분석 정보/랜섬웨어 분석 정보310 Gentlemen 랜섬웨어 분석 2025년 중반에 새로 등장해 현재까지 활발히 활동 중인 Gentlemen 랜섬웨어 그룹이 발견됐다. 해당 그룹은 다크 웹에서 위협 행위자를 대상으로 랜섬웨어 서비스와 플랫폼을 홍보하며 Windows, Linux 및 ESXi 등 다양한 OS 버전의 랜섬웨어 샘플을 제공한다. 또한 자체 홈페이지와 X 계정을 운영해 공격에 성공한 피해자의 정보와 탈취한 데이터의 일부를 공개하고 이를 빌미로 금전을 요구하는 이중 갈취 전술을 사용하고 있다. Gentleme 랜섬웨어는 Go 언어 기반의 샘플로 Garble 난독화가 적용돼 분석을 어렵게 하며 샘플마다 실행에 필요한 고유의 패스워드를 가진다. 정확한 패스워드와 함께 랜섬웨어가 실행되면 탐지 회피, 복구 무력화 및 지속성을 설정한 후 파일을 암호화한다. 암호화된 파.. 2026. 8. 5. Payload 랜섬웨어, ETW 패치로 보안 솔루션 탐지 우회 Payload 랜섬웨어는 올해 2월에 첫 등장한 랜섬웨어로 이 조직은 에너지, 의료 및 통신 업체 등을 대상으로 단 기간에 약 30여곳을 공격해 데이터를 탈취했다고 주장하고 있다. 이 랜섬웨어는 스레드를 생성해 네트워크 드라이브를 포함한 모든 드라이브를 대상으로 암호화를 진행하며 ETW(Event Tracing for Windows) 관련 함수의 주소 부분을 패치해 보안 솔루션의 탐지를 우회한다. 또한 NTFS ADS(Alternate Data Stream)을 이용한 자가 삭제로 실행 흔적을 숨기며 실행 인자값을 설정해 암호화 대상 경로와 병렬 스레드 수 및 ETW 우회 여부 등의 악성 동작 실행을 설정 할 수 있다. 추가로, Payload 랜섬웨어는 2021년에 소스코드가 유출된 Babuk 랜섬웨어의 .. 2026. 4. 24. Reynolds 랜섬웨어, BYOVD로 윈도우 디펜더 무력화 올해 2월 등장한 Reynolds 랜섬웨어는 취약한 드라이버를 악용하는 BYOVD(Bring Your Own Vulnerable Driver) 기법을 이용해 보안 프로그램을 무력화하는 특징을 가진다. Reynolds 랜섬웨어를 실행하면 보안 업체 NsecSoft의 커널 드라이버인 NsecKrnl 드라이버를 드롭한 뒤 IOCTL 코드를 이용해 윈도우 디펜더를 비롯한 보안 프로그램을 종료한다. 이러한 방식은 일반적인 랜섬웨어가 보안 프로그램의 프로세스 목록을 확인한 뒤 해당 프로세스를 종료하는 방식과 달리 취약한 드라이버를 이용해 상승된 권한에서 보안 프로그램을 직접 종료한다는 점에서 차이가 있다.이후 Curve25519(X25519)와 HC-128 알고리즘을 이용해 파일 암호화를 수행하며 파일 크기에 따라.. 2026. 3. 6. Git으로 위장한 Cephalus 랜섬웨어 최근 오픈 소스 버전 관리 시스템인 Git으로 위장한 Cephalus 랜섬웨어가 발견됐다. 파일 정보에는 Git for Windows.exe의 2.49.0 버전이라는 설명과 Git 프로그램의 아이콘 및 인증서를 사용하며 정상 파일로 위장해 사용자의 실행을 유도한다. Cephalus 랜섬웨어를 실행하면 파일을 암호화하고 Windows Defender 예외 목록에 해당 랜섬웨어 파일을 추가해 탐지를 방지한다. 그리고 공격자는 사용자 PC를 암호화할 뿐만 아니라 정보를 탈취해 데이터 유출 사이트인 DarkForum에 게시한다. 보안 업체 헌트리스에 따르면 DLL 사이드로딩으로 실행되는 또다른 Cephalus 랜섬웨어를 발견했다고 전했다. 해당 랜섬웨어는 다중 인증(MFA)이 없는 계정을 이용한 원격 데스트톱 .. 2025. 10. 28. BQTLock 랜섬웨어 변종 발견 올해 7월에 새로 등장한 BQTLock 랜섬웨어의 변종이 추가로 발견됐다. 외신 보도에 따르면 해당 랜섬웨어는 친팔레스타인 해커 그룹으로 알려진 Liwaa Mohammed와 관련있으며 ZerodayX라는 공격자가 제작한 것으로 전해진다. 공격자는 자신이 운영하는 X 계정에 공격 기업 정보와 보안 업체 분석 보고서를 게시하고 이어서 BQTLock 랜섬웨어의 리눅스 버전과 유출된 자료를 검색할 수 있는 BAQIYAT.osint 도구 공개도 예고했다. BQTLock 랜섬웨어의 변종에는 안티디버깅과 정보 탈취 및 UAC 우회 기능이 추가됐으며 이 외에는 기존 버전과 동일하게 오픈 소스 기반 OpenSSL 라이브러리로 파일 암호화를 수행하고 보안 프로그램 관련 프로세스를 종료한다. 또한 Explorer.exe를.. 2025. 9. 19. Gunra 랜섬웨어, Conti의 새로운 변종 등장 최근 국내 기업을 대상으로 Gunra 랜섬웨어가 유포돼 서비스가 일시적으로 중단된 사건이 발생했다. 언론에 따르면 공격자는 SSL-VPN 장비의 SSH 서비스 포트에 대한 무차별 대입 공격으로 내부에 침입해 랜섬웨어를 실행한 것으로 전해진다. 해당 공격에 사용된 Gunra는 Conti 랜섬웨어의 변종으로 올해 4월에 처음 등장해 주로 의료, 제조 및 IT 등 다양한 분야를 대상으로 삼았으며 5월에는 두바이의 한 병원에서 환자 데이터를 유출한 정황이 발견됐다. 또한 Gunra가 등장한 초기에는 Windows 버전만 존재했으나 이후 Linux 버전의 변종을 추가하면서 공격 대상을 확장했고 피해 대상과 유출된 데이터의 게시 및 협상을 목적으로 유출 사이트를 운영하고 있다. Gunra 랜섬웨어는 감염된 시스템의.. 2025. 8. 19. 이전 1 2 3 4 ··· 52 다음
