'분석 정보'에 해당되는 글 627건

[주간 랜섬웨어 동향] – 4월 2주차

잉카인터넷 대응팀은 2021년 4월 9일부터 2021년 4월 15일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Genhenna” 외 1건, 변종 랜섬웨어는 “JCrypt” 외 5건이 발견됐다. 2021년 4월 10일 JCrypt 랜섬웨어 파일명에 “.crypted“ 확장자를 추가하고 [그림 1]과 같은 창을 띄우며 “___RECOVER__FILES__.crypted.txt"라는 랜섬노트를 생성하는 "Tripoli" 랜섬웨어의 변종이 발견됐다. Stop 랜섬웨어 파일명에 “.lmas” 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 2021년 4월 11..

분석 정보/랜섬웨어 분석 정보 | 2021. 4. 16. 15:17

안전모드에서 감염하는 Sodinokibi 랜섬웨어 변종

지난 3월 중순, 안전모드에서 파일을 감염하는 기능이 추가된 “Sodinokibi” 랜섬웨어 v2.4가 발견됐다. 또한, 4월 초에 발견된 v2.5에서는 자동로그인 기능을 추가하여 파일 감염의 성능을 끌어올렸다. “Sodinokibi” 랜섬웨어를 실행할 때 [그림 1]과 같이 “-smode”를 인자로 전달하면 재부팅 후 안전모드로 진입하여 감염한다. “-smode”를 인자로 전달받은 “Sodinokibi” 랜섬웨어는 안전 모드 진입을 위해 [표 1]의 명령어를 실행한다. [표 1]의 명령어가 실행되면 부팅 옵션이 [그림 2]와 같이 ‘안전 부팅-네트워크’로 설정된다. 그 후, 안전모드에서 랜섬웨어를 자동 실행하기 위해 [표 2]와 같이 변경된 값에 “*”를 추가하고, 부팅 후 안전 모드 설정 값을 삭제하..

분석 정보/랜섬웨어 분석 정보 | 2021. 4. 13. 09:45

넷플릭스 사칭 악성 앱 분석 보고서

넷플릭스 사칭 앱 최근 코로나 감염 바이러스로 인해, 집콕 생활이 장기화되면서 넷플릭스와 같은 OTT 미디어 서비스의 이용이 급증하고 있다. 이와 함께 해당 플랫폼을 사칭한 안드로이드 앱이 나타나 큰 주의가 필요하다. 해당 악성 앱은 메신저 어플리케이션 중에서 국내외 사용자가 많은 WhatsApp의 정보를 탈취하기에 주의가 필요하다. 해당 악성 앱은 FilxOnline 이라는 이름으로 Google Play 에서 판매되고 있었으며, 하기의 이미지와 같이 넷플릭스를 사칭하여 정상 앱과 유사한 모습과 이름으로 사용자를 속이고 있다. 해당 앱을 실행하면 다음과 같이 과도한 권한을 요구한다. 먼저, 메인 화면의 ‘Allow’ 버튼을 클릭하면 아래의 그림과 같이 오버레이가 가능하도록 설정을 바꾸기를 유도한다. 이는..

분석 정보/모바일 분석 정보 | 2021. 4. 12. 15:40

[주간 랜섬웨어 동향] – 4월 1주차

잉카인터넷 대응팀은 2021년 4월 2일부터 2021년 4월 8일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Tripoli” 외 3건, 변종 랜섬웨어는 “Sodinokibi (REvil)” 외 5건이 발견됐다. 이 중, 재부팅 시 자동으로 로그인하는 기능을 “Sodinokibi (REvil)” 랜섬웨어가 발견됐고, “Cring” 랜섬웨어는 Fortinet VPN의 경로 탐색 취약점인 CVE-2018-13379 취약점을 악용하여 유포됐다. 2021년 4월 2일 Tripoli 랜섬웨어 파일명에 “.uniwinnicrypt“ 확장자를 추가하고 “HOW_FIX_FILES.hta"라는 랜섬노트를 생성하는 "Tripoli" 랜섬웨어가 발견됐다. Dharma 랜섬웨어 파일명에 “..

