잉카인터넷 시큐리티대응센터 블로그

RegretLocker Ransomware 감염 주의 최근 "RegretLocker” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 파일 및 폴더를 제외한 모든 파일에 대해 암호화를 하고, 랜섬노트를 띄운 후 피해자에게 몸값을 요구한다. 또, 가상 하드 디스크 파일(VHD)을 마운트하는 동작과 실행중인 프로세스를 종료한 뒤 암호화하는 동작이 추가되어 효과적인 암호화가 이루어지므로 사용자의 주의가 필요하다. “RegretLocker” 랜섬웨어에 감염되면 [표 1]의 특정 파일 및 폴더를 제외한 모든 확장자의 파일이 암호화 된다. 암호화 이후 파일명의 확장자 뒤에 “.mouse”라는 이름의 확장자를 덧붙인다. 추가적으로 암호화 대상 폴더에 “HOW TO RESTORE FILES”라는 이름으로 txt 확장자의 ..

Clay Ransomware 감염 주의 최근 "Clay” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 폴더에 대해 암호화를 하고, 랜섬노트를 띄워 피해자에게 몸값을 요구한다. 그리고 레지스트리 변조를 통해 부팅이 정상적으로 일어나지 않게 하기 때문에 주의가 필요하다. “Clay” 랜섬웨어에 감염되면 ‘Desktop’ 및 ‘Downloads’ 경로의 모든 확장자를 암호화 한다. 암호화 이후에 파일의 확장자는 바뀌지 않는다. 감염이 완료되면 랜섬노트 창을 띄우며 해당 창을 종료할 수 없도록 만든다. 그리고 랜섬노트 창 아래에 1시간의 시간이 주어지며 해당 시간이 지나면 PC를 강제로 재부팅한다. 랜섬노트 창을 실행 직후 레지스트리 값을 변경하여 사용자가 랜섬웨어를 강제 종료할 수 없도록 작업관리자를 비활성화..

Zeppelin Ransomware 감염 주의 “Zeppelin” 랜섬웨어는 Buran 랜섬웨어의 변종으로 2019년 11월쯤에 발견되었다. 당시 미국과 유럽 회사를 공격했던 랜섬웨어로 알려졌는데 최근 다시 Zeppelin 랜섬웨어가 등장하여 의료 및 기술 분야와 관련된 내용으로 작성한 피싱 이메일을 유포하고 있어 주의가 필요하다. 이번 보고서에서는 “Zeppelin” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 아래 [표 1]의 암호화 제외 목록을 참고하고 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “랜덤명3자리-랜덤명3자리-랜덤명3자리” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “RECOVERY DATA INFORMATION.TXT”..

DogeCrypt Ransomware 감염 주의 최근 “DogeCrypt” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 윈도우 창을 통해 악성 동작의 내용을 설명하고 문서 파일, 이미지 파일 등 사용자의 파일을 암호화하고 있어 주의가 필요하다 이번 보고서에서는 “DogeCrypt” 랜섬웨어에 대해 알아보고자 한다. “DogeCrypt” 랜섬웨어 실행 시, C 드라이브의 파일을 검색하여 [표 1] 암호화 대상 목록의 조건에 부합하는 파일을 암호화하고 “[dogeremembersss@protonmail.ch] .DogeCrypt” 확장자를 덧붙인다. 파일 암호화 이후, 'C:\' 경로에 “DOGECRYPTinfo.jpg” 파일을 생성하고 해당 파일을 다음 [그림 3]과 같이 바탕 화면으로 설정한다. 그리고 바탕화..

Ranzy Locker Ransomware 감염 주의 지난 8월에 발견된 “ThunderX” 랜섬웨어가 “Ranzy Locker”로 이름을 변경하여 활동을 이어가고 있다. 더욱이 랜섬머니를 지불하지 않는 피해자를 협박하기 위한 데이터 유출 사이트를 운용하기 시작했다고 한다. 해당 랜섬웨어에 감염되면 파일 암호화 및 확장자에 “.RNZ”가 추가되며, 폴더마다 “readme.txt”란 이름의 랜섬노트가 생성된다. 또한, 볼륨 섀도우 복사본과 시스템 상태 백업 등 복구와 관련된 데이터를 삭제하여 랜섬머니를 지불하지 않으면 복구가 어렵게 만들므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Ranzy Locker” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Ranzy Locker” 랜섬웨어에 감염되면 폴더마..

