이전에 우리는 JAVA 기반에 대해 블로그에 올렸습니다. 제이랫 최근 악성코드가 진화하고 있습니다. Quick Heal Security Labs에서는 실제로 발생하는 jRAT 캠페인을 적극적으로 관찰하고 있습니다. 이러한 자바 악성코드는 피싱 캠페인을 통해 확산됩니다. 이러한 피싱 캠페인 중 하나를 분석하는 동안 인도 국제 대사관 피싱 공격자들의 표적이 되고 있었습니다. 피싱 캠페인에 사용된 악성코드는 jRAT이라는 악명 높은 자바 악성코드였습니다. 피싱 공격자들은 표적 대사관의 공식 이메일 주소로 피싱 이메일을 발송했습니다.
피싱 이메일은 이렇게 생겼습니다.
위 그림에서 볼 수 있듯이, DHL에서 발송한 가짜 발송 알림이 대상 이메일 주소로 발송되었습니다. 이는 전형적인 피싱 이메일 사기의 한 예입니다. 이메일의 전반적인 내용은 깔끔하고 매력적이어서 사용자가 발송 알림에 대한 자세한 정보를 얻기 위해 첨부 파일을 열도록 속일 수 있습니다. 이메일 첨부 파일 "원래 배송 문서.zip”는 “을 포함하는 ZIP 아카이브 파일입니다.원본 배송 문서.jar” 파일입니다. 배송 알림에 “.JAR"파일을 첨부 파일로 다운로드합니다. 사용자가 이 jar 파일을 두 번 클릭하면 악성코드가 실행됩니다. 요즘 많은 애플리케이션이 실행을 위해 JAVA/JRE를 요구합니다. 따라서 최종 사용자 시스템에 JAVA/JRE가 설치되어 있을 가능성이 매우 높습니다. 이로 인해 대상 시스템에서 Java 기반 악성코드가 실행될 가능성이 높아집니다.
Seqrite 검색
해당 대사관을 대상으로 한 이번 피싱 시도는 성공적으로 차단되었습니다. Seqrite JAVA 탐지 기능 "JAR.Suspicious.A"를 사용하는 제품입니다.
감염 사슬
이 JRAT 피싱 캠페인에서 발견된 일반적인 감염 사슬은 다음과 같습니다.
기술적 세부 사항
그림 2에서 볼 수 있듯이, 'Parent JAR' 악성코드를 실행하면 악성코드 내부에 내장된 두 개의 VB 스크립트 파일과 jRAT 악성코드가 '%Temp%' 위치에 생성됩니다. 이 VB 스크립트는 시스템에 설치된 다양한 바이러스 백신 제품과 방화벽 제품을 식별하는 역할을 합니다. 또한 가상 환경을 식별하는 데 필요한 'Win2_PnpSignedDriver' 파이프를 확인합니다. 이 파이프가 열려 있는 것으로 확인되면 악성코드는 활동을 중단합니다.
아래는 VBS 파일 이미지입니다.
삭제된 JRAT 파일 is 에 연결 a CNC 도메인 'vvrhhhnaijyj6s2m.onion[.]top'. 이 CNC 도메인은 46.246.120.179에 호스팅됩니다. 명성 이 도메인 및 IP는 악성입니다 온라인 스캐너. 통신은 다음을 통해 이루어집니다. an SSL 채널.
분석 당시 CNC 서버는 최종 페이로드에 응답하지 않았습니다. 일반적으로 infostelaer 악성코드는 진행 중인 jRAT 캠페인에서 유포되는 것으로 관찰되었습니다.
피싱은 악성코드를 유포하는 오래된 기법이지만, 피셔들이 사용하는 가장 간단하고 효과적인 기법 중 하나입니다. 피셔들은 이 간단한 악성코드 유포 기법을 이용하여, 이번 사례처럼 국내 대사관과 같은 주요 타깃을 노리고 있습니다. 사용자 여러분께서 항상 보안을 유지하시기를 권고드립니다. 엔드포인트 보안 솔루션(EPS) 최신 보안 업데이트로 업데이트하세요.
보안 m확신하다
여기에 인포 그래픽 피싱에 대한 설명입니다. 피싱 공격을 피하는 데 유용한 몇 가지 팁을 알려드리겠습니다.
- 알 수 없거나, 원치 않거나, 예상치 못한 출처에서 온 이메일은 열지 마세요.
- 이런 이메일에 있는 링크를 클릭하거나 첨부 파일을 다운로드하지 마세요.
- .js, .jar, .exe, .pdf 등의 확장자가 있는 이메일 첨부 파일은 열지 마세요.
- Microsoft Office 응용프로그램에서 VBA 매크로를 비활성화합니다.
- 운영 체제, Adobe, Java, 인터넷 브라우저 등의 프로그램에 권장하는 모든 업데이트를 적용하세요.
- 당신의 엔드포인트 보안 솔루션(EPS) 소프트웨어가 최신입니다.
- 정기적으로 파일을 백업하세요.
지시자c의 s타협하다
DHL 배송 알림: 85482550044
원본 배송 문서.zip
원본 배송 문서.jar
F2727B26A75F9DF01E464B9144117AE1
B01F4758F4FD791B851D64FC16B56D08
vvrhhhnaijyj6s2m.onion[.]top
46.246.120.179
주제별 전문가
프라딥 쿨카르니, 프라샨트 카담 | 퀵힐 시큐리티 랩스
