잉카인터넷 시큐리티대응센터 블로그

국내 특정 기업을 사칭한 Emotet 악성코드 유포 주의 이모텟(Emotet)은 2014년 해외에서 처음 발견되어 금융정보를 탈취하는 악성코드로 현재까지도 유입량이 상위권에 속해있는 악성코드이다. 주로 견적서, 계약서 등 관련 내용의 피싱 메일을 통해 대량으로 유포되며 사용자 정보 탈취, 파일 다운로드 등 악성 동작을 수행한다. 최근 국내 특정기업을 사칭한 피싱 메일을 통해 ‘Emotet’ 악성코드가 유포되고 있어 사용자들의 주의가 필요하다. 해당 피싱 메일은 회의와 관련된 내용으로, 사용자가 첨부된 악성 워드 문서를 열람하도록 유도하고있다. 사용자가 피싱 메일에 첨부된 워드 문서를 열람할 경우, ‘콘텐츠 사용’ 클릭을 유도하고 있다. 본문 내용을 보기 위해 ‘콘텐츠 사용’ 버튼을 클릭할 경우, 악성 매..

Ragnarok 랜섬웨어 감염주의 1. 개요 최근 언어 코드를 확인하여 감염 수행여부를 결정하는 Ragnarok 랜섬웨어가 발견되었다. 해당 랜섬웨어에는 특정 언어 코드와 일치하면 동작을 수행하지 않고, 그 외의 경우에는 랜섬웨어 동작을 수행한다. 한국어는 감염 대상에 포함되기 때문에 국내 사용자의 경우 감염의 위험이 크다. 만약 감염이 된다면 사용자의 PC를 암호화하고, 볼륨 섀도우를 삭제하여 복구를 불가능하도록 하고 금전을 요구한다. 이번 보고서에는 Ragnarok 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 일반적인 랜섬웨어와 같이 이메일을 통해 유포되었을 것으로 추정된다. 2-3. 실행 과정 해당 랜섬웨어의 경우..

개인정보를 탈취하는 Oski Stealer 분석 보고서 1. 개요 최근 발견된 정보 탈취형 악성코드 “Oski Stealer”는 현재 다크웹 및 러시아 포럼에서 판매 글이 게시되고 있다. 해당 악성코드가 사용자의 시스템에서 실행된다면 인터넷 브라우저 계정정보, 암호화폐 지갑정보, 시스템 정보와 같이 사용자의 중요한 개인정보를 탈취하고 있어 주의가 필요하다. 이번 보고서에서는 개인정보를 탈취하는 “Oski Stealer”에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 악성코드는 다크웹 및 러시아 포럼의 판매 글을 통해 유포되고 있으며, 해당 게시 글에는 악성코드의 정보와 텔레그램 아이디가 기재되어 있다. 2-3. 실행 과정 “Oski Stealer”가 실행되면 시스템..

LockBit Ransomware감염 주의 1. 개요 아직 국내에서 감염된 사례는 없지만 지난해부터 출현 중인 “LockBit” 랜섬웨어는 다양한 변종이 출현하며 꾸준히 발견되고 있다. 이 랜섬웨어에 감염되면 .abcd 확장자를 암호화 한 파일에 덧붙이며, 볼륨 섀도우 복사본, 시스템 상태 백업 및 이벤트 로그를 삭제하여 사용자가 정상적인 복구를 하지 못하도록 만든다. 암호화가 완료된 디렉터리에는 랜섬노트가 생성되며 복구 비용의 지불 경로를 알려준다. 최근, 꾸준히 변종이 나오고 있으며, 사용자의 정상적인 PC 사용을 방해하고 있어 상당한 주의가 필요하다. 이번 보고서에서는 “LockBit” 랜섬웨어의 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 실행 과정 LockBit랜섬..

Bladabindi 악성코드 분석 보고서 1. 개요 ‘Bladabindi’ 악성코드는 ‘njRAT’ 으로도 불리며 감염된 PC를 원격으로 제어하는데 사용되는 원격 접근 트로이 목마이다. 해당 악성코드는 2012년경 처음 발견된 것으로 알려지며 2014년도에 급격하게 확산된 기록이 존재하고, 최근 이란의 APT 그룹이 사용하는 공격 도구 중 하나로 알려진다. 이번 보고서에서는 개인정보가 담긴 pdf 파일과 함께 유포되는 ‘Bladabindi’ 악성코드의 주요 악성 동작에 대해 알아본다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 악성코드는 피싱 메일의 첨부파일을 통해 유포될 것으로 추정된다. 2-3. 실행 과정 실행 과정을 보면, 링크 파일 내부에는 난독화 된 vb 스크립트가 hta 형식..