분석 정보/랜섬웨어 분석 정보 | 2021. 4. 8. 17:11

정상 앱 사칭 Clast82 유포 주의

정상 앱 사칭 Clast82 유포 주의 지난 3월 Google Play 에 정상 앱을 위장한 악성 앱이 다량 발견되었다. 해당 악성코드는 Clast82로 Goolge의 Firebase 플랫폼을 C2서버로 이용하여 악성동작을 하는 특징을 가지고 있으며, 최종 페이로드는 안드로이드 악성 앱으로 악명 높은 AlienBot과 MRAT을 다운로드한다. 하기의 표와 같이 Clast82는 VPN을 비롯하여 여러 종류의 정상 앱으로 위장하였다. 위의 목록 중 다수가 Google Play 에서 삭제되었지만 일부는 아직까지 판매 중에 있어 주의가 필요하다. 해당 앱은 아래의 이미지와 같이, 악성 동작에 필요한 여러 권한을 취한다. 해당 앱은 악성 동작을 수행하기 전, ‘GooglePlayService’라는 이름으로 상태바..

분석 정보/모바일 분석 정보 | 2021. 4. 2. 17:18

[주간 랜섬웨어 동향] – 3월 5주차

잉카인터넷 대응팀은 2021년 3월 26일부터 2021년 4월 1일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Hanta” 외 5건, 변종 랜섬웨어는 “BlackKingdom” 외 2건이 발견됐다. 이 중, “BlackKingdom” 랜섬웨어는 MS Exchange Server 취약점을 악용한 1,500개의 웹 셸을 통해 유포되었다. 또한, 새롭게 등장한 “Hades” 랜섬웨어와 “PhoenixLocker” 랜섬웨어는 “WastedLocker” 랜섬웨어로 유명한 Evil Corp 사이버 공격 그룹과 연관이 있는 것으로 추정된다고 밝혔다. 2021년 3월 26일 BlackKingdom 랜섬웨어 “BlackKingdom” 랜섬웨어와 관련된 1,500개의 웹 셸이 MS E..

분석 정보/랜섬웨어 분석 정보 | 2021. 4. 1. 17:20

리눅스 환경으로 확대된 RansomEXX 랜섬웨어

지난 3월 초 "RasnomEXX" 랜섬웨어가 인도네시아 국영석유회사를 공격하여 데이터를 탈취한 정황이 확인됐다. 해당 랜섬웨어는 2020년 5월 미국 텍사스의 교통국(TxDOT)을 대상으로 한 사이버 공격을 시작으로 다수의 기업 및 공공기관에 피해를 줬다. 특히 2020년 11월에는 리눅스 환경에서 동작하는 변종 랜섬웨어의 등장으로 브라질 고등 법원이 피해를 보았다. 해당 공격에 사용된 변종은 “RansomEXX” 랜섬웨어의 윈도우 버전과 동일한 모듈을 사용하여 파일을 암호화한다는 특징이 있다. RansomEXX 랜섬웨어 피해 사례 2020년 5월 처음 발견된 “RansomEXX” 랜섬웨어의 피해 사례를 조사한 결과, 기업 또는 공공기관을 위주로 공격한 것이 확인됐다. 대표적인 사례로 미국 텍사스의 교..

분석 정보/랜섬웨어 분석 정보 | 2021. 3. 31. 09:42

[주간 랜섬웨어 동향] – 3월 4주차

잉카인터넷 대응팀은 2021년 3월 19일부터 2021년 3월 25일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “SFile” 외 4건, 변종 랜섬웨어는 “Sodinokibi (REvil)” 외 3건이 발견됐다. 이 중, 안전 모드에서 실행하도록 기능을 추가한 “REvil” 랜섬웨어가 발견됐고, “BlackKingdom” 랜섬웨어는 Microsoft Exchange Server 취약점을 악용하여 유포됐다. 2020년 3월 19일 SFile 랜섬웨어 파일명에 “.Technomous-zbtrqyd“ 확장자를 추가하고 “how_to_recover_damaged_documents.txt"라는 랜섬노트를 생성하는 "SFile" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 특정 프로세스..

분석 정보/랜섬웨어 분석 정보 | 2021. 3. 25. 17:06