티스토리

p3ngdump's study blog

검색하기

블로그 홈

p3ngdump's study blog

p3ngdump.tistory.com/m

p3ngdump 님의 블로그입니다.

구독자: 3

방명록 방문하기

주요 글 목록

101. 급여명세서 위장 스피어피싱 (to 공무원) 국내 메일 모니터링 중, 2025년 2월 20일에 아래와 같은 메일을 수집했다. 해당 메일은 2025년 2월 급여명세서로 위장한 스피어피싱 메일이다. 스피어피싱 대상은 정부 부처 중 하나인 중소기업벤처부의 한 공무원이었다. 첨부된 New PO (Lotte Korea).html을 열람하면 아래와 같은 페이지가 나타난다. 카카오 로그인 페이지로 위장한 공격자의 피싱 페이지이다. 피해자가 위 피싱 페이지에 아이디/비밀번호를 입력하고 로그인을 누르면 입력한 정보가 공격자의 서버로 전송된다. 아래 코드는 로그인에 연결된 action 부분이다.* C2 서버: hxxps://n*****ge.com/Bruteforce/catiers/muad.php 위 C2 서버의 Bruteforce 경로에 접근하면 아래와 같은 폴더.. 공감수 0 댓글수 0 2025. 2. 21.
100. Kimsuky's 종신안내장v02_곽성환d X(구 Twitter)를 둘러보던 중, Kimsuky 그룹이 유포한 것으로 보여지는 종신안내장v02_곽성환d.zip 파일을 발견하였다. 이전의 Kimsuky 그룹이 악성코드를 유포했던 방식과 비슷해보인다. 또한, 곽성환 이라는 인물을 특정해 유포한 것으로 보여진다. 여러 공공기관에 곽성환 이라는 이름을 가진 분이 많아서 누구로 특정되었는지는 정확한 정보가 아직 없다. 본 글에서는 해당 파일에 대해 분석한다. * sha256: 079907b7feab3673a1767dbfbc0626e656f5d3b03b6cff471cc7cf8a1973ab34 먼저, 해당 악성코드는 zip 파일로 유포되었다. 크기는 약 7kb이다. 해당 파일을 압축 해제하면 아래와 같이 "종신안내장V02_곽성환D.pdf.pdf.lnk" 파일.. 공감수 2 댓글수 0 2025. 2. 10.
99. 한국방위산업학회 위장 공격 이메일 국내에서 유포중인 이메일들에 대해 지속적으로 모니터링중에 있는데, 얼마 전 아래와 같은 이메일이 발견되었다. 한국방위산업학회 방위산업 디지털 혁신 세미나를 알리는 메일로 위장한 공격 메일이다. 제목은 아래 그림과 같이 "[최초 수신 메일] 한국방위산업학회 방위산업 디지털 혁신 세미나 계획을 전파드립니다." 로 작성되어있고, 첨부파일로 한글 파일이 첨부되어 있다. 해당 메일에 첨부된 파일을 실행하면 아래 그림과 같이 비밀번호로 보호되어 있는 것을 볼 수 있다. 해당 비밀번호는 메일 본문에 안내되어있었으며, 이 또한 한국방위산업학회의 중요 파일로 위장하기 위해 비밀번호를 설정한 것으로 보여진다. 비밀번호를 입력하고 나면 아래와 같이 pdf와 docx 파일 링크가 본문 내용으로 나타난다. 각각의 파일 링크는 .. 공감수 1 댓글수 0 2025. 1. 16.
98. Kimsuky's RFA_질문지 및 자유아시아방송 인터뷰 질의서 얼마 전, 모니터링 중이던 한국 url 들 중 특이한 파일명이 발견되었다. 해당 파일명은 first.txt 였으며 접근이 가능하기에 접속해보았는데, 오픈 디렉토리로 공개되어 있는 상태였다. 아래 파일들이 해당 url에서 저장해 둔 파일들이다. 자유아시아방송 인터뷰 질의서.hwp, RFA_질문지.hwp 등의 파일이 존재하는 것으로 보아 자유아시아방송(RFA) 기자를 위장해 타겟팅 한 대상에게 유포하려던 것으로 보여진다. (이미 유포했을 수도 있어보인다.) hwp 파일들은 모두 미끼 파일이며 RFA_질문지.hwp 는 암호화 되어 있고, 자유아시아방송 인터뷰 질의서.hwp 는 아래와 같이 작성되어 있다. 또한, first.txt, log_processlist.ps1, sec.txt, sec.vmd, start.. 공감수 0 댓글수 0 2024. 12. 30.
