본문 바로가기

분석 정보874

Discord Nitro 월정액 서비스를 요구하는 랜섬웨어 (Nitro 랜섬웨어) 최근 새롭게 등장한 “Nitro” 랜섬웨어는 일반적인 랜섬웨어와 달리 9.9달러에 달하는 Discord Nitro 서비스 정액권을 랜섬머니로 요구한다. Discord Nitro 서비스란 Discord 내에서 사용할 수 있는 다양한 이모티콘을 추가적으로 이용할 수 있고, 대용량 파일 업로드 기능을 지원하는 서비스다. 또한, 해당 랜섬웨어는 이러한 서비스를 무료로 사용할 수 있는 툴로 위장하여 유포되고 있다. “Nitro” 랜섬웨어는 감염된 사용자의 Discord 토큰과 PC 정보를 탈취하고, 특정 경로의 파일을 암호화한다. 하지만 암호화된 파일의 복호화 키를 텍스트 파일에 저장하기 때문에 랜섬머니를 지불하지 않고도 파일의 복구가 가능하다. “Nitro” 랜섬웨어는 암호화 이전에 PC를 재부팅 할 때 자동으.. 2021. 4. 22.
[주간 랜섬웨어 동향] – 4월 2주차 잉카인터넷 대응팀은 2021년 4월 9일부터 2021년 4월 15일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Genhenna” 외 1건, 변종 랜섬웨어는 “JCrypt” 외 5건이 발견됐다. 2021년 4월 10일 JCrypt 랜섬웨어 파일명에 “.crypted“ 확장자를 추가하고 [그림 1]과 같은 창을 띄우며 “___RECOVER__FILES__.crypted.txt"라는 랜섬노트를 생성하는 "Tripoli" 랜섬웨어의 변종이 발견됐다. Stop 랜섬웨어 파일명에 “.lmas” 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 2021년 4월 11.. 2021. 4. 16.
안전모드에서 감염하는 Sodinokibi 랜섬웨어 변종 지난 3월 중순, 안전모드에서 파일을 감염하는 기능이 추가된 “Sodinokibi” 랜섬웨어 v2.4가 발견됐다. 또한, 4월 초에 발견된 v2.5에서는 자동로그인 기능을 추가하여 파일 감염의 성능을 끌어올렸다. “Sodinokibi” 랜섬웨어를 실행할 때 [그림 1]과 같이 “-smode”를 인자로 전달하면 재부팅 후 안전모드로 진입하여 감염한다. “-smode”를 인자로 전달받은 “Sodinokibi” 랜섬웨어는 안전 모드 진입을 위해 [표 1]의 명령어를 실행한다. [표 1]의 명령어가 실행되면 부팅 옵션이 [그림 2]와 같이 ‘안전 부팅-네트워크’로 설정된다. 그 후, 안전모드에서 랜섬웨어를 자동 실행하기 위해 [표 2]와 같이 변경된 값에 “*”를 추가하고, 부팅 후 안전 모드 설정 값을 삭제하.. 2021. 4. 13.
넷플릭스 사칭 악성 앱 분석 보고서 넷플릭스 사칭 앱 최근 코로나 감염 바이러스로 인해, 집콕 생활이 장기화되면서 넷플릭스와 같은 OTT 미디어 서비스의 이용이 급증하고 있다. 이와 함께 해당 플랫폼을 사칭한 안드로이드 앱이 나타나 큰 주의가 필요하다. 해당 악성 앱은 메신저 어플리케이션 중에서 국내외 사용자가 많은 WhatsApp의 정보를 탈취하기에 주의가 필요하다. 해당 악성 앱은 FilxOnline 이라는 이름으로 Google Play 에서 판매되고 있었으며, 하기의 이미지와 같이 넷플릭스를 사칭하여 정상 앱과 유사한 모습과 이름으로 사용자를 속이고 있다. 해당 앱을 실행하면 다음과 같이 과도한 권한을 요구한다. 먼저, 메인 화면의 ‘Allow’ 버튼을 클릭하면 아래의 그림과 같이 오버레이가 가능하도록 설정을 바꾸기를 유도한다. 이는.. 2021. 4. 12.
[주간 랜섬웨어 동향] – 4월 1주차 잉카인터넷 대응팀은 2021년 4월 2일부터 2021년 4월 8일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Tripoli” 외 3건, 변종 랜섬웨어는 “Sodinokibi (REvil)” 외 5건이 발견됐다. 이 중, 재부팅 시 자동으로 로그인하는 기능을 “Sodinokibi (REvil)” 랜섬웨어가 발견됐고, “Cring” 랜섬웨어는 Fortinet VPN의 경로 탐색 취약점인 CVE-2018-13379 취약점을 악용하여 유포됐다. 2021년 4월 2일 Tripoli 랜섬웨어 파일명에 “.uniwinnicrypt“ 확장자를 추가하고 “HOW_FIX_FILES.hta"라는 랜섬노트를 생성하는 "Tripoli" 랜섬웨어가 발견됐다. Dharma 랜섬웨어 파일명에 “.. 2021. 4. 8.
정상 앱 사칭 Clast82 유포 주의 정상 앱 사칭 Clast82 유포 주의 지난 3월 Google Play 에 정상 앱을 위장한 악성 앱이 다량 발견되었다. 해당 악성코드는 Clast82로 Goolge의 Firebase 플랫폼을 C2서버로 이용하여 악성동작을 하는 특징을 가지고 있으며, 최종 페이로드는 안드로이드 악성 앱으로 악명 높은 AlienBot과 MRAT을 다운로드한다. 하기의 표와 같이 Clast82는 VPN을 비롯하여 여러 종류의 정상 앱으로 위장하였다. 위의 목록 중 다수가 Google Play 에서 삭제되었지만 일부는 아직까지 판매 중에 있어 주의가 필요하다. 해당 앱은 아래의 이미지와 같이, 악성 동작에 필요한 여러 권한을 취한다. 해당 앱은 악성 동작을 수행하기 전, ‘GooglePlayService’라는 이름으로 상태바.. 2021. 4. 2.

티스토리툴바