분석 정보877 Reynolds 랜섬웨어, BYOVD로 윈도우 디펜더 무력화 올해 2월 등장한 Reynolds 랜섬웨어는 취약한 드라이버를 악용하는 BYOVD(Bring Your Own Vulnerable Driver) 기법을 이용해 보안 프로그램을 무력화하는 특징을 가진다. Reynolds 랜섬웨어를 실행하면 보안 업체 NsecSoft의 커널 드라이버인 NsecKrnl 드라이버를 드롭한 뒤 IOCTL 코드를 이용해 윈도우 디펜더를 비롯한 보안 프로그램을 종료한다. 이러한 방식은 일반적인 랜섬웨어가 보안 프로그램의 프로세스 목록을 확인한 뒤 해당 프로세스를 종료하는 방식과 달리 취약한 드라이버를 이용해 상승된 권한에서 보안 프로그램을 직접 종료한다는 점에서 차이가 있다.이후 Curve25519(X25519)와 HC-128 알고리즘을 이용해 파일 암호화를 수행하며 파일 크기에 따라.. 2026. 3. 6. 잠금 패턴을 탈취하는 악성 앱 DroidLock 최근 스페인어권의 안드로이드 사용자를 대상으로 유포되는 악성 앱 DroidLock이 발견됐다. DroidLock은 피싱 웹사이트에서 정상 앱으로 위장해 내부에 실제 악성 동작을 수행하는 추가 APK가 숨겨진 형태로 배포됐다. 해당 악성 앱은 오버레이 공격으로 사용자에게 잠금 해제 패턴을 입력하도록 유도해 자격 증명을 탈취하거나 VNC(Virtual Network Computing) 기능으로 실시간 화면 스트리밍 및 원격 제어를 수행한다. 또한 실제로 파일을 암호화하지는 않지만 화면을 잠근 후 협박 문구가 포함된 페이지를 띄워 랜섬웨어처럼 금전을 요구하기도 한다. Stage 1문자열 복호화DroidLock 악성 앱의 유포 파일과 해당 파일 내 포함된 추가 APK는 클래스명, 명령어 및 로그 메시지 등의 .. 2026. 2. 24. ISO 파일로 유포되는 Phantom Stealer 2025년 말에 오픈소스 코드를 이용해 제작 및 판매하던 Phantom Stealer의 다른 유형이 최근 발견됐다. 기존에는 여러 자바스크립트가 공격자의 C&C 서버와 통신하며 최종 페이로드인 Phantom Stealer를 다운로드하지만 이번 유형은 ISO 파일이 첨부된 피싱 메일로 사용자에게 ISO 이미지 마운트를 유도하고 Phantom Stealer를 실행하는 EXE 파일을 유포한다. ISO 이미지 내의 EXE 파일을 실행하면 스테가노그래피 기법으로 숨겨진 이미지에서 악성 DLL을 추출하고 파일리스 형태로 실행한다. 악성 DLL은 최종 페이로드인 Phantom Stealer를 실행하고 이전 사례와 비교해 악성 동작 실행 여부를 설정하는 Config 값은 다르지만 웹 브라우저 데이터 및 암호화폐 지갑 .. 2026. 2. 13. NSIS 플러그인을 악용해 유포되는 Lumma Stealer 최근 NSIS 인스톨러의 기본 플러그인만을 이용해 Lumma Stealer를 유포하는 악성코드가 발견됐다. 해당 NSIS 샘플은 설치 데이터에 기본 플러그인 파일 외 다른 파일이 존재하지 않아 겉으로는 무해한 파일처럼 보이지만 실제로 실행하면 백그라운드에서 Lumma Stealer를 다운로드한다. NSIS 인스톨러 내부에는 설치 관련 동작을 정의하는 .nsi 스크립트가 포함돼 있으며 본 샘플은 이를 이용해 기본 플러그인 중 네트워크 기능을 제공하는INetC.dll의 API를 직접 호출하고 원격지에서 악성 파일을 다운로드하도록 설계됐다. 다운로드된 Lumma Stealer는 공격자가 운영하는 C&C 서버와 연결 후 시스템에서 정보를 탈취하고 추가 페이로드를 다운로드해 실행할 수 있다. 먼저 NSIS 샘플을.. 2026. 1. 29. Yokai 백도어를 유포하는 SnakeDisk 웜 SnakeDisk 는 Mustang Panda 가 사용하는 USB 웜으로써 실행 시 전달되는 커맨드 인자에 따라 USB 감염 동작을 수행하거나 Yokai 백도어를 드롭해 실행할 수 있다. USB 감염 시 지리적 조건, 암호화된 설정 파일이 필요하며 감염 조건이 만족되면 시스템에 연결되는 USB 의 본래 파일들을 숨기고 최상위 경로에 SnakeDisk 와 실행 파일만 남겨 사용자의 실행을 유도한 SnakeDisk 는 바코드를 읽는 프로그램 Barcode Reader SDK 의 실행 파일 중 하나인 “SDTBarcode.dll” 파일로 위장하고 있다. Barcode Reader SDK 의 구성 파일 중 하나인 “SDTBarcodeDemo.exe” 는 실행 시 “SDTBarcode.dll” 파일을 로딩하는 .. 2025. 12. 24. USB를 감지해 전파하는 HIUPAN 웜 U2DiskWatch, MISTCLOAK 라는 이름으로도 알려진 HIUPAN 은 Mustang Panda 가 사용하는 USB Worm 이다. 이 악성 파일은 DLL 파일로 정상 EXE 파일이 실행됨에 따라 악성코드를 로딩하는 DLL 사이드로딩 기법을 이용해 실행된다. 로딩된 악성 코드는 감염된 Windows 시스템에서 실행된 경우 주기적으로 시스템에 연결되는 USB 를 탐지 및 감염시키며 USB 에서 실행된 경우 연결된 Windows 시스템을 감염시키고 함께 복사된 Payload 악성 파일을 실행한다. HIUPAN은 정상 파일인 “UsbConfig.exe”의 구성요소인 “u2ec.dll”로 위장해 실행된다. “u2ec.dll” 은 이동식 디스크에서 실행될 시 연결된 시스템의 ‘C:\ProgramData.. 2025. 12. 24. 이전 1 2 3 4 ··· 147 다음
