잉카인터넷 시큐리티대응센터 블로그

2018년 3월 악성코드 통계 악성코드 Top202018년3월(3월 1일 ~ 3월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, 아래 [표]는 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Backdoor (백도어) 유형이며 총 66,773건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Backdoor/W32.Orcus.9216 Backdoor 66,773 건 2위 Suspicious/X97M.Obfus.Gen Suspicious 28,881건 3위 Suspicious/W32.CVE-2016-3266 Suspicious 12,222건 4위 Gen:Variant.Razy.219955 Tr..

다시 돌아온 GandCrab Ransomware 감염 주의 1. 개요 'GandCrab Ransomware' 는 ‘Exploit Kit’을 통해 취약한 웹사이트에 방문했을 때 감염된다고 알려져 있다.해당 랜섬웨어에 감염이 되면, 사용자의 정보를 수집하여 전송하고 감염 대상이 되는 파일 확장자를 비교하여 암호화 동작을 수행한다. 하지만, 최근에 발견 된 'GandCrab Ransomware V2.0' 는 이메일을 통하여 유포되고 있는 것으로 보이며 기존 버전과 큰 차이는 없지만 감염 대상이 되는 확장자를 따로 구분없이 모든 파일에 대해 암호화 동작을 수행하는 것으로 확인된다. 이번 보고서에서는 버전업이 되어 돌아온 'GandCrab Ransomware V2.0' 에 대해서 간략하게 알아보자. 2. 분석 정..

Hermes 랜섬웨어 변종 출현!, 초기 버전부터 변화과정 1. 개요 최근 랜섬웨어에 대한 피해 사례가 끊임없이 발생되고 있는 가운데, 새로운 랜섬웨어에 대한 내용보다 변종과 관련된 내용이 다수 차지하고 있다. 이는 여러가지 이유가 있겠지만, 그 중에 일부는 자동화 된 도구나 공개된 오픈 소스를 활용하기 때문인 것으로 추측된다. 이번에 발견 된 ‘Hermes’ 랜섬웨어도 지속적으로 업그레이드 되거나 변종이 계속해서 발견되고 있는데 최근 ‘Sundown Exploit Kit’ 을 통해 웹 서핑 도중 감염되는 변종이 확인 되었다. 해당 랜섬웨어는 기존에는 존재하지 않았던 암호화 제외 대상 목록이 존재하며 암호화 후 확장자를 변경시키지 않아 사용자가 감염 여부를 인지하기 어려울 것으로 예상된다. 이번 보고서에..

Qwerty 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 쿼티(Qwerty) 랜섬웨어는 ‘GPG’ 프로그램을 사용하여 파일을 암호화한다. ‘GPG’는 데이터와 통신을 암호화 시킬 수 있는 정상 프로그램으로 랜섬웨어에서 타 정상 프로그램을 사용하여 파일을 암호화하는 것은 드문 일이다. 현재까지 정확한 유포 경로는 밝혀지지 않았으며, 암호화된 파일의 확장자를 ‘.[임의의 값].qwerty’로 저장하고 원본 파일을 삭제하는 방식으로 랜섬웨어 기능을 수행한다. 이번 보고서에는 패키지로 구성된 쿼티 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명find.exe파일크기946,702byte진단명Ransom/W32.Qwerty.946702악성동작파일 암호화 2-2. 동작 ..

공포영화 애나벨을 모티브로 한 “Annabelle Ransomware” 유포 주의 1. 개요 최근, 애나벨이라는 공포영화를 모티브로 한 “Annabelle” 랜섬웨어가 발견 되었다. 해당 랜섬웨어에 감염이 될 경우 국내에서도 공포영화로 잘 알려진 '애나벨' 에 나오는 인형을 사용자에게 보여주어 공포심을 조장하고, 사용자 PC에 있는 파일을 암호화한다. 뿐만 아니라 사용자가 정상적으로 PC를 사용할 수 없도록 MBR까지 변조하기 때문에 사용자들의 주의를 요하고 있다.이번 보고서에서는 “Annabelle Ransomware”에 대하여 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명Annabelle.exe파일크기216,576 bytes진단명Ransom/W64.Annabelle.216576악성..

