본문 바로가기

분석 정보877

[랜섬웨어 분석] DogeCrypt 랜섬웨어 DogeCrypt Ransomware 감염 주의 최근 “DogeCrypt” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 윈도우 창을 통해 악성 동작의 내용을 설명하고 문서 파일, 이미지 파일 등 사용자의 파일을 암호화하고 있어 주의가 필요하다 이번 보고서에서는 “DogeCrypt” 랜섬웨어에 대해 알아보고자 한다. “DogeCrypt” 랜섬웨어 실행 시, C 드라이브의 파일을 검색하여 [표 1] 암호화 대상 목록의 조건에 부합하는 파일을 암호화하고 “[dogeremembersss@protonmail.ch] .DogeCrypt” 확장자를 덧붙인다. 파일 암호화 이후, 'C:\' 경로에 “DOGECRYPTinfo.jpg” 파일을 생성하고 해당 파일을 다음 [그림 3]과 같이 바탕 화면으로 설정한다. 그리고 바탕화.. 2020. 10. 23.
[랜섬웨어 분석] Ranzy Locker 랜섬웨어 Ranzy Locker Ransomware 감염 주의 지난 8월에 발견된 “ThunderX” 랜섬웨어가 “Ranzy Locker”로 이름을 변경하여 활동을 이어가고 있다. 더욱이 랜섬머니를 지불하지 않는 피해자를 협박하기 위한 데이터 유출 사이트를 운용하기 시작했다고 한다. 해당 랜섬웨어에 감염되면 파일 암호화 및 확장자에 “.RNZ”가 추가되며, 폴더마다 “readme.txt”란 이름의 랜섬노트가 생성된다. 또한, 볼륨 섀도우 복사본과 시스템 상태 백업 등 복구와 관련된 데이터를 삭제하여 랜섬머니를 지불하지 않으면 복구가 어렵게 만들므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Ranzy Locker” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Ranzy Locker” 랜섬웨어에 감염되면 폴더마.. 2020. 10. 21.
[랜섬웨어 분석] Nibiru 랜섬웨어 Nibiru Ransomware 감염 주의 최근 "Nibiru” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 확장자에 대해 암호화를 한 후 화면을 잠그며 작업 관리자를 실행할 수 없게 설정하여 잠금 화면을 종료할 수 없게 한다. 감염 이후 피해자에게 몸값을 요구하므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Nibiru” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Nibiru” 랜섬웨어에 감염되면 [표 1]의 암호화 제외 폴더를 제외한 경로의 대상 확장자를 암호화한다. 암호화 이후에 파일명의 확장자 뒤에 “.Nibiru”라는 이름의 확장자를 덧붙인다. 해당 랜섬웨어는 랜섬 노트를 파일로 드랍하지 않는다. 대신 화면을 잠그며 해당 잠금 화면에 랜섬 노트가 작성되어 있다. 레지스트리 값을 추가하여 사.. 2020. 10. 21.
[랜섬웨어 분석] Animus 랜섬웨어 Animus Ransomware 감염 주의 “Animus” 랜섬웨어는 excel.exe, winword.exe, outlook.exe등 특정 프로세스를 종료하고 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “Animus” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 시스템과 관련된 파일 및 폴더 이외의 파일을 대상으로 아래 [표 1]과 같은 확장자 파일에 대해 암호화를 진행하고 “랜덤파일명.desu”로 변경한다. 또한 암호화 대상 경로마다 “@_DECRYPT_@.txt, @_DECRYPT2_@.txt, @_DECRYPT3_@.txt” 랜섬노트를 생성하는데, 3개의 랜섬노트는 모두 동일한 내용을 갖고 있다. 이번 보고서에서 알아본 “Animus” 랜섬웨어는 특정 프로세스를 종.. 2020. 10. 20.
[랜섬웨어 분석] Badbeeteam 랜섬웨어 Badbeeteam Ransomware 감염 주의 최근 “Badbeeteam” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 배치파일을 통해 Oracle, SQL 등 데이터베이스 시스템과 관련된 서비스를 중지 시킨 뒤, 사용자의 파일을 암호화하고 있어 주의가 필요하다. 이번 보고서에서는 “Badbeeteam” 랜섬웨어에 대해 알아보고자 한다. “Badbeeteam” 랜섬웨어 실행 시 ‘사용자 폴더\AppData\Roaming\Microsoft\Visio’경로에 “start.bat” 배치파일을 생성 후 실행하여, 아래 [표 1]의 서비스를 중지시킨다. 그리고 시스템의 파일을 검색하여 “Windows” 폴더 이외에 파일들을 암호화하고, CRPTD 확장자를 덧붙인다. 파일 암호화 이후 ‘사용자 폴더\AppData\R.. 2020. 10. 7.
[악성코드 분석] Trickbot 악성코드 분석 보고서 Trickbot 악성코드는 모듈형 악성코드로 로더와 모듈이 존재한다. 로더는 악성 모듈을 다운받고 실행하는데, 과거에 Trickbot악성코드는 금융 정보를 탈취하는 기능을 가진 악성 모듈이 유포되어 Banker 악성코드로도 유명하다. 현재 유포되는 모듈 중에는 웹 브라우저에 저장된 사용자 계정 정보를 탈취하기 때문에 사용자의 주의가 필요하다. 이번 보고서에서는 ‘Trickbot’ 악성코드의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 먼저 “%AppData%/TimeEr” 폴더를 생성하고 로더의 설정 파일을 생성한다. 생성된 설정 파일은 C2 서버 목록이 존재하며, C2 서버와 연결이 될 경우 “%AppData%/TimeEr/Data” 폴더에 암호화된 악성 모듈과 모듈의 구성 파일을 함께 생성한다... 2020. 10. 6.

티스토리툴바