97. CharmingKitten's BellaCPP(correlation Sofacy) 얼마 전, 이란 APT 그룹 중 하나인 CharmingKitten(aka APT35)의 새로운 악성코드인 BellaCPP가 발견되었다. 해당 악성코드는 C++로 작성된 Bellaciao의 새로운 종류로 보여진다.https://securityaffairs.com/172299/malware/bellacpp-charming-kittens-bellaciao-variant-written-in-c.html BellaCPP, Charming Kitten's BellaCiao variant written in C++Iran-linked APT group Charming Kitten has been observed using a new variant of the BellaCiao malware dubbed BellaCP.. 공감수 0 댓글수 0 2024. 12. 28.
96. nj.exe(Quasar RAT) TI 데이터를 모니터링 하던 중, 국내 IP의 웹 페이지를 통해 유포되는 Quasar RAT 악성코드를 발견하였다. Quasar RAT 악성코드는 북한 공격자들에 의해 사용된 적이 있기 때문에, 해당 웹 페이지를 좀 더 살펴보았다. 본 글에서는 해당 내용을 설명한다. 먼저, 해당하는 IP는 아래와 같다. IP 정보로 특정 경로에 대해 웹 접속을 시도하면 저장되어 있는 여러 악성코드들이 나타난다.* IP: 154[.]90[.]62[.]248* 접속 경로: http://154[.]90[.]62[.]248/[wHk로시작하는 12자리 문자]/ 해당 웹 서버에서 얻을 수 있는 모든 악성코드들은 아래와 같다. 키로거(kl.vir)도 포함되어 있으며 netpass(netpass.vir) 악성코드도 포함되어 있다. 이.. 공감수 0 댓글수 0 2024. 12. 18.
95. DDoSia 러시아의 핵티비스트 그룹인 NoName057(16)이 DDoS 공격에 활용되는 것으로 알려져 있는 DDoSia 악성코드를 분석해보았다. DDoSia 악성코드는 텔레그램 채널을 통해 악성코드 동작 관련 파일들을 유포하기도 한다. * sha256: e8cf6f82a1336b76abb170337985906454f142c5cca33f6aec3591643eaf3268 먼저, 해당 악성코드는 Go 언어로 작성되었다. 공격자는 악성코드의 실행이 운영체제나 피해자 환경에 구애 받지 않도록 크로스 컴파일 기능이 존재하는 Go 언어를 사용한 것으로 보여진다. DDoSia 악성코드는 공격자 C2와 지속적으로 통신하며 공격을 수행한다. 악성코드 실행 시 가장 먼저 C2의 login 엔드포인트를 통해 로그인 과정을 수행한다. .. 공감수 1 댓글수 1 2024. 12. 16.
94. Lazarus's Beavertail 3 (Python) 개인적으로 운용중인 OpenCTI에서 또 다른 Lazarus 그룹의 Beavertail 악성코드가 발견되었다. 이전의 Beavertail 악성코드와 비슷한 형태를 띄고 있다. 이전 악성코드 분석 글은 아래 링크에 존재한다.https://p3ngdump.tistory.com/156 87. Lazarus's Beavertail (MacOS)얼마 전, Lazarus 그룹이 MacOS 화상통화 앱에 악성코드를 삽입해 정보를 탈취하는 등의 악성행위를 수행했던 것이 밝혀졌다. 본 글에서 해당 샘플을 분석한다. 해당 악성코드는 FreeConference 앱을 위p3ngdump.tistory.comhttps://p3ngdump.tistory.com/158 88. Lazarus's BeaverTail 2 (Python).. 공감수 1 댓글수 0 2024. 12. 5.
93. Kimsuky's pay.bat 웹 상에 디렉터리 리스팅 된 상태로 공개된 사이트를 발견하였다. Kimsuky 그룹이 해당 사이트를 장악하고 일부 경로를 사용하는 것으로 보이고, 경로 내에는 pay.bat 파일만 존재한다. * pay.bat sha256 : 8e0eb0d36bfd4e28ec6a10acccf899740df7048451229b84715e475e3c91347b 해당 파일 내용은 아래와 같다. powershell을 이용해 base64로 인코딩 된 데이터를 디코딩 후 실행한다. 또한 Invoke 등의 powershell 관련 문자열들도 어느정도 난독화 되어있다.@echo off powershell/W 1 -ep bypass -w hidden -command $cmkGnaBV=[Convert]::FromBase64String('.. 공감수 0 댓글수 1 2024. 11. 29.
