잉카인터넷 시큐리티대응센터 블로그

Panther 랜섬웨어 주의! 최근 Panther 랜섬웨어가 등장하였다. 해당 랜섬웨어는 중국에서 만들어진 것으로 추정되며, 일반적인 랜섬웨어와 유사하 게 사용자 PC의 파일에 대하여 암호화동작을 수행하고, 볼륨 섀도우 복사본을 삭제하는 동작을 한다. 이번 보고서에서는 Panther 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 A-Z 드라이브 중 이동식 드라이브와 고정 드라이브에 대하여 악성동작을 수행한다. 특정 디렉토리와 확장자를 제외하고 암호화동작을 수행하며, 악성동작이 이루어진 디렉토리 아래에 랜섬노트를 생성한다. 그리고 볼륨 섀도우 복사본을 삭제하여 사용자로 하여금 복구를 불가능하도록 한다. A-Z 드라이브 중 이동식 드라이브 타입 또는 고정 드라이브 타입인 경우, 악성동작을 수행한다..

개요 VMware Fusion, Mac 용 VMRC 및 Mac 용 Horizon Client의 권한 상승 취약점 발표하고, 해당 취약점을 해결하기 위한 업데이트 제공한다. 기술 해당 취약점은 잘못된 XPC 클라이언트 유효성 검사로 인한 권한 에스컬레이션한다. 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Fusion 11.5.5 - VMRC for Mac 11.2.0 - Horizon Client for Mac 5.4.3 참고자료 https://www.krcert.or.kr/data/secNoticeList.do https://www.vmware.com/security/advisories/VMSA-2020-0017.html https://my.vmware.co..

개요 Juniper Networks SRX에 대해 DoS 및 RCE 취약점을 발표하고, 업데이트를 권고하였다. 기술 ICAP (Internet Content Adaptation Protocol) 리디렉션 서비스가 활성화된 Juniper Networks SRX에서 특정 HTTP 메시지 처리로 인해 DoS (Denial of Service) 또는 RCE (Remote Code Execution)가 발생한다. 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Junos OS 18.1, 18.2, 18.3, 18.4, 19.1, 19.2, 19.3 버전의 후속 릴리스 참고자료 https://www.krcert.or.kr/data/secNoticeList.do https:..

Conti Ransomware 감염 주의 작년 12월에 등장한 “Conti” 랜섬웨어는 최근 공격 사례가 증가하고 있으며, 실행 시 전달되는 인자에 따라 암호화 대상이 변경된다. 또한 다양한 서비스와 프로세스를 종료하고 사용자의 파일을 암호화 하고 있어 주의가 필요하다. 이번 보고서에서는 “Conti” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Conti” 랜섬웨어 실행 시, 볼륨 쉐도우 복사본을 삭제하여 복구를 불가능하게 만들고, 데이터베이스, 보안 및 백업과 관련된 146개의 서비스를 중지시킨다. 또한 현재 실행중인 프로세스 목록을 검색한 후, “SQL” 문자열이 포함되어 있는 프로세스를 종료시킨다. 이후 암호화 대상을 결정하기 위해 실행 시 전달되는 인자를 확인하며, 인자에 따라 [표 1]와 같이..

Rabbit Ransomware 감염 주의 Rabbit 랜섬웨어는 파일 암호화와 함께 사용자 시스템 정보 및 화면 캡처 파일을 C2 서버로 전송한다. 또한 금전 요구 페이지가 태국어로 작성된 특징을 갖고있다. 이번 보고서에서는 Rabbit 랜섬웨어의 악성 동작에 대해 간략하게 알아본다. 해당 랜섬웨어는 아래 [표1]에 해당하는 폴더와 확장자에 대해 암호화를 진행하고, 암호화된 파일의 확장자 뒤에 ‘.RABBIT’을 덧붙인다. 그리고 암호화 대상 폴더마다 ‘อ่านวิธีแก้ไฟล์โดนล๊อค.txt’ 랜섬노트를 생성하고, 웹 브라우저를 실행해 태국어로 작성된 금전 요구 페이지로 연결한다. 이외에도 사용자 시스템 정보와 함께 화면 캡쳐 파일을 C2 서버로 전송한다. 랜섬웨어의 피해를 최소한으로 예방하기..

