전체 글 (170) 썸네일형 리스트형 102. Operation Salary 지난 2024년 12월부터 현재 2025년 4월경까지 국내에 지속적으로 "x월 급여명세서" 이름의 해킹 메일이 유포되고 있다. 대부분의 메일은 피해자가 본문 내 파일 아이콘을 클릭하면 의도한 피싱 페이지로 접근시켜 피해자의 계정 정보 등을 탈취한다. 유포된 메일이 피해자 정보를 탈취하는 방식은 다양하다. 피싱 페이지로 연결을 통해 페이지를 통해 탈취하는 것부터 텔레그램 봇을 이용하는 방식까지 여러 방식이 사용된다. 이 점으로 보아, 급여명세서 위장 메일 공격은 북한 관련 공격 그룹이 급여 명세서 테마로 공격을 수행하는 것으로 보여진다. 본 글에서는 급여명세서 위장 메일 공격들에 대해 분석한다. 12월 급여 명세서 위장가장 먼저 급여명세서 위장 메일을 포착한 것은 지난 2024년 12월이다. kaist의 .. 13. ClickFix Attack ClickFix 공격 기법은 지난 2024년 3월경 처음 발견되었다. 해당 공격은 Malvertising 공격 중 하나로도 분류된다. 공격은 아래와 같이 이루어진다. 1. 피싱 사이트에 피해자가 접속2. 접속 사이트에서 미상의 이유로 "Fix it" 등의 버튼을 누르도록 유도3. 버튼 클릭 유도와 함께 클릭 후 명령어를 실행하도록 안내문 노출4. 페이지 안내대로 수행 시, 추가 스틸러 등 다운로드 및 실행 위 과정에서 볼 수 있듯 사회공학적 요소가 다분히 존재한다. 아래 그림은 sekoia 에서 공개한 4가지 ClickFix 공격의 유형이다. 아래 그림에서 볼 수 있듯 "윈도우 + R" (실행 프로그램 시작 단축키)를 실행 후 명령어를 복사하고 명령어를 실행하도록 유도한다. 비슷한 사례로, proofpo.. 101. 급여명세서 위장 스피어피싱 (to 공무원) 국내 메일 모니터링 중, 2025년 2월 20일에 아래와 같은 메일을 수집했다. 해당 메일은 2025년 2월 급여명세서로 위장한 스피어피싱 메일이다. 스피어피싱 대상은 정부 부처 중 하나인 중소기업벤처부의 한 공무원이었다. 첨부된 New PO (Lotte Korea).html을 열람하면 아래와 같은 페이지가 나타난다. 카카오 로그인 페이지로 위장한 공격자의 피싱 페이지이다. 피해자가 위 피싱 페이지에 아이디/비밀번호를 입력하고 로그인을 누르면 입력한 정보가 공격자의 서버로 전송된다. 아래 코드는 로그인에 연결된 action 부분이다.* C2 서버: hxxps://n*****ge.com/Bruteforce/catiers/muad.php 위 C2 서버의 Bruteforce 경로에 접근하면 아래와 같은 폴더.. 100. Kimsuky's 종신안내장v02_곽성환d X(구 Twitter)를 둘러보던 중, Kimsuky 그룹이 유포한 것으로 보여지는 종신안내장v02_곽성환d.zip 파일을 발견하였다. 이전의 Kimsuky 그룹이 악성코드를 유포했던 방식과 비슷해보인다. 또한, 곽성환 이라는 인물을 특정해 유포한 것으로 보여진다. 여러 공공기관에 곽성환 이라는 이름을 가진 분이 많아서 누구로 특정되었는지는 정확한 정보가 아직 없다. 본 글에서는 해당 파일에 대해 분석한다. * sha256: 079907b7feab3673a1767dbfbc0626e656f5d3b03b6cff471cc7cf8a1973ab34 먼저, 해당 악성코드는 zip 파일로 유포되었다. 크기는 약 7kb이다. 해당 파일을 압축 해제하면 아래와 같이 "종신안내장V02_곽성환D.pdf.pdf.lnk" 파일.. 99. 