잉카인터넷 시큐리티대응센터 블로그

키릴문자 'Я' 파일을 생성하는 GEFEST 랜섬웨어 감염 주의 1. 개요 GEFEST 랜섬웨어는 수십 여개의 변종으로 발견되는 Scarab 랜섬웨어 계열의 후속 작으로, 발견 시기마다 암호화 파일 확장자의 변화와 일부 변종에서는 암호화 대상 폴더에 키릴문자 'Я'을 이름으로 한 파일을 생성하는 특징을 발견할 수 있다. 이러한 특징은 GEFEST 랜섬웨어에서도 확인할 수 있으며, 해당 랜섬웨어는 최근 암호화 파일 확장자가 새롭게 변화하여 발견되고 있기 때문에 사용자들의 주의가 필요하다. 이번 보고서에서는 .GFS 감염 확장자를 사용하는 GEFEST 랜섬웨어에 대해 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 176,128 bytes 진..

MS Outlook 사이트로 위장한 피싱 공격 주의 1. 개요 최근 MS Outlook 로그인 사이트로 위장하여 접속을 유도하는 피싱 메일이 유포되고 있다. 피싱 메일에 첨부된 링크를 클릭하면 Outlook 로그인 사이트로 위장한 피싱 사이트로 접속되며 로그인을 위해 암호를 요구한다. 이 밖에도 피싱 사이트의 도메인에는 애플, Paypal, 등 다른 유명 기업의 사이트로 위장한 주소도 확인되기 때문에 유사한 공격에 주의해야 한다. 2. 분석 정보 2-1. 유포 경로 해당 피싱 메일은 도메인 사용 기간이 만료되어 12시간 이내에 사용이 정지되므로 첨부된 링크를 따라 Outlook 계정에 접속하기를 요구한다. 2-2. 실행 과정 첨부된 링크를 클릭하면 Outlook 로그인 사이트로 위장한 피싱 사이트에 접속..

모든 파일을 암호화하는 Blind 랜섬웨어 감염 주의 1. 개요 2017년 하반기에 발견된 Blind 랜섬웨어는 다양한 변종으로 변화하고 있으며, 최근에도 유포되고 있다. Blind 랜섬 웨어는 변종 마다 감염 파일에 덧붙이는 확장자를 변경하고 있는데, 최근에 발견된 버전에서는 .skeleton 이라는 확장자를 사용하고 있다. 해당 랜섬웨어는 수년 간 여러 변종이 발견되고 있으며 최근까지 유포되고 있기 때문에 사용자들의 주의가 필요하다. 이번 보고서에서는 .skeleton감염 확장자를 사용하는 Blind 랜섬웨어에 대해 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 651,264 bytes 진단명 Ransom/W32.Blind.65126..

이미지 저작권 관련 내용으로 배포되는 GandCrab 랜섬웨어 5.2 버전 감염 주의 1. 개요 최근 이미지 저작권과 관련된 경고 메일을 통해 최신 GandCrab 랜섬웨어가 유포되고 있다. 첨부된 압축 파일 내부에는 jpg 파일로 위장한 실행 파일이 있으며, 이를 실행하면 랜섬웨어가 실행되어 암호화가 시작된다. GandCrab 은 이전부터 이와 같은 방법으로 가짜 이력서, 국가 기관 사칭 메일, 등을 통해 문서 파일로 위장하여 유포되어 온 전례가 있다. 최신 버전인 5.2 버전은 아직 복호화 툴이 없어 복구가 불가능하기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [원본.jpg].exe 파일크키 299,008 byte 진단명 Ransom/W32.GandCrab.2990..

기업을 겨냥한 LockerGoga 랜섬웨어 감염 주의 1. 개요 ‘LockerGoga’ 랜섬웨어는 불특정 대상이 아닌 기업을 목표로 공격해 주의가 필요하다. 해당 랜섬웨어는 최근 프랑스의 엔지니어링 기업과 노르웨이의 알루미늄 제조사를 공격했으며, 공격당한 제조사의 네트워크 마비와 자동화 공정 일부가 수동으로 처리되는 일이 발생해 공장 운영의 피해와 금전적 손해를 입었다고 알려진다. 이처럼 기업대상 랜섬웨어는 중요 데이터 손실과 운영 마비가 2차 피해로 이어지고, 개인보다 피해규모가 더 크기 때문에 각별한 주의가 필요하다. 이번 보고서에는 기업을 대상으로 유포 되는 ‘LockerGoga’ 랜섬웨어에 대해서 알아본다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 tgytutrc랜덤숫자.exe 파일크..