Wholocker 랜섬웨어 주의! 이달 초, Wholocker 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어와 유사하게, 특정 폴더와 파일에 대하여 암호화동작을 수행한다. 이때, 문서 파일 및 이미지 파일 등을 암호화하기에 감염된다면 큰 피해를 초래할 수 있다. 이번 보고서에서는 Wholocker 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 사용자에게 랜섬웨어 감염사실을 알리기 위해, C&C 서버에 연결하여 하기의 이미지를 다운로드하고 배경화면으로 등록한다. 그리고 C 드라이브에 특정 디렉토리와 확장자에 대하여 암호화 동작을 수행한다. 악성동작이 끝나면, C2 서버에 사용자 PC 정보를 전달하고, 원본파일을 삭제하여 흔적을 지운다. 서버에 연결하여 그림1의 이미지를 다운로드한다. ..

1. 악성코드 통계 악성코드 Top20 2020년 6월(6월 1일 ~ 6월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 200,471 건이 탐지되었다. 악성코드 유형 비율 6월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 74%로 가장 높은 비중을 차지하였고, Exploit(바이러스)와 Worm(웜)이 각각 17%와 5%, Backdoor(백도어)과 Virus(바이러스)가 각각 2%, 1%씩으로 그 뒤를 따랐다. 악성코드 진단 수 전월 비교 6월에는 악성코드 유형별로 ..

악성코드 분석보고서 1. 6월 랜섬웨어 동향 2020년 6월(6월 01일 ~ 6월 30일) 한 달간 랜섬웨어 동향을 조사한 결과, Maze 랜섬웨어 운영자가 국내 전자 회사를 공격했다고 주장하였고, 해외에서는 일본의 혼다와 남미의 에넬 아르헨티나(Enel Argentina)가 Snake 랜섬웨어 공격을 받았다. 또한, 미국의 캘리포니아 대학교를 비롯한 몇몇 대학도 Netwalker 랜섬웨어에 공격받아 데이터가 유출된 사건이 있었다. 이번 보고서에서는 6월 국내/외 랜섬웨어 소식 및 신/변종 랜섬웨어와 6월 등장한 RansomEXX 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 소식 국내 전자 회사, Maze 랜섬웨어 피해 사례 최근 Maze 랜섬웨어가 국내 전자 회사를 공격했..

WastedLocker Ransomware 감염 주의 최근 사이버범죄 그룹인 “Evil Corp”를 통해 새롭게 유포되고 있는 “WastedLocker” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 해킹된 사이트에서 가짜 소프트웨어 업데이트를 통해 “WastedLocker” 랜섬웨어를 실행하여 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “WastedLocker” 랜섬웨어에 대해 간략하게 알아보고자 한다. “WastedLocker” 실행 시, ‘System32’ 폴더에서 “exe”, “dll” 확장자인 파일을 임의로 선택하여, ‘HKLM\System\CurrentControlSet\Control’ 레지스트리 하위키의 이름으로 ‘AppData\Roaming’ 경로에 정상 파일을 복사한다...

ZorgoCry Ransomware 감염 주의 최근 "ZorgoCry" 랜섬웨어가 발견되었다. 해당 랜섬웨어는 사용자 프로필(%USERPROFILE%) 경로 및 다수의 확장자를 대상으로 파일 암호화가 진행되므로 사용자의 주의가 필요하다. 이번 보고서에서는 “ZorgoCry” 랜섬웨어에 대해 간략하게 알아보고자 한다. “ZorgoCry” 랜섬웨어에 감염되면 바탕화면에 ‘READ_ME.txt’란 이름의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 원본 파일은 감염 동작 전에 ‘C:\사용자 이름\Rand123\local.exe’ 로 옮겨지며, 암호화 된 파일 끝에는 “.projectzorgo” 확장자가 붙는다. “ZorgoCry”의 감염 대상은 ‘%USERPROFILE%’ 아래의 모든 폴..