잠그지 않은 해커의 서버 한 대가 워드프레스 수천 곳의 뒷문을 통째로 보여줬다

2026. 7. 10. 21:31

이미지 출처: The Hacker News보안 사고는 보통 피해자 쪽에서 먼저 티가 나는데, 이번엔 순서가 반대였음. 공격자가 자기 도구를 쌓아두던 서버의 접근 제한을 걸어두지 않은 탓에, 연구자들이 그 안을 들여다볼 수 있게 된 것임. 거기서 나온 게 WP-SHELLSTORM이라 불리는 워드프레스 대량 감염 툴킷이었고, 정황상 수천 개의 사이트가 이 도구로 뒷문(백도어)이 심긴 상태였음. 방어하는 입장에서는 오히려 좋은 기회임. 공격자가 어떤 순서로 움직이는지, 무엇을 남기는지가 그대로 드러났으니 탐지 포인트를 역으로 잡을 수 있기 때문임.핵심 요약공격자 서버가 노출되면서 WP-SHELLSTORM이라는 워드프레스 대량 백도어 도구의 동작 방식이 공개됨.취약 플러그인·약한 관리자 자격증명을 발판 삼아 웹..

북한 해커가 오픈소스 저장소에 심은 108개의 덫, PolinRider 캠페인이 노린 건 개발자였다

2026. 7. 4. 21:31

이미지 출처: The Hacker News어느 프리랜서 개발자가 채용 담당자라는 사람에게서 링크 하나를 받는다. "우리 서비스에 버그가 있는데, 이 패키지 설치해서 한번 봐줄 수 있나요?" 이력서 심사 겸 코딩 테스트라는 명목이었다. npm install을 치는 순간, 그 노트북에 저장된 암호화폐 지갑과 브라우저 세션이 바다 건너로 흘러갔다. PolinRider라는 이름으로 묶인 이번 캠페인의 전형적인 시작 장면이다.핵심 요약북한 연계 위협 그룹이 npm·PyPI 같은 공개 저장소와 편집기 확장 마켓에 108개에 달하는 악성 패키지를 뿌린 정황이 드러남.표적은 일반 사용자가 아니라 개발자·구직자이며, 가짜 채용·코딩 테스트를 미끼로 설치를 유도함.방어의 핵심은 '유명해 보이는 이름'을 믿지 말고, 설치 ..

스미싱 문자 링크를 눌렀다면 — 1분 안에 해야 할 점검과 차단 체크리스트

2026. 6. 28. 12:32

이미지 출처: general"[Web발신] 고객님 택배가 주소 불일치로 보관 중입니다. 확인 → http://bit.ly/..." 이런 문자, 다들 한 번쯤 받아보셨죠? 저도 얼마 전 분명히 주문한 것도 없는데 송장 번호가 어쩌고 하는 문자를 받고 손가락이 먼저 움직일 뻔했답니다. 명절이나 연말처럼 택배가 많은 시기엔 정말 감쪽같아서, 평소 침착한 분들도 무심코 누르게 되거든요. 그래서 오늘은 겁주는 이야기 말고, 그 링크를 누르면 실제로 무슨 일이 벌어지는지와 눌러버렸을 때 무엇부터 해야 하는지를 차근차근 정리해 볼게요.핵심 요약스미싱 링크는 대부분 '가짜 페이지로 정보 입력 유도' 또는 '악성 앱 설치 유도' 두 갈래로 작동해요.눌렀다면 입력·설치를 안 했는지부터 확인하고, 그 뒤 비행기모드·앱 점검..

이름은 'Tiny'인데 손은 길다 — 동남아를 훑은 중국어권 APT의 TinyRCT 백도어 해부

2026. 6. 27. 21:31

이미지 출처: The Hacker News몇 KB짜리 실행 파일 하나가 외교·통신 기관의 내부망에서 몇 달을 버틴다. 화려한 익스플로잇도, 제로데이도 없었음. 정상 서명된 프로그램 옆에 슬쩍 올려둔 DLL 하나로 시작된 침투였고, 그 안에서 깨어난 것이 이번에 보고된 TinyRCT라는 백도어임. 동남아시아 여러 표적을 상대로 활동한 중국어권 APT가 새 도구로 들고 나온 물건인데, 덩치가 작다는 게 오히려 방어자를 곤란하게 만드는 지점이라 한 번 뜯어보려 함.핵심 요약중국어권 APT가 동남아 표적을 상대로 경량 백도어 TinyRCT를 배포, 초기 진입은 정상 서명 바이너리를 악용한 DLL 사이드로딩 방식이 핵심임.TinyRCT는 기능을 최소화해 탐지면(detection surface)을 줄인 백도어로, ..

조용히 머무는 백도어 — Turla의 STOCKSTAY를 방어자의 눈으로 따라가기

2026. 6. 26. 21:31

이미지 출처: The Hacker News해킹이라고 하면 보통 요란한 장면을 떠올리기 쉽다. 화면이 잠기고 몸값을 요구하는 랜섬웨어 같은 것 말이다. 그런데 국가 배후 첩보 작전은 정반대다. 들키지 않는 것이 곧 성공이고, 가장 잘 만든 백도어는 몇 달이 지나도 아무도 눈치채지 못한다. 구글 위협 인텔리전스 팀이 공개한 Turla의 신형 백도어 STOCKSTAY는 딱 그 '조용함'을 노린 도구로, 우크라이나를 겨냥한 첩보 공격에서 쓰였음.핵심 요약Turla는 러시아 정부 연계로 알려진 오래된 첩보 그룹이며, STOCKSTAY는 우크라이나 표적을 노린 새 백도어임.이런 백도어는 파괴가 아니라 장기 잠복·정보 탈취가 목적이라, 평소 트래픽과 프로세스 행위를 봐야 흔적이 보임.방어는 단일 시그니처가 아니라 지..

Pharming malware 시연입니다.

2016. 12. 15. 17:12

Pharming malware 파밍 악성코드 동영상입니다. 주의하세욤 :)

python 악성코드 샘플입니다.

2016. 12. 14. 21:16

python 악성코드 샘플입니다. 분석 또는 연구 목적으로만 사용하시기 바랍니다. 모든 책임은 사용자 본인에게 있습니다. import subprocessimport sysimport osimport base64import binasciiimport threadingimport timeimport randomimport stringimport imaplibimport emailimport uuidimport platformimport ctypesimport json#import logging #from traceback import print_exc, format_excfrom base64 import b64decodefrom smtplib import SMTPfrom email.MIMEMultipart ..

악성코드 수집 및 분석 방법

2015. 9. 3. 05:47

HONEY POT을 이용한 악성코드 수집 - 취약한 가상 시스템을 통해 공격자를 유인하여 공격자의 공격정보를 수집하는 시스템 종류 KIPPO - ssh기반 공격 정보를 수집하는 허니팟Glastopf - SQL 인젝션 공격 에물레이터 가능한 허니팟Dionaea - HTTP, FTP, SMB 등의 서비스 등으로 접근하는 악성코드를 수집하는 허니팟 Honey Client를 이용한 악성코드 수집 Honey Client란? 웹 브라우저 통해 특정 웹사이트를 방문 후 발생하는 악성파일을 능동적으로 수집하는 시스템 Honey Client 수집 과정 1-웹 크롤러를 통해 단순 페이지가 수집이 아닌 url의 파일 확장명이 .exe등을 수집2-파일 헤더 부분을 검사하여 실행파일 인지 검증3-바이러스 토탈 또는 분석 환경을..