본문 바로가기

분석 정보877

[랜섬웨어 분석] CoronaVirus 랜섬웨어 CoronaVirus Ransomware 감염 주의 코로나19 바이러스 이슈를 악용한 ‘CoronaVirus’ 랜섬웨어가 등장했다. 해당 랜섬웨어는 시스템 최적화 유틸리티를 제공하는 해외 특정 웹 사이트와 유사한 가짜 웹 사이트를 제작해서 가짜 유틸리티를 다운받도록 유도하고, 다운로드된 파일을 실행할 경우 정보 탈취형 악성코드 ‘Kpot’와 ‘CoronaVirus’ 랜섬웨어를 다운 및 실행한다고 알려진다. ‘CoronaVirus 랜섬웨어’는 파일 암호화를 진행하고 암호화된 파일을 ‘coronaVi2022@이메일___원본 파일명.원본 확장명’ 형태로 변경하며 ‘CoronaVirus.txt’ 랜섬 노트를 생성한다. 또한 정상적인 복구를 무력화하기 위해 볼륨 섀도우 복사본을 삭제 하고, 디스크 이름을 ‘Cor.. 2020. 3. 25.
[랜섬웨어 분석] Onix 랜섬웨어 Onix Ransomware 감염 주의 “Onix”로 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자가 “.Onix”가 아닌 경우에는 지정된 형식에 따라 확장자를 변경하며, 볼륨 섀도우 복사본 삭제 및 복구 비활성화를 통해 복구를 무력화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 주의가 필요하다. 먼저, “Onix” 랜섬웨어는 폴더마다 ‘TRY_TO_READ.html’ 형식의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 랜섬노트와 더불어 바탕화면을 [그림 2]와 같이 변경한다. “Onix” 랜섬웨어에 감염되어 암호화가 완료되면 확장자가 .ONIX가 아닌 파일의 확장자를 “{사용자 ID}.{메일}.ONIX”로 변경한다. 또한, 암호화 후 복구를 무력화 하기 위해 볼륨 섀.. 2020. 3. 20.
[악성코드 분석] 코로나19 이슈 관련 피싱 메일 주의 코로나19 이슈 관련 피싱 메일 주의 코로나19 바이러스 사태가 발생하자 이와 관련된 내용으로 피싱 메일이 유포되고 있어 사용자들의 주의가 필요하다. 아래의 피싱 메일은 미국의 질병 통제 예방 센터(CDC)를 사칭하고 있으며 코로나19 안전 대책 및 기존 사례의 정보가 담긴 악성 첨부 파일을 다운 및 실행하도록 유도하고 있다. 첨부된 파일에는 화면 보호기(.scr)파일로 위장한 악성코드가 존재하는데, 해당 악성코드는 원격 명령 수행, 키로깅, 화면 캡처, 화면 녹화, 파일 다운로드 등 악성 행위를 할 수 있는 ‘Remcos RAT’ 악성코드이다. 또한 아래의 피싱 메일들은 코로나 바이러스 감염자 확인 자료, 세계 보건 기구 WHO를 사칭한 코로나 바이러스 발병에 대한 최신 업데이트 자료의 내용으로 첨부 .. 2020. 3. 13.
[랜섬웨어 분석] Corona 랜섬웨어 새로 등장한 Corona Ransomware 감염 주의 최근 코로나 19 바이러스 이슈를 활용한 공격이 발견되고 있는 가운데, 자기자신을 “Corona” 라고 명시하고 있는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 “Hakbit” 랜섬웨어의 변종으로 알려져 있으며, 실행 시 사용자의 파일을 암호화하고 있어 주의가 필요하다. 이번 보고서에서는 “Corona” 랜섬웨어의 대해 간략하게 알아보고자 한다. “Corona” 랜섬웨어가 실행 되면, 원활한 악성 동작을 수행하기 위해 아래 [표 1] 목록을 대상으로 서비스 종료, 서비스 비활성화 및 프로세스를 종료한다. 추가적으로 정상적인 복구를 무력화하기 위해 볼륨 섀도우 복사본을 삭제한다. 이후 아래 [표 2]의 암호화 대상 목록과 비교하여, 조건에 일치하는 사용자.. 2020. 3. 13.
[랜섬웨어 분석] Dharma 랜섬웨어 피싱 메일로 유포된 Dharma Ransomware 분석 보고서 수 년 동안 다양한 변종으로 발견된 “Dharma” 랜섬웨어는, 최근 이탈리아어로 작성된 피싱메일을 통해 유포 사례가 발견되고 있다. 해당 피싱 메일에는 악성링크가 포함되어 있으며, 링크를 클릭하게 되면 악성 파일이 자동으로 다운로드 되고 내부 스크립트 파일을 통해 랜섬웨어가 추가 다운로드 후 실행된다. “Dharma” 랜섬웨어는 볼륨 섀도우 복사본 삭제 및 사용자의 중요한 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “.ROGER” 확장자를 사용하는 “Dharma” 랜섬웨어의 대해 간략하게 알아보고자 한다. 피싱 메일에 포함된 악성 링크를 클릭하게 되면 “New documento 2.zip” 파일이 다운로드 되고, .. 2020. 3. 5.
[랜섬웨어 분석] 윈도우 업데이트를 가장한 랜섬웨어 윈도우 업데이트를 가장한 랜섬웨어 감염 주의 최근 윈도우 업데이트로 위장한 랜섬웨어가 등장하였다. 해당 랜섬웨어는 .tmp 확장자인 척 임시파일로 위장하여 배포되었으며, C2서버에 연결하여 악성코드를 다운로드 한다. 감염 동작이 수행되면, 가짜 윈도우 업데이트 진행 화면을 띄워 사용자가 암호화 동작을 알아채지 못하도록 하기 때문에 주의가 요구된다. 이번 보고서에서는 윈도우 업데이트를 가장한 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 C2 서버에 연결하여 public key와 id 정보가 있는 “bowsakkdestx.txt”와 가짜 윈도우 업데이트 설치 파일 인 “updatewin.exe” 파일을 다운로드 한다. 다운로드 된 “updatewin.exe” 을 실행시키고, 그 뒤에서 감염동작을.. 2020. 3. 3.

티스토리툴바