::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

구분: 보안

장르: 악성코드

2019/1/26(금)

러시아의 금융 멀웨어 레다만, 국경 넘어 세계로

원래 레다만은 2015년에 처음 발견된 것으로 RTM 뱅킹 트로이목마라는 이름으로 알려졌다. 주로
러시아 금융기관을 통해 온라인 거래를 하던 사람들을 공격했었다. 레다만은 RTM의 최신화된 버
전으로, 2017년부터 모습을 드러냈다.

2018년 9월부터 12월까지 팔로알토는 “레다만 멀웨어가 러시아어로 광범위하게 배포되고 있
다”고 알렸다. 이 캠페인은 아직까지도 진행되고 있을 뿐만 아니라 러시아를 넘어 전 세계로 퍼지
고 있다.

그래도 가장 주력이 되는 공격 대상은 러시아 이메일 서비스를 사용하는 사람들이다. .ru로 끝나
는 이메일 주소가 주로 공격을 받고 있는 것이다. 공격자들이 보내는 악성 메일에는 압축이 된 윈
도우 실행 파일들이 PDF 형태로 첨부되어 있다. 주로 금융 문제와 관련된 문서인 것처럼 위장되
어 있어, 사용자들이 급한 마음으로 열어보도록 한다는 게 팔로알토의 설명이다.

작년 9~12월까지 팔로알토의 전문가들은 레다만을 첨부하고 있는 악성 메일을 총 3845통 찾아
냈다. 이 이메일이 가장 많이 전송된 곳은 국가별로 러시아(3456), 벨라루스(98), 우크라이나(9
3), 에스토니아(29), 독일(30), 미국(21), 네덜란드(12), 영국(7), 스위스(7), 라트비아(2)다. 가장
많이 받은 곳은 국가별로 러시아(2894), 네덜란드(195), 미국(55), 스웨덴(22), 일본(16), 카자크
스탄(12), 스페인(12), 핀란드(11), 독일(6), 오스트리아(4)이다.

사용자가 PDF 문서인 줄 알고 실행했을 경우 레다만이 실행된다. 제일 먼저는 로컬 호스트의 파
일과 디렉토리들을 확인하면서 특정 목표물을 검색한다. 그리고 발견될 경우 프로세스를 중단하
고 빠져나간다. 팔로알토는 이러한 특성을 봤을 때 레다만이 가상 기계 환경이나 샌드박스 환경
여부를 확인하는 것 같다고 말한다.

하지만 특정 목표물을 찾지 못했다면 실행파일이 프로세스를 계속 진행하고 DLL 파일을 AppDat
a\Local\Temp\ 디렉토리로 다운로드 받는다. 그런 다음 C:\ProgramData\ 폴더 내에 새로
운 폴더를 만들고 그 DLL 파일을 옮긴다. 윈도우 스케줄에 이 DLL을 등록시켜 사용자가 로그온
할 때마다 DLL이 실행되도록 한다.

뿐만 아니라 레다만은 크롬, 파이어폭스, 인터넷 익스플로러를 통한 사용자의 활동, 다운로드된
파일 정보 수집, 키 스트로크 저장, 스크린샷 캡처, 데스크탑 영상 기록, 금융 정보 수집 및 탈취,
스마트 카드 모니터링, 호스트 셧다운, DNS 설정 수정, 클립보드 데이터 탈취, 프로세스 종료, 윈
도우 스토어에 인증서 추가 등을 할 수 있다.

감염이 진행되는 과정 중에 레다만은 C&C 서버로 콜백 트래픽을 주기적으로 전송한다. 서버는
감염 프로세스가 끝난 후 DLL 변종을 레다만으로 전송한다.

“레다만은 2015년에 처음 등장한 이후 각종 변종 형태로 등장해 러시아의 금융 기관과 거래하는
사람들을 지속적으로 노려왔습니다. 지난 해 4사분기 동안에만 레다만을 싣고 퍼지는 스팸 캠페
인이 100개도 넘게 발견되었지요. 새로운 레다만 샘플들은 2019년에도 계속해서 등장할 것으로
보입니다.”

3줄 요약
1. 러시아 금융 기관 사용자들을 노리는 뱅킹 멀웨어, 레다만.
2. 최근 러시아를 넘어 여러 나라로 퍼지기 시작함. 10개국 이상에서 발견됨.
3. 앞으로 꾸준하게 스팸 캠페인 통해 퍼지며 금융 거래 사용자 노릴 듯.

번호	구분	장르	제 목	작성일
8224	보안	악성코드	광고 클릭하자마자…정보 빼가고 PC 마비시키는 악성코드	2019/01/28
8223	해킹	사건/사고	이란 기반의 해커 단체, 76개 대학 정보 빼내	2019/01/27
8222	보안	악성코드	러시아의 금융 멀웨어 레다만, 국경 넘어 세계로	2019/01/26
8221	활용팁	윈도10	PC 저장 공간을 최적화하는 5가지 방법	2019/01/25
8220	보안	패치	MS가 패치하지 않은 취약점 세 가지, 0패치로 해결	2019/01/24
8219	정보	윈도10	마이크로소프트, 2019년 12월 '윈도우 10 모바일' 지원 종료	2019/01/23