KISA 인터넷침해대응센터 침해사고분석단 종합분석팀은 1일 ‘홈페이지를 통한 내부망 장악’ 보고서를 공개했다. KISA가 최근까지 공격을 받은 국내 기업 시스템을 2개월에 걸쳐 분석하고 조치한 내용을 종합한 보고서라 의미가 크다.보고서에 따르면, KISA 조사결과 도출된 TTPs(공격자의 전략과 전술, 그리고 그 과정)는 다음과 같다.①최초 침투공격자는 외부에 노출되어있는 사내 홈페이지를 통해 최초로 접근을 시도하였다. 이후 특정 계정으로 로그인을 단번에 성공한 것으로 보아, 외부 노출 페이지와 계정정보를 기존에 미리 수집한 것으로

최근 ‘상여금 수령을 위해 개별 신청하라’는 내용의 ‘상여금 발급 청구서’로 위장한 악성 문서파일 유포사례가 발견돼 사용자들의 각별한 주의가 요구된다.이번 공격은 견적서나 이력서 등 특정 부서만 관심을 가질 수 있는 기존 공격과 달리, 직장인이라면 누구나 관심을 가질만한 상여금 신청 내용을 사칭한 것이 특징이다.공격자는 먼저 ‘직원활동상여금발급청구서.doc’라는 제목의 악성 문서파일을 메일 첨부파일로 유포했다. 또한, 해당 악성 문서파일에 ‘(신청서) 확인 후 보너스는 자동으로 귀하의 급여계좌로 입금된다’는 내용을 포함시켜 사용자의

코로나19 이슈를 이용한 사이버공격이 지속적으로 발생하고 있다. 4월 1일 오전부터 인천광역시 감염병관리지원단을 사칭한 악성 이메일(스피어 피싱)공격이 발견되어 사용자들의 각별한 주의가 요구된다.이스트시큐리티(대표 정상원)는 공격자들의 ‘코로나’ 키워드를 활용한 공격이 최근 집중적으로 발생 중이며, 특히 사용자들의 호기심과 심리적 공포를 자극하는 사회공학적 기법이 점점 정교해지고 있다고 1일 밝혔다.이번에 유포된 이메일은 ‘[긴급 조회]’라는 발신지와 함께 ‘인천광역시 코로나바이러스 대응’이라는 제목으로 유포되었으며, 발신자 메일

코로나19와 함께 우리 사회에 충격을 주고 있는 'n번방 사건'과 관련 스미싱(Smishing) 공격이 확인되고 있다. 각별한 주의가 요구된다.'n번방 사건'은 2018년 하반기부터 2020년 3월까지 텔레그램 및 기타 메신저 앱을 이용해 벌어진 사악한 디지털 성범죄 사건이며, 피해자 중 미성년자가 대거 포함되어 있어 국민들에게 충격을 안겨주고 있다.사이버 공격자들은 이번 'n번방 사건’에 쏠리는 대중의 관심을 이용해 스미싱 공격에 활용하고 있다. 3월 29일 오후부터 유포되기 시작했다.공격자는 이슈가 되고 있는 n번방 관련 회원의

최근 파이썬으로 제작된 오픈소스 웹 어플리케이션 프레임워크 Django에서 자사 제품의 SQL Injection취약점(CVE-2020-9402)을 해결한 보안 패치를 홈페이지에 공개했다. 이용자라면 즉시 업데이트 해야 한다.Django 제품에서 특정함수(GIS)의 인자값 검증이 미흡해 발생하는 SQL Injection 취약점(CVE-2020-9402)이다.이용자는 Django 홈페이지 'News&Events' 부분을 참고해 패치를 적용해야 한다.★정보보안 대표 미디어 데일리시큐!★

최근 OpenSMTPD 취약점이 발견되는 등 메일전송 프로토콜에서 원격 명령어 실행이 가능해 각별한 주의가 요구된다.공격자는 취약점을 악용해 피해를 발생시킬 수 있으므로, 해결방안을 참고해 조치가 필요하다.메일전송 프로토콜 발신자 부분에 Bash shell 명령을 통한 원격 명령어 실행 취약점이다. 공격코드 및 임의의 문자를 허용범위 이상 입력해 원격 명령어 실행이 가능하다.이용자는 △발신자 메일주소 검증 및 기업 내부 보안 모니터링 강화 △메일 솔루션 및 운영체제 등 최신 보안 업데이트 강화 등이 필요하다.★정보보안 대표 미디어

국내 유명 카드사 계정을 노린 피싱 메일 공격이 발견돼 각별한 주의가 요구되는 상황이다.해당 메일은 국내 카드사 계정으로 수신 된 메일로 스토리지 공간이 부족하다는 메시지와 함께 저장 용량을 늘리기 위해 로그인을 유도하는 방식으로 사용되고 있다.계정 피싱 메일을 받은 사용자가 저장 용량을 늘리기 위해 메일 본문에 링크 된 주소를 클릭 할 경우 사용자의 계정과 패스워드를 가로채기 위한 피싱 사이트로 이동한다.이스트시큐리티 ESRC(시큐리티 대응센터) 측은 “피싱 타깃이 된 사용자가 해당 페이지에 계정과 패스워드를 입력할 경우, 개인