2019년 3월 악성코드 통계 악성코드 통계 악성코드 Top20 2019년 3월(3월 1일 ~ 3월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 3,329 건이 탐지되었다. 악성코드 유형 비율 3월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 72%로 가장 높은 비중을 차지하였고, Adware(애드웨어)와 Exploit(익스플로잇)이 각각 7%와 7%, Suspicious(서스피셔스)와 Backdoor(백도어)이 각각 6%, 2%씩으로 그 뒤를 따랐다. 악성코드 진단 ..

3월 랜섬웨어 동향 및 Rapid 랜섬웨어 분석보고서 1. 3월 랜섬웨어 동향 2019년 3월(3월 01일 ~ 3월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 GandCrab 랜섬웨어가 다양한 유포방식을 통해 국내 사용자들에게 피해를 입혔고, 해외에서는 미국의 잭슨 카운티가 랜섬웨어 공격을 받아 정부 업무가 마비되는 사건이 있었으며, 세계 최대 알루미늄 제조사인 노르웨이의 Norsk Hydro 회사가 랜섬웨어 공격을 받아 전세계 알루미늄 생산량에 영향을 준 사건이 있었다. 이번 보고서에서는 3월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 3월 등장한 Rapid 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 GandCrab 랜섬웨어 피해 사..

GandCrab 랜섬웨어 5.2 버전 출현!, 초기 버전부터 변화과정 1. 개요 현재 일반 사용자와 국내기업을 대상으로 랜섬웨어 공격이 다수 발견되고 있으며, 최근에는 버전 5.2로 업데이트된 GandCrab 랜섬웨어의 공격이 빠르게 증가하고 있다. 해당 랜섬웨어는 정확한 한국어 사용과 공신력 있는 기관을 사칭하여 사용자로 하여금 악성파일을 실행시키도록 위장하고 있기 때문에 각별한 주의가 필요하다. 이번 보고서에서는 GandCrab 랜섬웨어의 초기 버전부터 최근 버전까지의 변화 사항에 대해서 간략하게 알아보고자 한다. 2. 버전 별 변화 2-1. 타임라인 작년 1월에 등장한 GandCrab 랜섬웨어는 지속적인 업데이트를 통해 꾸준히 변화해오고 있으며, 최근에는 5.2 버전까지 발견되고 있다. 먼저 아래의..

LockCrypt 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 ‘LockCrypt’ 랜섬웨어는 모든 확장자 파일을 암호화하고 암호화한 파일은 ‘id-랜덤 문자열.LyaS’ 라는 문자열을 덧붙여 확장자를 변경한다. 또한, C 드라이브의 Windows 폴더를 제외한 모든 경로에 존재하는 사용자 파일을 대상으로 암호화를 진행하기 때문에 사용자의 주의가 필요하다. 이번 보고서에서는 ‘LockCrypt’ 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 12,288 bytes 진단명 Ransom/W32.LockCrypt.32768 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만 해당 랜섬웨..

해킹된 ASUS社 서버로부터 유포되는 Shadow Hammer 악성 파일 주의 1. 개요 대만의 컴퓨터 제조사인 ASUS의 업데이트 서버가 해킹당해 악성 코드가 심어진 Live Update 파일을 유포했다. 최초로 이를 발견한 Kaspersky Lab 은 해당 악성 캠페인에 Shadow Hammer 라는 이름을 붙이고 트위터를 통해 발표했다. Shadow Hammer 는 감염 시스템의 MAC 주소에 따라 C&C 서버로부터 추가 악성 코드를 다운받아 실행하므로 주의가 필요하다. 현재 ASUS 에서는 해당 보안 문제를 해결하였다고 언급하며 감염 여부를 확인하는 진단 툴을 배포하고 있다. 이번 보고서에서는 Shadow Hammer 악성 파일의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 ..