본문 바로가기

전체 글

 (176)
15. LOLBAS (Living Off The Land Binaries, Scripts and Libraries) 본 글에서는 예전에 정리했던 LOTL(Living Off The Land)와 관련되어 LOLBAS(Living Off The Land Binaries, Scripts and Libraries)도 정리한다.https://p3ngdump.tistory.com/136 11. LOTL (Living Off The Land)최근 악성코드 유포나 위협 공격 등에 LOTL (Living Off The Land) 라는 개념이 자주 사용된다. 해당 개념은 "정상적인 파일/도구를 이용한 악성 행위 수행"을 의미한다. 예를 들어, 정상적인 윈도우 실p3ngdump.tistory.com LOTL은 정상적인 파일 또는 도구를 사용해 악성 행위를 수행하는 기법을 말한다. 즉, regsvr.exe 와 같은 정상적인 windows ..
106. Beavertail in github Lazarus 그룹이 사용하는 것으로 알려진 Beavertail 악성코드가 Github을 통해 유포되고 있는 것으로 보여진다. LOTS(Living Off Trusted Site) 기법을 사용해 유포하는 것으로 보여진다.Beavertail 악성코드의 경우, 이전에 스피어피싱 메일 등을 통해 유포된 적이 존재한다.https://asec.ahnlab.com/ko/87227/ 채용 메일을 위장한 피싱 공격 정황 사례 분석 (BeaverTail, Tropidoor) - ASEC2024년 11월 29일 Dev.to라는 이름의 개발자 커뮤니티에서 다음과 같이 채용 공고 메일을 위장해 악성코드를 유포하는 사례가 공개되었다. [1] 해당 사례에서 공격자는 프로젝트가 포함된 BitBucket 링asec.ahnlab.co..
105. Kimsuky's Naver Phishing 보호되어 있는 글입니다.
104. Kimsuky's link to picture.lnk 2025년 05월 14일 VirusTotal에 link to picture.lnk 파일이 업로드되었다. 해당 파일은 lnk 형식을 띄며 파워쉘을 호출하는 등 여러 특징으로 보아 Kimsuky 그룹이 유포한 것으로 보여진다. 본 글에서는 해당 파일을 분석한다.* sha256: 7210ba8af9d40f85dc611a2b31b81e1addc257dba51eaf56402e82f193887650 먼저, link to picture.lnk 파일은 아래와 같이 lnk 파일 형식을 가지고 있다. 형식은 lnk이지만 실제 악성 행위를 수행하는 코드는 파일 내부에 파워쉘 코드로 작성되어있다. 파일 내 파워쉘 코드를 파싱해보면 아래와 같은 코드를 볼 수 있다. 해당 코드는 main.ps1 이라는 파일을 생성하는 파워쉘 코..
14. LOTS (Living Off Trusted Sites) LOTS (Living Off Trusted Sites)는 공격자들이 사용하는 정상적인 웹 사이트를 말한다. mrd0x에 의해 하나의 프로젝트로 웹 사이트 목록이 관리되고 있다. LOTS는 LOLBIN 과 같이 분석가 혹은 관제 인원이 얼핏 봤을 때, 정상적인 네트워크 요청/응답으로 보이게끔 하여 악성코드 유포 등에 있어 탐지나 분석의 회피를 의도한다.* 프로젝트 주소: https://lots-project.com/ LOTS Project - Living Off Trusted SitesLiving Off Trusted Sites (LOTS) Project Attackers are using popular legitimate domains when conducting phishing, C&C, exfilt..
103. OpenSource Attack Tool (tgh.ps1, donut loader) 최근 다른 개발물들과 같이 악성코드, 공격 도구들도 오픈소스로 공개되는 정황이 종종 보인다. 이전에 경찰청 피싱 페이지 소스를 오픈소스로 공개했던 한 저장소에 2달전에 업로드 되었던 공격 도구를 발견해 분석해봤다. 해당 공격 도구는 2달 전에 오픈소스 플랫폼에 업로드되었다. 업로드 된 공격 도구는 NukeAMSI 라는 도구이다. NukeAMSI는 Windows 환경에 존재하는 AMSI(Antimalware Scan Interface)를 우회하는 Powershell 기반 도구이다. 즉, 해당 공격 도구는 Windows 환경을 대상으로 하고 있으며 보안 설정을 우회하고 추가적인 악성코드를 다운로드 한다. 추가 다운로드되는 악성코드는 "telegramget-stream.ps1" 이라는 이름을 가지고 있다. 공..
102. Operation Salary 지난 2024년 12월부터 현재 2025년 4월경까지 국내에 지속적으로 "x월 급여명세서" 이름의 해킹 메일이 유포되고 있다. 대부분의 메일은 피해자가 본문 내 파일 아이콘을 클릭하면 의도한 피싱 페이지로 접근시켜 피해자의 계정 정보 등을 탈취한다. 유포된 메일이 피해자 정보를 탈취하는 방식은 다양하다. 피싱 페이지로 연결을 통해 페이지를 통해 탈취하는 것부터 텔레그램 봇을 이용하는 방식까지 여러 방식이 사용된다. 이 점으로 보아, 급여명세서 위장 메일 공격은 북한 관련 공격 그룹이 급여 명세서 테마로 공격을 수행하는 것으로 보여진다. 본 글에서는 급여명세서 위장 메일 공격들에 대해 분석한다. 12월 급여 명세서 위장가장 먼저 급여명세서 위장 메일을 포착한 것은 지난 2024년 12월이다. kaist의 ..
13. ClickFix Attack ClickFix 공격 기법은 지난 2024년 3월경 처음 발견되었다. 해당 공격은 Malvertising 공격 중 하나로도 분류된다. 공격은 아래와 같이 이루어진다. 1. 피싱 사이트에 피해자가 접속2. 접속 사이트에서 미상의 이유로 "Fix it" 등의 버튼을 누르도록 유도3. 버튼 클릭 유도와 함께 클릭 후 명령어를 실행하도록 안내문 노출4. 페이지 안내대로 수행 시, 추가 스틸러 등 다운로드 및 실행 위 과정에서 볼 수 있듯 사회공학적 요소가 다분히 존재한다. 아래 그림은 sekoia 에서 공개한 4가지 ClickFix 공격의 유형이다. 아래 그림에서 볼 수 있듯 "윈도우 + R" (실행 프로그램 시작 단축키)를 실행 후 명령어를 복사하고 명령어를 실행하도록 유도한다. 비슷한 사례로, proofpo..

티스토리툴바