92. HijackLoader (IDAT Loader) 얼마 전, HijacLoader에 대해 알게되었다. 해당 로더의 동작 방식이 좀 재밌어서, 블로그에 기록한다. 로더들은 추가 악성코드를 피해자 PC에 다운로드하고 실행시키는게 목적이다. 그래서 보통 본 로더들은 파워쉘을 실행시키거나, 또 다른 파일을 실행시키는 형태로 동작한다. 위와 같은 형태인데, HijackLoader도 추가 악성코드를 실행시키는 것은 기존 로더와 동일하다. 다만, HijackLoader는 PNG 파일의 IDAT 영역에 암호화 된 파일을 숨겨놓는다. 최근 분석한 파일 중에서는 내부에 아래와 같이 png 파일이 존재했다. 이 png 파일은 분석한 파일에서 사용되지 않는 파일인데 내부에 포함되어 있었다. 이 png 파일이 HijackLoader였다. png 파일은 데이터 값으로 사용하는 .. 공감수 0 댓글수 0 2024. 11. 21.
91. MalLlama(악성코드 분석에 LLM 활용) 보호되어 있는 글입니다. 공감수 0 댓글수 0 2024. 11. 16.
90. Andariel's play ransomware 지난 2024년 10월 31일, 북한의 APT 그룹 중 하나인 Andariel이 Play ransomware를 사용했다는 기사가 공개되었다.https://www.darkreading.com/endpoint-security/north-korea-andariel-play-ransomware 해당 기사 내용에 따르면, Andariel이 Play ransomware와 협력하고 있는 것으로 보인다. 초기 브로커(IAB, Initial Access Broker)든 실제 Play ransomware든 Andariel의 공격에 Play ransomware를 사용한 것은 틀림없다. 개인적으로 운용하고 있는 MISP에도 해당 내용이 포착되었다. Play ransomware의 몇 샘플들과 7월 30일에 포착된 북한측 악성코.. 공감수 1 댓글수 1 2024. 11. 11.
89. Phisher's using nocodeform.io 최근 피싱 공격자들이 nocodeform.io 등의 텍스트 업로드 플랫폼을 사용하고 있다. 지난 4월 AhnLab에서도 아래와 같은 글을 공유했었다.https://asec.ahnlab.com/ko/64170/ 사실 이전에도 공격자들은 pastebin.com 같은 익명 텍스트 업로드 플랫폼을 자주 사용했었고, 파일 같은 경우도 익명 파일 업로드 사이트를 사용했었다. 하지만, pastebin과 같은 사이트가 수면위에 드러나고 대부분 보안 요소로 해당 사이트들을 차단하는 등의 행위를 사용하니까 합법적은 플랫폼을 사용하는 것으로 보여진다. 개인적으로 국내 피싱 메일들을 수집중에 있는데, 아래 피싱 메일들은 최근 수집된 메일들이다. 피싱 기법은 이전의 스피어피싱 메일들과 비슷하다. 계정을 확인하라거나, 이메일 서.. 공감수 0 댓글수 0 2024. 11. 1.
88. Lazarus's BeaverTail 2 (Python) 지난 2024년 09월 28일에 분석해 공유했던 아래 글과 관련된 추가적인 Python 악성코드들을 발견했다.https://p3ngdump.tistory.com/156 87. Lazarus's Beavertail (MacOS)얼마 전, Lazarus 그룹이 MacOS 화상통화 앱에 악성코드를 삽입해 정보를 탈취하는 등의 악성행위를 수행했던 것이 밝혀졌다. 본 글에서 해당 샘플을 분석한다. 해당 악성코드는 FreeConference 앱을 위p3ngdump.tistory.com 해당 악성코드들은 개인적으로 운용중인 OpenCTI 플랫폼에서 발견했다. OpenCTI 플랫폼에서 Malware Bazaar 데이터를 끌어오도록 설정해뒀는데, 해당 데이터에서 잡힌 것으로 보여진다. 해당 악성코드들은 이전 글에서 분석.. 공감수 0 댓글수 0 2024. 10. 14.
87. Lazarus's Beavertail (MacOS) 얼마 전, Lazarus 그룹이 MacOS 화상통화 앱에 악성코드를 삽입해 정보를 탈취하는 등의 악성행위를 수행했던 것이 밝혀졌다. 본 글에서 해당 샘플을 분석한다. 해당 악성코드는 FreeConference 앱을 위장한 악성코드이다. FreeConference 앱의 기능을 가지고 있음과 동시에 공격자가 삽입한 악성코드가 동작하는 형태로 피해자의 정보를 탈취한다. 먼저, 해당 악성코드는 Mach-O64 파일이다. 맥 환경에서 동작하는 악성코드이며 공격자는 맥 환경의 사용자들을 대상으로 유포한 것으로 추측된다. 해당 악성코드는 정상적인 FreeConference 앱에 Lazarus 그룹이 자신들의 코드를 삽입한 형태로 동작한다. 따라서, 악성코드 내부에는 FreeConference 동작과 관련된 코드나 문.. 공감수 4 댓글수 3 2024. 9. 28.
