잉카인터넷 시큐리티대응센터 블로그

지난 11월 처음 발견된 “HelloKitty” 랜섬웨어에 의한 피해 사례가 꾸준히 발견되고 있으며, 최근에는 비디오 게임 개발 업체인 CD PROJEKT RED를 공격한 정황이 포착됐다. 이번 공격으로 인해 피해 기업은 일부 시스템이 암호화되어 업무에 지장을 받았고, 감염된 시스템에 남겨진 랜섬노트에 따르면 “HelloKitty” 랜섬웨어 운영진들이 해당 기업에서 정보를 탈취했다고 알려졌다. 해당 사건이 발생한 후, 피해 업체는 공식 트위터에 사이버 공격을 당했고 이로 인한 몸값 지불 및 협상을 하지 않겠다는 내용을 게시했다. “HelloKitty”에 감염되면 폴더마다 “read_me_lkd.txt”란 이름의 랜섬노트를 생성하여 사용자에게 감염사실을 알린다. 하지만, 이번 CD PROJEKT RED 공..

최근 “BleachGap” 랜섬웨어가 발견되었다. ‘BleachGap’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 볼륨 섀도우 복사본 삭제를 통해 PC 복구가 불가능하도록 하며 마우스 버튼 좌우 반전 및 자주 사용하는 키보드 버튼을 비활성화 하여 사용자를 당혹스럽게 한다. 또한, 랜섬머니 지불 기간을 5일로 제한해 기한이 지나면 부팅을 불가능하게 만든다. “BleachGap” 랜섬웨어를 실행하면 전반적인 랜섬웨어 동작을 담당하는 배치 파일을 드랍한다. 해당 배치 파일은 ‘%USERPROFILE%’ 폴더 및 하위 폴더의 모든 파일을 암호화하며 암호화된 파일의 확장자를 “.lck” 로 변경하고, 감염된 사용자가 시스템을 복원할 수 없도록 볼륨 섀도우 복사본을 삭제한다. 또한, 레지스트..

개요 최근 Clop 랜섬웨어에서 Accellion FTA 제품의 취약점을 이용한 사이버 공격이 발견되어 이슈가 되었다. Accellion 사는 해당 취약점을 보완하기 위해 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Accellion FTA v9_12_380 (CVE-2021-27101, CVE-2021-27104) - Accellion FTA v9_12_416 (CVE-2021-27102, CVE-2021-27103) 참고자료 https://www.accellion.com/company/press-release..

개요 Adobe 사에서 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Acrobat Magento Commerce & Acrobat Magento Open Source v2.4.2, v2.4.1-p1, v2.3.6-p1 - Acrobat DC & Acrobat Reader DC v2021.001.20135 - Acrobat 2020 & Acrobat Reader 2020 v2020.001.30020 - Acrobat 2017 & Acrobat Reader 2017 v2017.011.30190 - Adobe Phot..

지난 2016년도부터 꾸준히 모습을 나타낸 Xorist 랜섬웨어가 또 다른 변종으로 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어와 달리 메시지 창을 띄워 감염사실을 알리는 특이한 모습으로, 특정 확장자에 대하여 파일 감염 동작을 수행한다. 그리고 사용자가 감염된 파일을 실행할 때 오류 메시지 창을 띄워 랜섬노트의 내용과 함께 금전적인 요구를 하기에 주의가 필요하다. Xorist 랜섬웨어의 악성동작이 수행되면, 아래의 이미지와 같이 오류 메시지 창을 띄운다. 위의 메시지 창과 함께 모든 디렉토리 아래에 동일한 내용의 랜섬노트도 생성한다. 해당 랜섬웨어는 사용중인 모든 드라이브를 대상으로 다음의 확장자를 대상으로 암호화 동작을 수행한다. 감염 동작이 수행되면 파일 유형은 “CRYPTED!”로 변경되며, 파..

