잉카인터넷 시큐리티대응센터 블로그

다시 등장한 GlobeImposter 랜섬웨어 감염 주의 1. 개요 2017년 하반기 이메일의 첨부파일 형태로 위장하여 유포 되었던, GlobeImposter 랜섬웨어가 최근 다시 등장하기 시작하였다. 해당 랜섬웨어는 RDP(원격 데스크톱 서비스)를 이용하거나 이메일 첨부 등 다양한 유포방식을 사용하고 있기 때문에 중요한 파일이 손실되지 않도록 주의가 필요하다. 이번 보고서에는 최근에 발견 된 GlobeImposter 랜섬웨어 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 516,096 bytes 진단명 Ransom/W32.GlobeImposter.516096 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 메일 첨부파일 형태로 ..

Python 모듈 사용하는 Dablio 랜섬웨어 감염 주의 1. 개요 최근 Dablio라는 이름의 Python 코드로 작성된 랜섬웨어가 유포되고 있다. 해당 랜섬웨어에 감염 시 중요 파일을 암호화시킬 뿐만 아니라 일부 시스템 기능을 비활성화하여 정상적인 작업도 불가능하게 만들기 때문에 주의가 필요하다. 이번 보고서에서는 Dablio 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 12,662,402 bytes 진단명 Ransom/W32.Dablio.12662402 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반적인 형태의 랜섬웨어로 정확한 유포 경로는 밝혀지지 않았다. 2-3. 실행 과정 Dablio 랜섬..

11월 랜섬웨어 동향 및 Aurora / Zorro 랜섬웨어 1. 11월 랜섬웨어 동향 2018년 11월(11월 01일 ~ 11월 30일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 GandCrab 랜섬웨어가 다양한 방법을 통해 유포 되며 사용자들에게 피해를 입혔으며, 해외에서는 말레이시아에서 Media Prima 그룹이 랜섬웨어 피해를 받았고, 러시아에서는 모스크바에 있는 케이블카 시스템이 랜섬웨어에 감염되어 일정기간 운행이 중지되기도 했다. 이번 보고서에서는 11월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 11월 말 등장한 Aurora / Zorro 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 GandCrab 랜섬웨어 피해 사례 이번달에는 ..

2018년 11월 악성코드 통계 악성코드 Top20 2018년11월(11월 1일 ~ 11월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Backdoor(백도어) 유형이며 총 279,231 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Backdoor/W32.Orcus.9216 Backdoor 279,231건 2위 Trojan/W32.HackTool.14848.N Trojan 29,414 건 3위 Trojan/XF.Sic Trojan 3,453 건 4위 Trojan/W64.KMSAuto.3584 Trojan 3,405 건 ..

1. 개요 최근 리눅스 커널의 취약점을 이용하여 관리자 권한을 탈취하는 Dirty Cow 취약점(CVE-2016-5195)을 사용한 악성 파일이 유포되고 있다. 해당 샘플에 감염될 시 가상화폐 채굴기로 이용될 뿐만 아니라 감염 PC 의 통신 기록을 참고하여 감염 대상을 늘리는 기능이 있기 때문에 주의가 필요하다. 이번 보고서에서는 Dirty Cow 취약점을 이용하는 백도어 프로그램의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 2-2. 유포 경로 해당 프로그램은 SSH 통신을 이용한 감염 기능을 포함하고 있으며, 이에 따라 SSH 통신을 통해 유포되고 있을 것으로 추측된다. 2-3. 실행 과정 악성 셸 스크립트를 실행하면 가장 먼저 감염 PC 의 시스템 정보를 읽어 감염 동작에..

한글 문서에 포함된 매크로 악성코드 분석 1. 개요 한글 문서의 스크립트 매크로 기능은 사용자가 정의하는 키보드와 마우스 동작을 특정 단축키에 기록하여 매크로로 이용할 수 있는 기능이다. 악성코드 제작자는 이 기능을 악용하여 조작된 HWP 파일을 피싱 메일을 통해 유포하고, 사용자가 조작된 한글 문서를 열람할 때 악성코드가 실행되도록 만든다. 이번 보고서에서는 한글 문서에 포함된 매크로 악성코드에 대해 알아본다. 2. 한글 문서의 스크립트 매크로 기능 한글 프로그램에서 사용자가 정의한 매크로는 ‘도구 탭 – 매크로 - 스크립트 매크로 정의’에서 코드 편집이 가능하다. Document 내용에 코드를 작성하면 한글 문서를 열람할 때 스크립트가 실행된다. 이렇게 매크로 스크립트가 삽입된 한글 문서를 사용자가 ..

서비스형 랜섬웨어 FilesLocker Ransomware 주의 1. 개요 최근 서비스형 랜섬웨어로 알려진 “FilesLocker”가 유포되고 있어 주의가 필요하다. 서비스형 랜섬웨어(Ransomware as a Service)는 랜섬웨어 제작자가 랜섬웨어를 공격자에게 판매하고, 피해자들로부터 얻은 수익금은 제작자와 공격자가 나눠 갖는 구조로 되어있다. 이번 보고서에서는 “FilesLocker Ransomware”에 대하여 알아본다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 201,216 byte 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 일반적인 랜섬웨어의 유포경로와 비슷할 것으로 추정된다. 2-3. 실행 과정 해당 랜..

2018년 10월 악성코드 통계 악성코드 Top20 2018년10월(10월 1일 ~ 10월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Backdoor(백도어) 유형이며 총 49,161 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Backdoor/W32.Orcus.9216 Backdoor 49,161건 2위 Worm/W32.Brontok.42692 Worm 21,041 건 3위 Suspicious/W32.CVE-2016-3266 Suspicious 10,516 건 4위 Suspicious/PDF.CVE-2018-1283..

경고 메시지 없이 실행되는 MS 워드 비디오 삽입 취약점 주의 1. 개요 최근 한 보안회사에서 마이크로소프트 社의 워드 문서에서 제공하는 비디오 삽입 기능을 악용하여 악성코드를 실행하는 취약점을 발견했다. 해당 취약점을 이용한 공격은 악성코드 실행 과정에서 오류 및 경고 메시지를 출력하지 않기 때문에 사용자의 주의가 필요하다. 이번 보고서에서는 MS Office 문서 파일의 비디오 삽입 기능을 악용한 악성 동작에 대해 알아보고자 한다. 2. 취약점 정보 2-1. 버전 정보 영향 받는 버전 Microsoft Office 2016 Microsoft Office 2013 3. 악성 동작 과정 3-1. 개요 이번 취약점은 공격자가 정상적인 비디오를 삽입한 후 관련된 설정을 마음대로 수정할 수 있다는 점과 워드에..

2018년 9월 악성코드 통계 악성코드 Top20 2018년9월(9월 1일 ~ 9월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 BackDoor(백도어) 유형이며 총 151,188 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Backdoor/W32.Orcus.9216 Backdoor 151,188 건 2위 Trojan/W32.HackTool.14848.N Trojan 35,842 건 3위 Virus/W32.Ramnit.B Virus 12,440 건 4위 Virus/W32.Virut.Gen Virus 4,368 건 5위 ..