심이 쏠리고 있는 이러한 상황을 악용해 스미싱 공격을 수행했다. 만약, 메시지에 포함된 단축 URL을 클릭하게 되면 악성앱이 다운로드되며, 감염시 사용자 스마트폰에서 sms정보를 탈취한다

원격수업 보안사고 막으려면…

수집 날짜

2020-04-10

원문 링크

http://www.inews24.com/view/1256937

내용 요약

안랩은 신종 코로나바이러스 감염증(코로나19)로 인한 온라인 개학을 맞아 원격수업 시 보안사고 피해를 막기 위한 '슬기로운 원격생활 보안수칙'을 10일 발표했다. 이 수칙에 따르면 온라인 수업에 참가하는 학생들은 수업 참가 인터넷주소(URL)나 비밀번호, 수업화면 캡처 등 수업 정보를 SNS 등 외부에 공유하지 말아야 한다. 또한 노트북, PC, 스마트폰 등 수업용 기기에서 불법 무료 동영상 사이트 같은 유해 사이트에 접속해선 안 된다. 주요 프로그램을 사칭한 피싱 사이트가 있을 수 있는 만큼 수업용 프로그램은 반드시 공식 사이트에서만 다운로드해야 한다.

Unique P2P Architecture Gives DDG Botnet ‘Unstoppable’ Status

수집 날짜

2020-04-10

원문 링크

https://threatpost.com/p2p-ddg-botnet-unstoppable/154650/

내용 요약

DDG는 세계 최초의 P2P 기반 암호화 봇넷일 것이다. DDG로 알려진 동전을 채우는 봇넷은 연초부터 지난 3개월 동안 16개의 다른 업데이트를 발표하며 활발한 활동을 보였다. 연구원들에 따르면, 가장 두드러진 것은, 그것의 운영자들이 DDG를 매우 정교하고 "엄청나게 막을 수 없는" 위협으로 만든 독점적인 P2P 메커니즘을 채택했다는 것이다. Netlab 360에서 2018년 1월 처음 발견했으며 2019년 1월 총 5,695개의 봇이 발견되었을때 백업 C2 통신에 사용되는 Memberlist 기반 P2P 메커니즘을 추가한 것을 발견하였다. 현재 DDG 봇넷은 최신 버전에서 여전히 정적 C2 통신을 위해 IP나 DNS를 사용하지만 새로운 P2P 네트워크는 "C2를 분해해도 감염된 기기는 계속 가서 채굴 작업을 수행할 것"으로 작용한다 흥미롭게도 DDG는 기업 인트라넷 상의 서버만을 대상으로 하는 틈새 공격 벡터를 가지고 있으며, 특히 단일 사용자 이름 루트에 대한 SSH 암호가 약한 서버를 대상으로 한다. 넷랩 360 연구진은 이 회사가 목표물에 대해 시도하는 1만7907개의 하드코딩된 패스워드를 가지고 있다고 말했다.