마이크로소프트가 윈도우 어도비 Type Manager 라이브러리에 해커가 악용할 수 있는 2개 제로데이 원격 코드 실행 취약점이 존재하고, 이들은 모든 윈도우 버전에 영향을 미친다고 경고했다.이 취약점은 윈도우 PostScript Type 1 폰트를 렌더링하는데 사용하는 라이브러리인 어도비 Type Manager에 존재한다.마이크로소프트 측은 “마이크로소프트는 어도비 Type Manager 라이브러리의 패치되지 않은 취약점을 활용할 수 있는 제한된 타깃 공격에 대해 인지하고 있다. 보안 업데이트 배포 전까지 사용자들의 위험을 줄이기

북한 정부 지원 해킹그룹으로 알려진 김수키(Kimsuky) 조직이 코로나19 이슈를 악용해 APT 공격을 진행하고 있는 정황이 포착됐다.김수키 조직은 지난 2월 28일, 이미 '코로나 바이러스 관련 이사장님 지시사항'이라는 이메일 제목으로 스피어피싱 공격을 진행한 적이 있다.이번에 발견된 악성 파일은 'COVID-19 and North Korea.docx' 파일명으로 유포되었으며, TTPs 등을 분석한 결과, 국내 기업과 기관을 대상으로 스피어피싱과 APT 공격을 지속해 오고 있는 김수키 조직의 '스모크 스크린' 캠페인의 일환으로

한국인터넷진흥원(KISA, 원장 김석환)은 코로나19 확산에 따른 사회적 관심과 불안감을 악용한 랜섬웨어가 유포될 가능성이 높아 국민 및 기업의 철저한 대비를 당부한다고 2020. 3. 18.(수) 밝혔다.최근 마스크 무료 배포, 감염자 동선 확인 등 가짜 문자메시지를 악용한 스미싱 공격이 지속적으로 발생하고 있으며, 2017년 전 세계적으로 큰 피해가 발생했던 워너크라이(WannaCry) 랜섬웨어와 유사한 방식으로 취약한 PC를 감염시킬 수 있는 취약점에 대한 보안 업데이트가 긴급 발표*되는(3.13) 등 코로나19 이슈를 악용한

코로나19 바이러스 이슈를 노린 Hoax가 또다시 유포되고 있다. 주의가 필요하다. 해당 Hoax는 코로나19 랜섬웨어처럼 위장하고 있으나 암호화 행위를 하지 않음이 확인됐다.이 Hoax는 지난 3월 11일에 생성된 것으로 추정되며, COVID-19라는 파일명을 가지고 있다.실제로 사용자들이 해당 Hoax파일을 실행하게 되면, 실제 이 Hoax는 경고창을 띄우고 메시지를 보여준다.영어로 작성되어 있는 해당 문구는 'Just because you're home doesn't mean you're safe'라는 내용으로 최근 코로나19

최근 코로나19로 인해 마스크 수요가 급증하고 있는 가운데 인터넷 거래를 유도해 국내 포털 사이트의 계정과 개인 정보 및 금전적인 이득을 취하는 중고마켓 사기가 발생하고 있어 사용자들의 각별한 주의가 요구된다.허위 마스크 판매자는 실제 중고마켓에 마스크 판매 글을 올려 직거래나 택배 판매는 안되고 연락을 특정 메신저를 통해서 받고 있으며, 메신저를 통해 연락 시 사용자에게 허위 안전거래 사이트 링크를 전달하는 방식으로 접근하고 있다.판매자가 전달 한 링크를 클릭하면 특정 중고마켓 사이트와 동일하게 만들어진 허위 사이트로 이동하게 된

마이크로소프트의 SMB(Server Message Block) 프로토콜의 새로운 "웜 가능" 취약점에 대한 자세한 내용이 오늘 진행된 마이크로소프트 정기 패치 튜스데이 업데이트에서 실수로 온라인에 유출되었다.CVE-2020-0796으로 추적된 보안 결함은 이번 3월 패치 튜스데이 업데이트에 포함되지 않으며 언제제 패치될 것인지 불분명하다.기술적인 세부 정보는 공개되지 않았지만 버그를 설명하는 간단한 요약이 시스코탈로스(Cisco Talos)와 포티넷(Fortinet) 웹사이트에 게시되었다.포티넷에 따르면 이 버그는 마이크로소프트 S

