백신 예외 폴더가 ValleyRAT의 안전가옥이 됐다

2026. 8. 31. 21:32

이미지 출처: The Hacker News사용자가 백신 설정 창을 열고, 예외 경로에 폴더 하나를 손수 추가한다. 설치가 자꾸 막히니까, 화면에 뜨는 안내대로. 그 클릭 한 번으로 그 폴더 안의 모든 파일은 검사 대상에서 영구히 빠지고, ValleyRAT은 바로 그 자리에 자기 집을 짓는다. 이번 사례가 불편한 이유는 익스플로잇이 정교해서가 아니라, 보안 제품을 무력화한 게 공격자가 아니라 피해자 본인이라서다.핵심 요약유효한 코드서명이 붙은 애드웨어·유틸리티가 미끼로 쓰이며, 사용자가 직접 백신 예외 경로를 등록하도록 유도함예외 폴더 안에서 정상 서명 실행파일이 악성 DLL을 사이드로딩해 ValleyRAT 백도어를 메모리에 올림방어의 초점은 시그니처가 아니라 예외 목록 자체를 자산으로 관리하고 감사하는 ..

"인증하려면 Win+R을 누르세요": TerminalFix가 노린 건 브라우저가 아니라 사람이었다

2026. 8. 30. 21:32

이미지 출처: The Hacker News페이지 하나가 뜹니다. 익숙한 주황색 로고, 익숙한 "사람인지 확인하는 중" 문구. 그런데 이번엔 체크박스가 없어요. 대신 "확인을 완료하려면 Win+R을 누르고 Ctrl+V, Enter를 눌러주세요"라는 안내가 뜹니다. 여기서 손이 먼저 움직인 사람과, 잠깐 멈춘 사람. TerminalFix라는 이름이 붙은 이번 캠페인은 정확히 그 0.5초의 차이를 노렸습니다.핵심 요약가짜 Cloudflare 인증 화면으로 사용자가 직접 악성 명령을 복사·실행하게 만드는 ClickFix 계열 초기침투 기법임최종 목적은 정상 터널링 서비스를 악용한 리버스 터널 백도어로, 아웃바운드 연결만 쓰기 때문에 방화벽 인바운드 정책을 그대로 우회함방어 지점은 페이로드가 아니라 실행 경로에 ..

첨부파일 하나에서 인형이 계속 나왔다 — 로펌을 노린 HollowFrame 로더 분해기

2026. 8. 2. 21:31

이미지 출처: The Hacker News러시아 인형 마트료시카를 열면 안에 또 인형이 있고, 그 안에 또 있음. 이번에 로펌을 겨냥한 스피어피싱 캠페인에서 발견된 백도어에 Matryoshka라는 이름이 붙은 이유가 딱 그거임. 메일 첨부 하나를 열었을 뿐인데 로더가 나오고, 로더 안에서 또 다른 단계가 나오고, 마지막에야 진짜 백도어가 메모리에 앉음. 그리고 그 첫 껍데기 역할을 한 게 HollowFrame이라는 로더임.핵심 요약로펌 임직원을 겨냥한 표적 스피어피싱 → 정상 서명 실행파일 + 악성 DLL 사이드로딩으로 HollowFrame 로더 실행로더가 여러 겹으로 복호화·주입하는 다단계 구조라 디스크에는 최종 백도어가 거의 남지 않음방어 포인트는 페이로드 시그니처가 아니라 비정상 부모-자식 프로세스..

잠그지 않은 해커의 서버 한 대가 워드프레스 수천 곳의 뒷문을 통째로 보여줬다

2026. 7. 10. 21:31

이미지 출처: The Hacker News보안 사고는 보통 피해자 쪽에서 먼저 티가 나는데, 이번엔 순서가 반대였음. 공격자가 자기 도구를 쌓아두던 서버의 접근 제한을 걸어두지 않은 탓에, 연구자들이 그 안을 들여다볼 수 있게 된 것임. 거기서 나온 게 WP-SHELLSTORM이라 불리는 워드프레스 대량 감염 툴킷이었고, 정황상 수천 개의 사이트가 이 도구로 뒷문(백도어)이 심긴 상태였음. 방어하는 입장에서는 오히려 좋은 기회임. 공격자가 어떤 순서로 움직이는지, 무엇을 남기는지가 그대로 드러났으니 탐지 포인트를 역으로 잡을 수 있기 때문임.핵심 요약공격자 서버가 노출되면서 WP-SHELLSTORM이라는 워드프레스 대량 백도어 도구의 동작 방식이 공개됨.취약 플러그인·약한 관리자 자격증명을 발판 삼아 웹..

북한 해커가 오픈소스 저장소에 심은 108개의 덫, PolinRider 캠페인이 노린 건 개발자였다

2026. 7. 4. 21:31

이미지 출처: The Hacker News어느 프리랜서 개발자가 채용 담당자라는 사람에게서 링크 하나를 받는다. "우리 서비스에 버그가 있는데, 이 패키지 설치해서 한번 봐줄 수 있나요?" 이력서 심사 겸 코딩 테스트라는 명목이었다. npm install을 치는 순간, 그 노트북에 저장된 암호화폐 지갑과 브라우저 세션이 바다 건너로 흘러갔다. PolinRider라는 이름으로 묶인 이번 캠페인의 전형적인 시작 장면이다.핵심 요약북한 연계 위협 그룹이 npm·PyPI 같은 공개 저장소와 편집기 확장 마켓에 108개에 달하는 악성 패키지를 뿌린 정황이 드러남.표적은 일반 사용자가 아니라 개발자·구직자이며, 가짜 채용·코딩 테스트를 미끼로 설치를 유도함.방어의 핵심은 '유명해 보이는 이름'을 믿지 말고, 설치 ..