2018년 2월 악성코드 통계 악성코드 Top202018년 02월(02월 01일 ~ 02월 28일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많은 피해를 준 악성코드 현황을 조사하였으며, 아래 [표]는 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Backdoor(백도어) 유형이며 총 186.270건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Backdoor/W32.Orcus.9216 Backdoor 186,270 건 2위 Worm/W32.Brontok.45374 Worm 105,687 건 3위 Trojan/W32.Miner.4712026 Trojan 43,528 건 4위 Gen:Variant.Application.LoadMoney...

Gold Dragon 악성코드 주의 1. 개요 최근, 국내에서 열렸던 2018년 평창 올림픽이 무사히 막을 내렸다. 올림픽 기간 중에도 보안과 관련된 이슈는 끊임없이 계속 발생하였지만 그 중, 흥미롭게도 해외 한 백신 업체에서 평창 올림픽을 겨냥한 것으로 추정되는 악성코드에 대한 보고서를 기재하였다.게시된 글을 확인해보면 ‘Gold Dragon’ 이라고 불려지고 있는 파일에 대하여 내용이 다루어져 있다는 것을 확인할 수 있었는데, 이번 블로그에서는 해당 악성코드에 대해 어떠한 동작을 하는지 간단히 알아보도록 하자. 2. 분석 정보 2-1. 파일 정보구분내용파일명[임의의 파일명].exe파일크기49,152 byte진단명Trojan/W32.Agent.49152.CRX악성동작정보 탈취 / 추가 악성코드 다운 및..

새로 생성되는 파일도 암호화 하는 Rapid 랜섬웨어 주의 1. 개요 2017년과 비교하였을 때 2018년에 랜섬웨어의 공격 빈도는 상대적으로 많이 줄어들었지만 꾸준히 발견되고 있다. 이번에 발견된 'rapid ransomware' 역시도 기존 랜섬웨어와 같이 파일 암호화를 진행하며 파일을 복호화 하기위해 공격자에게 이메일을 보내도록 유도한다. 'rapid ransomware' 만이 가지는 특징은 아니지만 해당 랜섬웨어는 암호화를 끝낸 뒤에 활성화 상태를 유지하며 암호화 동작을 반복적으로 시행한다. 이런 동작으로 인하여 새롭게 생성되는 파일 역시 암호화 된다.이번 보고서에서는 새롭게 생성되는 파일까지도 암호화 하는 'rapid ransomware' 에 대해 알아보자. 2. 분석 정보 2-1. 파일 정보구..

잉카인터넷 EDR 기반 신규 브랜드 TACHYON 론칭 정보보안 강소기업 잉카인터넷이 3월 7일 서울 양재동 엘타워에서 EDR 기반 브랜드 'TACHYON'을 신규 론칭, 제품 라인업을 선보였습니다. 2000년 설립되어 18년의 역사를 자랑하는 잉카인터넷은 온라인 보안 전문 브랜드 'nProtect'로 업계 1위를 달성한데 이어, 엔드포인트에 특화된 EDR 기반 'TACHYON'으로 엔드포인트 시장 상위권을 목표로 삼았습니다. TACHYON은 엔드포인트부터 서버보안, 중앙관리 보안까지 다양한 영역을 보호하며 ‘CDR’, ‘셀렉트스캔’, ‘데이터백업’, ‘위협분석/대응’ 4가지 핵심 기술로 안전한 비즈니스 환경을 구축합니다. 주요 보안 솔루션을 소개하자면 엔드포인트 보안으론 강력한 안티멀웨어 기술로 기업 ..

평창 올림픽 이벤트성 프로그램으로 위장한 악성코드 주의 1. 개요 2018년 평창 올림픽을 맞이하여 이를 노린 사이버 공격도 기승을 부리고 있다. 이번에 발견된 'OlympicGames.exe' 파일 역시 그러한 공격들 중에 하나로써 실행할 경우 사용자의 정보를 전송하고 추가 데이터를 사용자 몰래 다운로드한다. 악성코드의 메인 화면 역시 올림픽 이벤트 프로그램으로 보이기 위해서 그럴듯한 배경으로 사용자를 현혹한다. 자세하게 살펴보면 배경화면에 보이는 로고들이 평창올림픽과 다르다는 점을 찾을 수 있지만, 쉽게 알아차릴 수 없어 사용자의 피해가 우려된다. 이번 보고서에서는 올림픽과 관계된 요소들을 넣어 사용자들을 속이고 이벤트성 프로그램으로 위장한 'OlympicGames.exe' 파일에 대해서 알아보고자 ..