Nibiru Ransomware 감염 주의 최근 "Nibiru” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 확장자에 대해 암호화를 한 후 화면을 잠그며 작업 관리자를 실행할 수 없게 설정하여 잠금 화면을 종료할 수 없게 한다. 감염 이후 피해자에게 몸값을 요구하므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Nibiru” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Nibiru” 랜섬웨어에 감염되면 [표 1]의 암호화 제외 폴더를 제외한 경로의 대상 확장자를 암호화한다. 암호화 이후에 파일명의 확장자 뒤에 “.Nibiru”라는 이름의 확장자를 덧붙인다. 해당 랜섬웨어는 랜섬 노트를 파일로 드랍하지 않는다. 대신 화면을 잠그며 해당 잠금 화면에 랜섬 노트가 작성되어 있다. 레지스트리 값을 추가하여 사..

Animus Ransomware 감염 주의 “Animus” 랜섬웨어는 excel.exe, winword.exe, outlook.exe등 특정 프로세스를 종료하고 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “Animus” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 시스템과 관련된 파일 및 폴더 이외의 파일을 대상으로 아래 [표 1]과 같은 확장자 파일에 대해 암호화를 진행하고 “랜덤파일명.desu”로 변경한다. 또한 암호화 대상 경로마다 “@_DECRYPT_@.txt, @_DECRYPT2_@.txt, @_DECRYPT3_@.txt” 랜섬노트를 생성하는데, 3개의 랜섬노트는 모두 동일한 내용을 갖고 있다. 이번 보고서에서 알아본 “Animus” 랜섬웨어는 특정 프로세스를 종..

Badbeeteam Ransomware 감염 주의 최근 “Badbeeteam” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 배치파일을 통해 Oracle, SQL 등 데이터베이스 시스템과 관련된 서비스를 중지 시킨 뒤, 사용자의 파일을 암호화하고 있어 주의가 필요하다. 이번 보고서에서는 “Badbeeteam” 랜섬웨어에 대해 알아보고자 한다. “Badbeeteam” 랜섬웨어 실행 시 ‘사용자 폴더\AppData\Roaming\Microsoft\Visio’경로에 “start.bat” 배치파일을 생성 후 실행하여, 아래 [표 1]의 서비스를 중지시킨다. 그리고 시스템의 파일을 검색하여 “Windows” 폴더 이외에 파일들을 암호화하고, CRPTD 확장자를 덧붙인다. 파일 암호화 이후 ‘사용자 폴더\AppData\R..

Zhen Ransomware 감염 주의 최근 “Zhen” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 현재 실행중인 프로그램들을 종료시키고, 복구 무력화 및 사용자의 파일을 암호화 하고 있어 주의가 필요하다. 이번 보고서에서는 “Zhen” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Zhen” 랜섬웨어 실행 시 ‘ProgramData’ 폴더에 원본과 동일한 파일명으로 복사 후 실행하고, [표 1]과 같이 복원 지점 삭제, 윈도우 복구 모두 비활성화 등 정상적인 복구를 방해하기 위한 명령을 수행한다. 그리고 현재 실행중인 프로세스 목록을 확인한 뒤, [표 2]의 목록에 해당하는 프로세스를 모두 종료시킨다. 프로세스 종료 후, 시스템의 파일을 검색하여 [표 3]의 암호화 대상 목록과 비교하여 조건에 부합하는 파일..

P4YME Ransomware 감염 주의 최근 "P4YME" 랜섬웨어가 발견되었다. 해당 랜섬웨어는 파일을 암호화하는 대신 감염된 PC의 화면을 잠근 후 몸값을 요구한다. 만약, “P4YME” 랜섬웨어에 감염된 경우 정상적인 작업을 불가능하게 하여 상당한 주의가 필요하다. 이번 보고서에서는 “P4YME” 랜섬웨어에 대해 간략하게 알아보고자 한다. “P4YME” 랜섬웨어가 실행되면 잠금 화면을 표시하여 사용자가 감염된 PC를 정상적으로 사용하지 못하도록 한다. 또한, [그림 1]과 같이 랜섬노트를 띄워 잠금을 해제하기 위한 몸값으로 75유로(€ 75)를 요구한다. “P4YME” 랜섬웨어는 [그림 1]의 랜섬노트 생성 및 잠금 화면 표시 이전에 원활한 감염을 위해 [표 1]에 작성된 7개의 프로세스를 종료한..