86. UNC2970 correlation with Lazarus 2024년 9월 17일, 구글의 맨디언트 측에서 UNC2970 그룹의 백도어 악성코드에 대한 Threat Intelligence 보고서를 공개했다.https://cloud.google.com/blog/topics/threat-intelligence/unc2970-backdoor-trojanized-pdf-reader?hl=en An Offer You Can Refuse: UNC2970 Backdoor Deployment Using Trojanized PDF Reader | Google Cloud BlogUNC2970 is a cyber espionage group suspected to have a North Korea nexus.cloud.google.com UNC2970 그룹은 북한 배후의 APT 공.. 공감수 1 댓글수 1 2024. 9. 24.
85. Kimsuky's Twitch - Payment Plan.msc 최근, 북한의 Kimsuky 그룹은 msc 파일을 이용한 악성코드 유포를 활발히 진행중이다. 그 중 하나의 파일로 "Twitch - Payment Plan.msc" 파일이 ITW 에서 발견되었다. 본 글에서는 해당 악성코드를 분석한다. 먼저, 해당 파일의 정보는 아래와 같다. msc 파일이기 때문에 기본적으로 xml 구조를 따르고 있는 것을 볼 수 있다.해당 파일은 실행 시, 위장 워드 파일을 띄운다. 동시에 백그라운드에서는 파워쉘을 이용해 C2 서버로 연결해 추가 악성코드를 다운로드 한다. 이러한 형태는 최근 들어 Kimsuky 그룹이 악성코드를 유포하는데 적극 활용하고 있는 방법이다. 또한, 해당 C2 서버는 익명 파일 업로드 서비스이다. 이 점은 드롭박스 등을 이용했던 이전과 달리 익명 파일 업로드.. 공감수 1 댓글수 1 2024. 9. 12.
84. Head Mare correlation 얼마 전, Head Mare 범죄 그룹과 관련된 기사들이 보도되었다. https://securityaffairs.com/168030/hacktivism/head-mare-hacktivist-group-winrar.html Head Mare hacktivist group targets Russia and BelarusA group of hacktivist known as Head Mare took advantage of the recent CVE-2023-38831 WinRAR flaw in attacks against orgs in Russia and Belarussecurityaffairs.comhttps://securelist.com/head-mare-hacktivists/113555/ Head Ma.. 공감수 2 댓글수 0 2024. 9. 9.
83. Kimsuky's rhfueo)@@) lnk malware 2024년 8월, 북한 공격자들이 국내 몇몇 대학교 홈페이지를 사칭해 해당 대학의 계정을 탈취하려고 시도했던 사건이 있었다. 당시 Kimsuky 그룹은 서버에 계정과 관련된 정보(ip 값 등)을 탈취했다. https://blog.criminalip.io/ko/2024/07/24/%EA%B9%80%EC%88%98%ED%82%A4/ 김수키 해커가 만든 고려대학교 피싱 사이트, 연구기관 전체를 노리는 건가북한 해킹그룹 김수키(Kimsuky)가 고려대학교 포털 사이트로 위장한 피싱사이트를 개발했다는 소식에 논란이 되고 있다. 해당 고려대학교 피싱사이트를 확보해 확인해보니 고려대학교 공식 포털blog.criminalip.iohttps://boannews.com/html/detail.html?idx=131655 .. 공감수 2 댓글수 1 2024. 9. 6.
82. misp - maltego 연결 보호되어 있는 글입니다. 공감수 0 댓글수 0 2024. 9. 3.
81. North Korea's Lilith RAT Correlation 얼마 전, 북한 측 공격자가 Lilith RAT을 사용한 것이 발견되었다. Lilith RAT는 오픈소스로 공개되어 있는 악성코드이다. 최근, 이 공격 이외에도 북한 측 공격자들이 오픈소스로 공개 된 파워쉘 스크립트를 사용하는 등 오픈소스를 사용하는 정황이 자주 발견된다.https://github.com/werkamsus/Lilith GitHub - werkamsus/Lilith: Lilith, C++ Cybersecurity Research ProjectLilith, C++ Cybersecurity Research Project . Contribute to werkamsus/Lilith development by creating an account on GitHub.github.com S2W에서 공개한.. 공감수 0 댓글수 0 2024. 8. 25.
