본문 바로가기

시큐리티대응센터2133

[TACHYON 엔진] 2020년 04월 24일 (02) 240개의 악성코드가 추가되었습니다. 안녕하십니까? 잉카인터넷 TACHYON 입니다. 2020년 04월 24일자 두번째 업데이트 안내문입니다. 금일 정기 업데이트에서는 총 240개 악성코드에 대한 진단/치료가 안티 바이러스에 업데이트 되었습니다. 1. 안티 바이러스 업데이트 안내 1-1. 안티 바이러스 업데이트 버전 : 2020-04-24.02 1-2. 다음 236개 악성코드에 대한 진단/치료가 자사 엔진에 업데이트 되었습니다. Backdoor/W32.Agent.3286860 Backdoor/W32.CSon.32768.Y Backdoor/W32.Hupigon.67209 Backdoor/W32.Mokes.97792.B Backdoor/W32.Tofsee.4004016 Backdoor/W32.Tofsee.4004030 Backdoor/W32.T.. 2020. 4. 24.
[랜섬웨어 분석] Sepsys 랜섬웨어 Sepsys 랜섬웨어 주의! 지난 4월 중순에 Sepsys 랜섬웨어가 등장하였다. 해당 랜섬웨어가 실행되면 볼륨 섀도우 복사본을 삭제하며, 특정 디렉토리 내에 모든 확장자에 대하여 암호화를 진행하기에 큰 주의가 필요하다. 이번 보고서에서는 SepSys 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 사용자가 감염된 PC를 복구할 수 없도록 사전에 볼륨 섀도우 복사본을 모두 삭제 한 뒤, 암호화 동작을 수행한다. 또한 사용자의 PC IP정보를 서버로 전달하고, 자동실행 레지스트리 값에 자가 복제된 파일과 랜섬노트를 추가하여 윈도우 재부팅 시에도 동작이 수행되도록 만든다. 하기의 이미지와 같이, 윈도우 재부팅 시 동작하도록 자가 복제 파일과 랜섬노트를 Run 레지스트리에 등록한다. C2서버에 연결하.. 2020. 4. 23.
[랜섬웨어 분석] VoidCrypt 랜섬웨어 VoidCrypt Ransomware 감염 주의 최근 “VoidCrypt”라 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어에 감염될 경우 정상적인 시스템 기능을 비활성화하고, 사용자의 파일을 암호화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 주의가 필요하다. “VoidCrypt” 랜섬웨어가 실행되면, 원활한 악성 동작을 위해 다음 [표 1] 목록의 서비스 및 프로세스를 종료시킨다. 이후 [표 2]의 목록과 같이 윈도우 복구 모드 비활성화, 백업 카탈로그 삭제 및 방화벽을 비활성화 한다. 사용자 PC의 드라이브 목록을 검색한 뒤, 폴더 및 파일의 경로가 “Windows”인 경우를 제외한 모든 파일을 암호화한다. 암호화한 파일에는 Void 확장자를 덧붙이고, 랜섬노트를 생성한 뒤 실행하여 감염 사실과.. 2020. 4. 23.
[악성코드 분석] 서류 배송으로 위장한 피싱 메일 주의 서류 배송으로 위장한 피싱 메일 주의 최근 특정 기업을 사칭해 서류 배송 관련 내용으로 위장한 피싱 메일이 발견되어 사용자의 주의가 필요하다. 이번에 발견된 메일의 제목은 ‘[DHL KOREA] 서류 도착 통지’로 되어있으며 잘못된 세관 신고로 인해 첨부파일의 문서를 숙지해달라는 내용으로 첨부파일 실행을 유도하고 있다. 첨부 파일은 디스크 이미지 파일(.img) 형식으로 되어있으며 더블 클릭할 경우, 자동으로 마운트 되어 내부에 존재하는 실행 파일(‘DHL Assessment Package.exe’)을 볼 수 있다. 이를 서류 배송 관련 문서로 착각해 실행하면 구글 드라이브에서 암호화된 ‘Formbook’ 악성코드를 다운받고 복호화한 뒤 실행한다. 실행된 ‘Formbook’ 악성코드는 정상 프로세스에 인.. 2020. 4. 16.
[랜섬웨어 분석] VHD 랜섬웨어 VHD Ransomware 감염 주의 최근 “VHD”라 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 메일과 그룹웨어 기능을 제공하는 Microsoft Exchange Server의 서비스를 종료하고, 사용자 시스템의 파일을 암호화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 사용자의 주의가 필요하다. “VHD” 랜섬웨어가 실행되면 휴지통의 파일을 전부 삭제하고, 원활한 악성 동작을 위해 아래 [그림 1]과 같이 서비스를 종료시킨다. 이후 바탕화면에 “HowToDecrypt.txt” 랜섬노트를 생성하고 사용자 시스템의 드라이브 목록과 타입을 검색한다. 검색된 드라이브가 [표 1]의 제외 대상이 아닌 경우 최상단 경로에 랜섬노트를 추가로 생성한다. 위 조건의 해당하는 드라이브의 파일들을 검색한 뒤,.. 2020. 4. 10.
[랜섬웨어 분석] Nephilim 랜섬웨어 진화하는 Nephilim 랜섬웨어 최근 코로나 바이러스 등의 여파로 다양한 종류의 랜섬웨어가 등장하며, Nemty 랜섬웨어 2.5에서 변형된 형태로 Nefilim 랜섬웨어가 나타났다. 그리고 잇달아 Nefilim 랜섬웨어의 변형된 형태인 Nephilim 랜섬웨어가 나타났다. 해당 랜섬웨어는 Nefilim 랜섬웨어와 유사한 동작을 하나, 기업을 타겟으로 하며 암호화 대상의 범위가 확대되는 등의 변형이 있어 큰 주의가 필요하다. 이번 보고서에서는 Nephilim 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 특정 파일과 디렉토리를 제외하고 암호화 동작을 수행한 뒤, Root 아래에 랜섬노트를 생성한다. 그리고 %Temp%에 랜섬노트 이미지 파일을 드롭하여 배경화면으로 지정하여 사용자에게 랜섬웨어 .. 2020. 4. 7.

티스토리툴바