한국방위산업학회 위장 공격 이메일 국내에서 유포중인 이메일들에 대해 지속적으로 모니터링중에 있는데, 얼마 전 아래와 같은 이메일이 발견되었다. 한국방위산업학회 방위산업 디지털 혁신 세미나를 알리는 메일로 위장한 공격 메일이다. 제목은 아래 그림과 같이 "[최초 수신 메일] 한국방위산업학회 방위산업 디지털 혁신 세미나 계획을 전파드립니다." 로 작성되어있고, 첨부파일로 한글 파일이 첨부되어 있다. 해당 메일에 첨부된 파일을 실행하면 아래 그림과 같이 비밀번호로 보호되어 있는 것을 볼 수 있다. 해당 비밀번호는 메일 본문에 안내되어있었으며, 이 또한 한국방위산업학회의 중요 파일로 위장하기 위해 비밀번호를 설정한 것으로 보여진다. 비밀번호를 입력하고 나면 아래와 같이 pdf와 docx 파일 링크가 본문 내용으로 나타난다. 각각의 파일 링크는 .. 98. Kimsuky's RFA_질문지 및 자유아시아방송 인터뷰 질의서 얼마 전, 모니터링 중이던 한국 url 들 중 특이한 파일명이 발견되었다. 해당 파일명은 first.txt 였으며 접근이 가능하기에 접속해보았는데, 오픈 디렉토리로 공개되어 있는 상태였다. 아래 파일들이 해당 url에서 저장해 둔 파일들이다. 자유아시아방송 인터뷰 질의서.hwp, RFA_질문지.hwp 등의 파일이 존재하는 것으로 보아 자유아시아방송(RFA) 기자를 위장해 타겟팅 한 대상에게 유포하려던 것으로 보여진다. (이미 유포했을 수도 있어보인다.) hwp 파일들은 모두 미끼 파일이며 RFA_질문지.hwp 는 암호화 되어 있고, 자유아시아방송 인터뷰 질의서.hwp 는 아래와 같이 작성되어 있다. 또한, first.txt, log_processlist.ps1, sec.txt, sec.vmd, start.. 97. CharmingKitten's BellaCPP(correlation Sofacy) 얼마 전, 이란 APT 그룹 중 하나인 CharmingKitten(aka APT35)의 새로운 악성코드인 BellaCPP가 발견되었다. 해당 악성코드는 C++로 작성된 Bellaciao의 새로운 종류로 보여진다.https://securityaffairs.com/172299/malware/bellacpp-charming-kittens-bellaciao-variant-written-in-c.html BellaCPP, Charming Kitten's BellaCiao variant written in C++Iran-linked APT group Charming Kitten has been observed using a new variant of the BellaCiao malware dubbed BellaCP.. 96. nj.exe(Quasar RAT) TI 데이터를 모니터링 하던 중, 국내 IP의 웹 페이지를 통해 유포되는 Quasar RAT 악성코드를 발견하였다. Quasar RAT 악성코드는 북한 공격자들에 의해 사용된 적이 있기 때문에, 해당 웹 페이지를 좀 더 살펴보았다. 본 글에서는 해당 내용을 설명한다. 먼저, 해당하는 IP는 아래와 같다. IP 정보로 특정 경로에 대해 웹 접속을 시도하면 저장되어 있는 여러 악성코드들이 나타난다.* IP: 154[.]90[.]62[.]248* 접속 경로: http://154[.]90[.]62[.]248/[wHk로시작하는 12자리 문자]/ 해당 웹 서버에서 얻을 수 있는 모든 악성코드들은 아래와 같다. 키로거(kl.vir)도 포함되어 있으며 netpass(netpass.vir) 악성코드도 포함되어 있다. 이.. 이전 1 2 3 4 ··· 22 다음
