잉카인터넷 시큐리티대응센터 블로그

Sigrun 랜섬웨어 감염 주의 1. 개요 GandCrab 랜섬웨어가 활발히 유포되어 많은 사용자들의 피해가 속출하고 있다. 랜섬웨어에 대한 각별한 주의가 요해지고 있는 최근, 해외에서 유포되기 시작하여 국내에도 피해사례가 발생되고 있는 Sigrun 랜섬웨어가 등장하였다. 추후 버전업의 여지가 있어 보이는 Sigrun 랜섬웨어를 이번 분석 보고서에서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 48,640 byte 진단명 Ransom/W32.Sigrun.48640 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았으나, 이메일 등을 통해 국내의 불특정 다수를 대상으로 유포 되고 있는 것으로 추정된다. 2-3. 실행 과정 ..

BlackHeart Ransomware 주의 1. 개요 본 보고서에서 다루게 될 ‘BlackHeart Ransomware’ 는 주요 목적인 파일 암호화를 성공적으로 하기 위해, 정상적으로 사용되는 프로그램을 패키지로 묶어 함께 배포하고 있다. 함께 배포되는 정상프로그램은 원격 접속 프로그램으로 해당 랜섬웨어가 실행될 때 함께 실행되어, 사용자의 이목을 끄는 역할로 보여진다. 이번 보고서에서는 ‘BlackHeart Ransomware’ 는 어떤 동작을 수행하는지 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 2,102,784 byte 진단명 Trojan/W32.HackTool.2102784 악성동작 악성파일 드롭 구분 내용 파일명 BLAC..

진화하는 GandCrab 랜섬웨어, 초기 버전부터 변화과정 1. 개요 최근 입사지원서나 교통범칙금으로 위장한 랜섬웨어가 대규모로 유포 되어 이용자들의 피해가 속출하고 있다. 악성 URL 링크를 첨부하고 악성 압축파일을 내려 받도록 유도하는 방식이다. 내려 받은 악성파일에는 자바스크립트(*.js) 파일이 포함되어 있으며, 이 파일을 실행하면 자동으로 랜섬웨어가 사용자 PC에 설치된다. 이 랜섬웨어는 갠드크랩(GandCrab) 이며, 2018년 2월 처음 발견된 후 버전업을 통해 유포 방식부터 감염 방식까지 진화 중 이다. 이번 보고서에는 GandCrab 랜섬웨어의 초기 버전부터 3.0버전까지의 변화된 내용에 대해서 간략하게 알아보고자 한다. 2. 분석 정보 2-1. GandCrab 랜섬웨어의 변화 구분 특..

새롭게 발견된 ‘Spartacus’ 랜섬웨어 감염 주의 1. 개요 최근, ‘Spartacus’ 라는 이름의 새로운 랜섬웨어가 발견되었다. 해외 한 보안사이트에 의하면 "Spartacus 랜섬웨어의 코드가 Satyr, Blackheart 랜섬웨어와 거의 동일하다” 고 언급하고 있다. ‘Spartacus’ 랜섬웨어는 실행 시 확장자 ‘.Spartacus’를 제외한 모든 확장자를 대상으로 암호화를 시도하며, 별도의 통신은 하지 않고 복호화를 빌미로 가상화폐를 요구한다. 이번 보고서에서는 새롭게 발견된 ‘Spartacus’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명SF.exe파일크기96,768 byte진단명Ransom/W32.Spartacus.96768악성동작파일 암호화..

네트워크 전파 기능이 추가된 Satan 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 Satan 랜섬웨어는 비전문가도 쉽게 제작할 수 있는 서비스형 랜섬웨어(Ransomware as a Service)이다. 서비스형 랜섬웨어란 요청에 따라 제작 또는 배포된 랜섬웨어를 의미한다. 이번 Satan 랜섬웨어는 파일 암호화뿐만 아니라 이터널 블루(EternalBlue)를 통해 네트워크 전파 기능을 수행하고 있어 각별한 주의가 필요하다.이번 보고서에는 네트워크 전파 기능이 추가된 Satan 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명sts.exe파일크기30,208byte진단명Ransom/W32.Satan.30208악성동작파일 암호화 2-2. 동작 방식이번 Satan..

