잉카인터넷 시큐리티대응센터 블로그

잉카인터넷 대응팀은 2021년 8월 20일부터 2021년 8월 26일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Eqautor"외 4건, 변종 랜섬웨어는 "Stop" 1건이 발견됐다. 2021년 8월 21일 Eqautor 랜섬웨어 파일명을 변경하지 않고 [그림 1]의 랜섬노트를 생성하는 "Eqautor" 랜섬웨어가 발견됐다. 2021년 8월 22일 Razor 랜섬웨어 파일명에 “.[랜덤 문자열]” 확장자를 추가하고 “READ TO UN-HACk”이라는 랜섬노트를 생성하는 “Razor” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 바탕화면 배경을 변경한다. DemonWare 랜섬웨어 파일명에 “.Demon” 확장자를 추가하고 “README.txt”라는 랜섬노트를 생성하는 “D..

국내 유명 보험 대기업이 "Conti" 랜섬웨어 공격에 의해 데이터 유출 피해를 입은 것으로 보인다. 현재 공식적인 피해 기업의 발표는 없지만 "Conti" 랜섬웨어 그룹이 운영하는 데이터 유출 사이트에 2021년 8월 26일자로 해당 기업의 데이터가 게시됐다. 데이터는 주로 베트남 고객의 개인정보로 확인되며 총 49개의 파일을 첨부되어 있다. 출처 [1] RedPacket Security (2021.08.27) – Conti Ransomware Victim https://www.redpacketsecurity.com/conti-ransomware-victim-vsgumj_hanwha_life_vietnam/

최근까지 유포됐던 Ragnarok 랜섬웨어가 운영을 종료한 것으로 보인다. 현재 Ragnarok 랜섬웨어가 운영하는 데이터 유출 사이트의 이름이 "Decrypt Site"로 변경되었으며 "DECRYPT"라는 제목의 게시글 이외에 모두 삭제됐다. 이에 대해 데이터 복호화 전문 기업인 "Emsisoft"에서는 유출 사이트에 게시된 복호화 툴을 이용하여 범용 복호화 툴을 제작하고 있으며 곧 출시될 것이라고 밝혔다. 출처 [1] Bleeping Computer (2021.08.27) – Ragnarok ransomware releases master decryptor after shutdown https://www.bleepingcomputer.com/news/security/ragnarok-ransomware..

지난 2021년 3월부터 구글 플레이를 포함한 서드 파티 앱 스토어에 업로드되어 만 명 이상의 피해자를 발생시킨 새로운 안드로이드 악성 앱이 발견되었다. 이를 처음으로 발표한 해외 정보 보안 회사 Zimperium 으로부터 FlyTrap 으로 명명된 이 악성 앱은 기존의 정보 탈취형 앱과는 다르게 Facebook 과 관련된 개인정보만을 노린다. FlyTrap 은 무료 쿠폰 제공, 설문 조사 투표 앱, 등으로 위장한 후, 앱 기능을 이용하기 위해 사용자에게 Facebook 계정으로 접속할 것을 요구한다. 아래 앱은 평소에는 무료 Netflix 쿠폰을 제공하는 앱으로 위장하지만, C&C 서버로부터 명령을 받으면 Facebook 계정 접속 버튼이 활성화된다. 활성화된 버튼을 클릭하면 정상적인 Facebook ..

최근, 국내외 많은 사용자를 보유하고 있는 메시지 앱 WhatsApp의 추가 옵션 기능을 제공하는 앱으로 위장한 Triada 악성코드가 등장하였다. 해당 악성코드는 'FMWhatsApp' 이름으로 유포되었으며, WhatsApp이 기존에 가지고 있지 않은 특정 대화를 숨기는 옵션, 보낸 사람이 삭제한 메시지 보기 옵션 등의 추가 기능을 제공한다고 알려졌다. Triada 악성코드는 사용자 단말기의 정보를 탈취하거나 SMS 메시지에 접근하는 등의 악성동작을 수행한다. 사진 출처: Kaspersky 출처 [1] Kaspersky (2021.08.27) – Triada Trojan in WhatsApp mod https://securelist.com/triada-trojan-in-whatsapp-mod/103679/

Microsoft를 사칭한 비밀번호 변경 피싱 메일 주의! 최근 Microsoft를 사칭해 Outlook 계정의 비밀번호를 변경하라는 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 해당 피싱 메일은 링크가 첨부된 메일로 비밀번호가 만료돼 변경해야한다는 내용으로 링크로 접속하도록 유도하고 있다. 첨부된 링크에 접속할 경우 Microsoft 로그인 사이트로 연결되고, 비밀번호를 입력하도록 유도한다. 그 후, 패스워드를 입력하면 잘못된 비밀번호라는 문구와 함께 다시 입력할 것을 요청한다. 이는 피싱 사이트라는 것을 판별하기 위해 사용자가 무작위로 패스워드를 입력하는 것에 대한 방안으로 적용된 기법으로 추정된다. 두번째 패스워드를 입력하면 공격자의 또 다른 서버로 리디렉션된다. 리디렉션된 사이트는 연락을 달..