최근, FBI가 "Hive" 랜섬웨어 공격과 관련된 정보를 공유했다.
FBI가 공개한 보고서에 따르면 "Hive" 랜섬웨어를 사용하는 조직은 백업 파일 삭제, 보안 솔루션과 관련한 프로세스 종료 등의 행위를 수행한 후, 파일 암호화를 진행한다고 알려졌다.
또한, 이들이 사용하는 파일은 다음과 같다.
- hive.bat : 자가 삭제 등의 삭제 루틴 실행한다.
- Shaow.bat : 볼륨 섀도우 복사본, 백업 파일 및 시스템 스냅샷 등을 삭제한다.
- Winlo.exe : 7zG.exe 파일일 드롭한다.
- 7zG.exe : 7-Zip 압축파일. Winlo_dump 64 SCY.exe 파일일 드롭한다.
- Winlo_dump_64_SCY.exe : 파일 암호화 및 랜섬노트를 생성한다.
출처 : FBI
출처
[1] FBI (2021.08.30) - Indicators of Compromise Associated with Hive Ransomware
https://www.ic3.gov/Media/News/2021/210823.pdf
'최신 보안 동향' 카테고리의 다른 글
| MS Azure - Cosmos 데이터베이스 취약점 발견 (0) | 2021.08.31 |
|---|---|
| CISA, IoT 장비에서 사용하는 칼레이 프로토콜 취약점 보안 권고문 발표 (0) | 2021.08.31 |
| 이란 철도 시스템 공격의 배후로 MBC 랜섬웨어 등장 (0) | 2021.08.31 |
| 국내 보험 기업 베트남 지사 데이터 유출 피해 (0) | 2021.08.27 |
| Ragnarok 랜섬웨어 운영 종료 (0) | 2021.08.27 |