80. Kimsuky's Skidibi Boilet Master.msc 얼마 전, Kimsuky 그룹이 만든 msc 악성파일을 발견하였다. 본 글에서는 해당 악성파일을 분석한다. * sha256: b13201957eec1248b3d91f2fd5a0b5d999c0c77644810f4aa28c9ecd0faf8828 먼저, msc(microsoft management console) 파일은 윈도우 서버 계열 제품군의 서비스를 GUI 상으로 관리할 수 있게 해주기 위한 프로그램을 말한다. XML 규약으로 이루어져있다.본 글에서 분석하는 악성파일의 경우 실제 MSC 파일이라기보다 MSC 파일로 위장한 것에 가깝다. MSC 파일은 긴 코드를 담고 있는데, 이 중 악성행위가 이루어지는 부분은 아래 그림이다. 다른 코드들은 정상적인 코드들이며 아래 코드가 삽입되어 있는 형태이다. 아래 그.. 공감수 2 댓글수 4 2024. 8. 19.
79. Lazarus's characteristic of using C2 얼마 전, securonix 社에서 아래와 같은 분석 글을 게시했다.https://www.securonix.com/blog/research-update-threat-actors-behind-the-devpopper-campaign-have-retooled-and-are-continuing-to-target-software-developers-via-social-engineering/ Research Update: Threat Actors Behind the DEV#POPPER Campaign Have Retooled and are Continuing to Target Software Developers viaThreat actors have been known to exploit large-scale I.. 공감수 0 댓글수 0 2024. 8. 12.
78. CVE-2017-0199 Correlation 2017년도에 공개된 MS Office 관련 취약점인 CVE-2017-11882 취약점이 최근 다시 사용되는 중인 것으로 보여진다.https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-11882 CVE - CVE-2017-11882Microsoft Office 2007 Service Pack 3, Microsoft Office 2010 Service Pack 2, Microsoft Office 2013 Service Pack 1, and Microsoft Office 2016 allow an attacker to run arbitrary code in the context of the current user by failing to properly handl.. 공감수 0 댓글수 0 2024. 8. 2.
77. Kimsuky's TRANSLATEXT 지난 6월 27일, Zscaler에 아래와 같은 글이 게시되었다.https://www.zscaler.com/blogs/security-research/kimsuky-deploys-translatext-target-south-korean-academia Kimsuky deploys TRANSLATEXT to target South Korean academiaThreatLabz observed Kimsuky targeting South Korean entities with TRANSLATEXT to steal email addresses, passwords, cookies, and capturing browser activity.www.zscaler.com Kimsuky 그룹이 TRANSLATEXT 라는 프.. 공감수 0 댓글수 0 2024. 7. 30.