외신에 따르면 미 당국의 단속으로 인해 “NetWalker” 랜섬웨어의 정보 유출 사이트가 제재를 받았고, 세계적으로 악명높은 “Emotet” 악성코드의 운영진이 유로폴에 체포됐다고 알려졌다. 최근 발생한 일련의 사이버 범죄 행위에 대한 단속 및 검거로 인해 “Fonix”와 “Ziggy” 랜섬웨어 운영자는 위협을 느껴 운영을 중단한다고 발표하고 텔레그램에 복호화 키 및 디크립터(Decryptor)를 공개했다. 이후 카스퍼스키와 엠시소프트에서는 공개된 정보를 사용하여 “Fonix” 및 “Ziggy” 랜섬웨어 전용 디크립터를 제작 및 배포했다. “Fonix” 랜섬웨어 운영자가 지난 1월 30일에 운영을 중단하고 복호화 키를 공개하겠다고 트위터에 게시했고, 관련 정보가 필요하면 트위터에서 다이렉트 메시지 또는..

최근 “Namaste” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 원활한 암호화 동작을 수행하기 위해서 웹 브라우저와 같은 특정 프로세스 이외에 현재 시스템 권한으로 실행되고 있지 않은 모든 프로세스를 종료하고 파일을 암호화한다. 그리고 랜섬노트를 통해 10 유로를 지불하라고 협박하고 있어 사용자의 주의가 필요하다. “Namaste” 랜섬웨어 실행 시, 작업표시줄을 비활성화하고 현재 실행중인 프로세스를 검색하여 [표 1] 목록 이외에 모든 프로세스를 종료한다. 그리고 “WinDecrypt” 라는 이름으로 스케줄러에 등록하여, 시스템 시작 시 “Namaste” 랜섬웨어가 실행되도록 설정한다. 다음 [표 2] 암호화 대상 조건에 부합하는 파일을 암호화하고, “_enc” 확장자를 암호화한 파일에 덧붙인다. 파일을..

“Vovalex” 랜섬웨어는 지난 1월에 발견된 랜섬웨어로 CCleaner Pro, uTorrent Ad-Free 등 설치 프로그램으로 위장해 유포되고 있어 사용자의 주의가 필요하다. 해당 랜섬웨어는 유료 버전인 CCleaner Pro 설치 프로그램으로 위장하고, 불법으로 인증 키를 생성하는 키젠(Keygen) 프로그램을 함께 유포하고 있다고 알려졌다. “Vovalex” 랜섬웨어에 감염되면 “uTorrent” 프로그램 설치와 동시에 ‘.sys’, ‘.ini’, ‘.lnk’ 확장자와 운영체제 구동을 위한 기본적인 시스템 폴더 및 파일을 제외한 모든 파일에 대해 암호화가 진행된다. 파일 암호화가 완료되면 “.vovalex” 이름의 확장자를 덧붙이며 바탕화면에 “README.VOVALEX.TXT” 랜섬노트를 ..

Introduction 올해 1월 해외 보안기업 I사는 ElectroRAT 캠페인을 공개했습니다. 이 캠페인의 악성코드는 GO 언어로 제작되었으며 Windows 뿐만 아니라, MacOS, Linux용 악성 파일을 배포하였습니다. 2020년 1월부터 활동한 것으로 추정되고 있는 이 캠페인은 정상적인 SW프로그램처럼 보이기 위해 독립적인 홈페이지를 구축하고, SNS와 암호화폐 커뮤니티에 정상 프로그램으로 홍보하여 설치를 유도하였습니다. 현재까지 알려진 FakeAPP은 암호화폐 거래 관리용 프로그램인 “eTrader”와 “Jamm”, 암호화폐를 사용하여 포커를 할 수 있는 ”DaoPoker”가 있으며, 해당 파일들은 NSIS포맷의 설치파일로 내부에 FakeApp과 백도어 기능을 수행하는 ElectroRAT으로..

RevengeRAT은 2016년 6월경 처음 등장한 악성코드로 지속적인 업데이트를 통해 현재까지도 유포되고 있다. “Palo Alto Network”의 “Unit 42” 연구팀은 2018년 12월경 서비스업, 특히, 호텔 예약 문서로 위장한 메일을 통해 고객들에게 RAT을 유포해 신용 카드 정보 및 사용자 정보를 탈취한 캠페인이 있었다고 밝혔다. 해당 캠페인에는 다양한 RAT이 사용되었으며 그 중에는 RevengeRAT도 포함되어 있다. (출처 : https://unit42.paloaltonetworks.com/operation-comando-or-how-to-run-a-cheap-and-effective-credit-card-business) 최근 이러한 캠페인이 다시 등장해 브라질의 호텔 체인 기업 ..