스미싱 문자 링크를 눌렀다면 — 1분 안에 해야 할 점검과 차단 체크리스트

2026. 6. 28. 12:32

이미지 출처: general"[Web발신] 고객님 택배가 주소 불일치로 보관 중입니다. 확인 → http://bit.ly/..." 이런 문자, 다들 한 번쯤 받아보셨죠? 저도 얼마 전 분명히 주문한 것도 없는데 송장 번호가 어쩌고 하는 문자를 받고 손가락이 먼저 움직일 뻔했답니다. 명절이나 연말처럼 택배가 많은 시기엔 정말 감쪽같아서, 평소 침착한 분들도 무심코 누르게 되거든요. 그래서 오늘은 겁주는 이야기 말고, 그 링크를 누르면 실제로 무슨 일이 벌어지는지와 눌러버렸을 때 무엇부터 해야 하는지를 차근차근 정리해 볼게요.핵심 요약스미싱 링크는 대부분 '가짜 페이지로 정보 입력 유도' 또는 '악성 앱 설치 유도' 두 갈래로 작동해요.눌렀다면 입력·설치를 안 했는지부터 확인하고, 그 뒤 비행기모드·앱 점검..

이름은 'Tiny'인데 손은 길다 — 동남아를 훑은 중국어권 APT의 TinyRCT 백도어 해부

2026. 6. 27. 21:31

이미지 출처: The Hacker News몇 KB짜리 실행 파일 하나가 외교·통신 기관의 내부망에서 몇 달을 버틴다. 화려한 익스플로잇도, 제로데이도 없었음. 정상 서명된 프로그램 옆에 슬쩍 올려둔 DLL 하나로 시작된 침투였고, 그 안에서 깨어난 것이 이번에 보고된 TinyRCT라는 백도어임. 동남아시아 여러 표적을 상대로 활동한 중국어권 APT가 새 도구로 들고 나온 물건인데, 덩치가 작다는 게 오히려 방어자를 곤란하게 만드는 지점이라 한 번 뜯어보려 함.핵심 요약중국어권 APT가 동남아 표적을 상대로 경량 백도어 TinyRCT를 배포, 초기 진입은 정상 서명 바이너리를 악용한 DLL 사이드로딩 방식이 핵심임.TinyRCT는 기능을 최소화해 탐지면(detection surface)을 줄인 백도어로, ..

조용히 머무는 백도어 — Turla의 STOCKSTAY를 방어자의 눈으로 따라가기

2026. 6. 26. 21:31

이미지 출처: The Hacker News해킹이라고 하면 보통 요란한 장면을 떠올리기 쉽다. 화면이 잠기고 몸값을 요구하는 랜섬웨어 같은 것 말이다. 그런데 국가 배후 첩보 작전은 정반대다. 들키지 않는 것이 곧 성공이고, 가장 잘 만든 백도어는 몇 달이 지나도 아무도 눈치채지 못한다. 구글 위협 인텔리전스 팀이 공개한 Turla의 신형 백도어 STOCKSTAY는 딱 그 '조용함'을 노린 도구로, 우크라이나를 겨냥한 첩보 공격에서 쓰였음.핵심 요약Turla는 러시아 정부 연계로 알려진 오래된 첩보 그룹이며, STOCKSTAY는 우크라이나 표적을 노린 새 백도어임.이런 백도어는 파괴가 아니라 장기 잠복·정보 탈취가 목적이라, 평소 트래픽과 프로세스 행위를 봐야 흔적이 보임.방어는 단일 시그니처가 아니라 지..

Pharming malware 시연입니다.

2016. 12. 15. 17:12

Pharming malware 파밍 악성코드 동영상입니다. 주의하세욤 :)

python 악성코드 샘플입니다.

2016. 12. 14. 21:16

python 악성코드 샘플입니다. 분석 또는 연구 목적으로만 사용하시기 바랍니다. 모든 책임은 사용자 본인에게 있습니다. import subprocessimport sysimport osimport base64import binasciiimport threadingimport timeimport randomimport stringimport imaplibimport emailimport uuidimport platformimport ctypesimport json#import logging #from traceback import print_exc, format_excfrom base64 import b64decodefrom smtplib import SMTPfrom email.MIMEMultipart ..

악성코드 수집 및 분석 방법

2015. 9. 3. 05:47

HONEY POT을 이용한 악성코드 수집 - 취약한 가상 시스템을 통해 공격자를 유인하여 공격자의 공격정보를 수집하는 시스템 종류 KIPPO - ssh기반 공격 정보를 수집하는 허니팟Glastopf - SQL 인젝션 공격 에물레이터 가능한 허니팟Dionaea - HTTP, FTP, SMB 등의 서비스 등으로 접근하는 악성코드를 수집하는 허니팟 Honey Client를 이용한 악성코드 수집 Honey Client란? 웹 브라우저 통해 특정 웹사이트를 방문 후 발생하는 악성파일을 능동적으로 수집하는 시스템 Honey Client 수집 과정 1-웹 크롤러를 통해 단순 페이지가 수집이 아닌 url의 파일 확장명이 .exe등을 수집2-파일 헤더 부분을 검사하여 실행파일 인지 검증3-바이러스 토탈 또는 분석 환경을..