76. Lazarus's attack using pypi 얼마 전, 개인적으로 운용하고 있는 MISP(Malware Information Sharing Platform)에 Lazarus 그룹이 pypi를 이용해 공격을 수행한 것과 관련된 이벤트가 잡혔다. 해당 이벤트에 나타나는 IoC(Indicator of Compromise)에서 다른 여러 공격과의 연관성이 확인되었다. 이벤트는 아래 otx에서 확인할 수 있다.https://otx.alienvault.com/pulse/668bc4877a1f909fc99a829d LevelBlue - Open Threat ExchangeLearn about the latest cyber threats. Research, collaborate, and share threat intelligence in real time. Pr.. 공감수 0 댓글수 0 2024. 7. 13.
75. Kimsuky's outlook stealer 2024년 7월 2일, Kimsuky 그룹이 공격에 사용한 것으로 보여지는 BabyShark 관련 outlook stealer 내용을 트위터에서 발견했다. 본 글에서는 해당 stealer를 분석한다. 먼저, Outlook stealer는 총 2개의 url로 유포되었다.- hxxps://www[.]evangelia[.]edu/img/503/outlook/1outlook- hxxps://www[.]evangelia[.]edu/img/503/outlook/2outlook 내용은 각각 아래와 같다. 두 파일의 내용은 내부 powershell 코드에 약간의 차이만 있을 뿐, 나머지는 동일하다. 공격 대상 PC의 %APPDATA% 폴더 아래에 Microsoft 폴더를 생성한다. 이후 생성한 Microsoft 폴더 .. 공감수 0 댓글수 0 2024. 7. 3.
74. Correlation APT42 & Lazarus 얼마 전, 개인적으로 운용중인 MISP(Malware Information Sharing Platform)에서 재밌는 상관관계를 발견해 글을 작성한다. 발견한 상관관계는 이란이 배후로 있는 것으로 의심되는 APT42(Charming Kitten)의 이벤트에서 나타난다. 아래 글이 해당 사건에 대한 구글 클라우드 측의 보고서이다.https://cloud.google.com/blog/topics/threat-intelligence/untangling-iran-apt42-operations?hl=en Uncharmed: Untangling Iran's APT42 Operations | Google Cloud BlogAPT42 is using enhanced social engineering schemes to.. 공감수 0 댓글수 0 2024. 6. 4.
73. Kimsuky's 애니챗_20240511.xlsx.lnk 정보 수집 중, "애니챗_20240511.xlsx.lnk" 라는 이름의 파일을 발견하였다. 해당 파일에 대해 분석한다. * sha256 : 0c19c0ea46b67a7d5cf75c78dd1148d7aa51d0ce942040733a60ea1bfad33666 해당 파일은 lnk 형태를 가지고 있으며 이전에 Kimsuky 그룹이 유포한 lnk 악성코드와 비슷하게 내부에 파워쉘 실행 코드를 포함한다. 위 코드 부분만 따로 떼어보면 아래 그림과 같다. $a 변수에 base64 인코딩 된 값이 할당되어 있으며 해당 값을 디코딩한 후 실행하는 형태이다. $a 변수에 할당된 base64 값을 디코딩 하면 아래 그림과 같다. 내부 값을 이용해 xor 디코딩 연산을 수행한다. 해당 연산을 통해 실제 악성행위를 수행하는 코.. 공감수 0 댓글수 0 2024. 5. 13.
72. Lazarus's Python malware 정보 수집 중, 지난 4월 Lazarus 그룹이 유포한 Python 악성코드를 수집하였다. python 기반의 악성코드라는 점이 흥미로워 분석해보았다. 해당 악성코드는 Python 언어로 제작되었고, 2024년 5월 12일 현재 VirusTotal에서도 3개의 Anti-Virus 업체만이 탐지중이다. 해당 악성코드는 내부에 base64 인코딩 된 실제 악성 행위 코드를 포함하고 있다. 해당 base64 인코딩 된 코드가 base64 디코딩 된 후 exec() 함수를 통해 실행된다. base64 디코딩 된 이후 코드를 살펴보면, AnyDesk와 관련된 문자열들이 등장한다. 해당 문자열들은 C2 서버로부터 다운로드 받는 악성코드를 AnyDesk 프로그램처럼 위장하기 위한 목적이다. 디코딩 된 코드에서는 4개.. 공감수 0 댓글수 0 2024. 5. 13.

문의안내

티스토리
로그인
고객센터

티스토리는 카카오에서 사랑을 담아 만듭니다.