견적서로 위장한 이메일로 유포되는 정보탈취형 악성코드가 발견됐다. 기관, 기업, 개인 모두 주의해야 한다.공격자는 특정 기업을 사칭해 ‘견적 / 주문 요청’이라는 제목의 메일을 발송했다. 메일 본문에는 ‘요청하신 견적서를 첨부파일과 같이 송부드린다’는 내용을 포함했다(*보충자료1 참고). 특히 공격자는 실제 기업을 사칭하고 메일 내용도 자연스럽게 작성해 수신자가 의심없이 첨부파일을 다운로드 받도록 유도했다.첨부된 파일은 이미지(.img)* 파일로, 내부엔 실행 파일(.exe)을 포함하고 있다. 수신자가 견적서로 착각해 압축을 풀고

마이크로소프트는 오늘 화요일, 패치 튜스데이에서 115개의 취약점을 패치해 회사 역사상 가장 큰 패치를 기록했다.그러나 이러한 대량 릴리즈에도 불구하고 오늘 아무도 이것에 대해서 이야기하지 않고 있다. 대신 많은 전문가들이 아직 패치되지 않은 SMBv3 취약점이 온라인에 유출된 것에 대해 이야기 하고 있다. 많은 전문가들은 이 취약점이 이터널블루(EternalBlue)와 유사한 익스플로잇으로 만들어질 수 있다고 우려하고 있다.마이크로소프트가 오늘 패치한 115개의 버그 중 26개는 치명적 등급을 받았으며 이는 악용하기 쉽고 전체 장

지난해 말 유행했던 ‘핵빗(Hakbit) 랜섬웨어’의 변종이 'Corona Ransomware'(이하 코로나 랜섬웨어)라는 명칭으로 최근 다시 등장했다. 각별한 주의가 요구된다.실제로 이번에 발견된 코로나 랜섬웨어는 핵빗 랜섬웨어와 동작방식에서 여러모로 유사한 부분이 많다. 또한 랜섬노트의 경우, 이번 코로나 랜섬웨어가 랜섬노트를 화면에 띄우는 방식을 비롯해 요구하는 금액과 안내하는 비트코인 지불 사이트, 랜섬노트 내용 등에서 코로나 랜섬웨어가 핵빗 랜섬웨어의 변종으로 추정되고 있다.이번 코로나 랜섬웨어에 감염될 경우 사용자에게 보

중국 보안기업 차이틴 테크(Chaitin Tech)는 아파치 톰캣(Apache Tomcat) AJP 프로토콜에 GhostCat 취약점이 발견됐다고 밝혔다.AJP는 Apache JServ 프로토콜의 약자로 바이너리 포맷에서 HTTP 프로토콜의 성능 최적화 버전이다. 톰캣은 AJP를 아파치 HTTPD 웹서버나 다른 톰캣 인스턴스와 데이터를 교환하기 위해 사용한다. 톰캣의 AJP 커넥터는 기본적으로 활성화되어 있고, 8009 포트로 열려있다.차이틴의 연구원들은 AJP의 버그를 이용해 톰캣 서버에 파일을 읽거나 쓰는 공격을 할 수 있다고

건강, 의학 관련 그리고 중소 쇼핑몰 사이트, 커뮤니티, 게임 사이트 등이 여전히 악성코드 은닉사이트로 활용되고 있어 대책마련이 시급하다.2019년 KISA 악성코드 은닉사이트 탐지 동향 보고서에 따르면, 악성코드 은닉사이트가 유포지는 전년 하반기 대비 12% 감소했고 경유지는 전년 하반기 대비 46% 감소한 수치로 조사됐다.지난 하반기 악성코드 경유지로는 건강/의학(27%), 쇼핑(20%), 커뮤니티(16%), 게임(8%), 제조(6%) 등으로 조사됐다. 보안관리가 제대로 안되고 있는 사이트들이 여전히 많은 상황이다.해커들은 주로

브레인즈스퀘어의 IT 인프라 통합 모니터링 시스템 ‘Zenius’에서 보안취약점 2건이 발견돼 이용기업들은 신속한 보안 업데이트를 적용해야 안전할 수 있다.이번 취약점은 Zenius v6.1 관리자 페이지에서 인증 없이 관리 페이지에 접속 가능한 인증 우회 취약점과 관리자 페이지에서 확장자 점검 기능을 우회해 임의 파일 업로드 및 실행 가능한 취약점이다.이용 기관은 최신 버전인 ‘Zenius 6.1_200121Q’로 업데이트 진행을 해야 안전할 수 있다.★정보보안 대표 미디어 데일리시큐!★

신종 코로나바이러스(코로나 19)에 대한 공포감이 확산되면서 이런 대중의 심리를 악용한 악성코드 유포가 계속되고 있어 각별한 주의가 요구된다.최근 "corona virus" 키워드를 활용한 파일명의 윈도우와 안드로이드 악성코드들이 대량으로 유포 중인 것으로 확인됐다.공격자들은 이메일 첨부파일을 통해 악성코드를 유포 중이며, 이들이 유포한 악성코드들의 명칭에는 공통적으로 ‘coronavirus’(코로나바이러스)라는 키워드가 포함되어 있는 것이 특징이다. 다음은 최근 발견된 악성코드 파일명들이다.△new infected CORONAVI