버전업 되어 유포되고 있는 ‘GandCrab Ransomware’ 감염 주의 1. 개요 최근 취약점 등을 이용해 유포되던 ‘GandCrab Ransomware’가 버전업 되어 악성 메일로 유포 되고 있어 사용자들의 주의를 요한다. 사용자의 실행을 유도하는 악성 메일로 활발히 유포가 되고 있는 ‘GandCrab Ransomware’를 이번 보고서에서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명[임의의 파일명].exe파일크기41,472bytes진단명Ransom/W32.GandCrab.208904악성동작파일 암호화 2-2. 유포 경로기존 GandCrab 랜섬웨어 2.0와 유사하게 악성 메일로 유포되고 있으며, ‘=지원서=’, ‘입사지원서’ 라는 제목으로 유포되어 첨부파일 실행을 유도한다...

특정 게임을 플레이하면 파일을 복구해주는 ‘PUBG Ransomware’ 등장 1. 개요 일반적으로 랜섬웨어는 사용자의 PC에 저장되어 있는 파일들을 암호화하여 인질로 삼고 이를 복구하기 위한 방법으로 금전을 요구하는 반면, 최근 금전이 아닌 특정 게임을 플레이하면 파일을 복구해주는 ‘PUBG 랜섬웨어’가 등장하였다. 이는 ‘련선웨어 (Rensenware)’ 와 같이 특정 게임을 일정 시간 동안 플레이하면 파일을 복구해주는 ‘Joke’ 형태의 랜섬웨어 이다. ‘Joke’형태의 랜섬웨어 일지라도 사용자들에게 불편을 줄 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 ‘PUBG Ransomware’에 대하여 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명PUBG_Ransomware.ex..

Paradise 랜섬웨어 주의 1. 개요 다양한 악성코드 중에서도 랜섬웨어의 경우, 하나의 코드에서 파생되어 다양한 변종들이 생성됐을 만큼 많은 비중을 차지하고 있다. 과거에도 사용자의 파일을 사용하지 못하게 만드는 악성코드는 다수 존재했지만, 거래내역을 추적 당할 위험이 높아 쉽게 금전을 요구하지 못했을 것으로 추측된다. 최근 몇 년 사이에 가상화폐나 Tor-브라우저 등의 거래 추적이 어렵다는 특징을 악용한 사이버 범죄가 기승을 부리고 있다. 이러한 문제가 해결되기 전까지 랜섬웨어와 같은 악성코드도 끊임없이 등장할 것이다. 이번 보고서에서는 사용자의 파일을 암호화 하는 'Paradise 랜섬웨어' 에 대해서 알아보자. 2. 분석 정보 2-1. 파일 정보구분내용파일명DP_Main.exe파일크기36,864..

Zenis 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 제니스(Zenis) 랜섬웨어는 특정 조건의 파일을 암호화하거나 삭제한다. 현재까지 정확한 유포 경로는 밝혀지지 않았으며, 암호화한 파일은 ‘Zenis-[임의의 값].[임의의 값]’으로 파일명을 변경한다. 특히 삭제 대상의 파일을 삭제 전 3번에 걸쳐 다른 값으로 덮어씀으로써 파일 복구를 어렵게 한다. 이번 보고서에는 제니스 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명iis_agent32.exe파일크기147,968byte악성동작파일 암호화 2-2. 동작 방식제니스 랜섬웨어는 몇가지 특정 조건에 부합했을 때 랜섬웨어 동작을 수행한다. 그 조건으로 자기 자신의 파일명이 ‘iis_agent32.exe’와 일..

다시 돌아온 GandCrab Ransomware 감염 주의 1. 개요 'GandCrab Ransomware' 는 ‘Exploit Kit’을 통해 취약한 웹사이트에 방문했을 때 감염된다고 알려져 있다.해당 랜섬웨어에 감염이 되면, 사용자의 정보를 수집하여 전송하고 감염 대상이 되는 파일 확장자를 비교하여 암호화 동작을 수행한다. 하지만, 최근에 발견 된 'GandCrab Ransomware V2.0' 는 이메일을 통하여 유포되고 있는 것으로 보이며 기존 버전과 큰 차이는 없지만 감염 대상이 되는 확장자를 따로 구분없이 모든 파일에 대해 암호화 동작을 수행하는 것으로 확인된다. 이번 보고서에서는 버전업이 되어 돌아온 'GandCrab Ransomware V2.0' 에 대해서 간략하게 알아보자. 2. 분석 정..