새롭게 등장한 Ako 랜섬웨어 1. 개요 1월 초에 Ako 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어와 유사하게 특정 파일을 제외하고 암호화를 진행한다. 하지만 암호화가 진행되고 난 뒤, Tor 브라우저를 통해 사용자와 소통한다는 특징이 있다. 해당 URL에 연결된 페이지는 랜섬노트의 역할로 사용자에게 금전적인 요구를 전달 하기 때문에 감염 된 사용자의 경우 금전적 손실이 발생할 수 있어 주의가 필요하다. 이번 보고서에는 최근 등장한 Ako 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 일반적인 랜섬웨어와 같이 이메일을 통해 유포되었을 것으로 추정된다. 2-3. 실행 과정 해당 랜섬웨어가 실행되면, 복구가 ..

Zeoticus 랜섬웨어 새롭게 발견 된 Zeoticus 랜섬웨어 감염 주의 1. 개요 최근 모든 파일을 암호화 시키는 Zeoticus 랜섬웨어가 발견되었다. 해당 랜섬웨어는 2019년 12월 30일경 처음 발견 되었으며, 아직 구체적인 피해사례는 알려지지 않았다. 그러나, 새롭게 발견 된 랜섬웨어인 만큼 사용자들은 PC 사용에 있어 관심과 주의가 필요하다. 이번 보고서에는 최근에 새롭게 발견 된 Zeoticus 랜섬웨어 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 랜섬웨어는 일반적인 형태의 랜섬웨어로 정확한 유포 경로는 밝혀지지 않았다. 2-3. 실행 과정 Zeoticus 랜섬웨어 실행 시, 원본파일을 시스템 재부팅 후에도 자동으로 실행 되도록 레지스트리에 등록..

Somik 랜섬웨어 새로 등장한 Somik Ransomware 감염 주의 1. 개요 최근 등장한 “Somik” 랜섬웨어는 “somik1.exe” 파일명으로 발견되었으며, 여러 개의 랜섬노트를 통해 감염사실을 통보한다. 해당 랜섬웨어는 B, C, D 드라이브와 사용자들이 일반적으로 사용하는 EXE, TXT 확장자 파일을 암호화 하여 정상적인 PC 사용을 방해하고 있기 때문에 주의가 필요하다. 이번 보고서에서는 “Somik” 랜섬웨어에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 실행 과정 “Somik” 랜섬웨어 실행 시, 해당 랜섬웨어가 중복 실행 되었다면 알림 창을 띄우고 프로그램을 종료시킨다. 중복 실행되지 않았다면, 사용자 PC 정보를 검색한 뒤 C, B, D 드라이버의 파일을..

1. 개요 최근 “전자상거래 위반행위 조사통지서(19.12.30)”라는 제목으로 공정거래위원회를 사칭한 이메일이 발견되었다. 해당 메일은 공정거래위원회 로고, 도장 등 실제 공문과 유사하며, 첨부된 압축 파일은 정상 문서파일처럼 위장하여 사용자의 실행을 유도하고 있다. 첨부파일은 두 개의 파일로 이루어져 있으며 각각 랜섬웨어, 정보탈취의 악성 행위를 수행하고 있어 사용자의 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 전산 및 비전산자료 보존 요청서(20191230))요청자료 꼭 준비부탁드립니다.exe 파일크기 583,680 bytes 진단명 Trojan/W32.InfoStealer.583680.C 악성 동작 정보 탈취 구분 내용 파일명 전산 및 비전산자료 보존 요청서(20191..

Mermaid 랜섬웨어 새롭게 등장한 Mermaid 랜섬웨어 감염 주의 1. 개요 최근 발견된 “Mermaid (Deniz Kızı)” 랜섬웨어는 KesLan 계열의 악성코드로 알려져 있으며, 다운로더 및 드롭퍼를 통해 “svchost.exe” 파일명으로 유포되고 있다. 해당 랜섬웨어는 터키어로 인어라는 뜻의 Deniz_Kızı라는 확장자 명을 암호화 한 파일에 덧붙이며, 복구 무력화와 작업관리자 비활성화 등 사용자의 정상적인 PC 사용을 방해하고 있어 주의가 필요하다. 이번 보고서에서는 “Mermaid” 랜섬웨어에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 svchost.exe 파일크기 2,499,072 bytes 진단명 Ransom/W32.DP-Mermaid.2499..