랜섬웨어백신32 [랜섬웨어 분석] RedRoman 랜섬웨어 RedRoman Ransomware 감염 주의 최근 “RedRoman” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 64비트 OS 환경에서 동작하며, 실행 시 시스템 복원 정보가 저장된 볼륨 섀도우 복사본을 삭제한 뒤 사용자의 파일을 암호화하고 있어 주의가 필요하다. “RedRoman” 랜섬웨어 실행 시 ‘C:\ProgramData’ 경로에 “amdkey.bat” 배치파일을 생성한 뒤Powershell을 통해 관리자 권한으로 실행시킨다. 실행된 배치파일은 아래 [표 1]의 목록과 같이 볼륨 섀도우 복사본을 삭제하고, 저장소 크기를 조정하여 시스템 복원을 무력화 시키고 “RedROMAN” 계정을 추가한다. 그리고 아래 [표 2] 암호화 대상 목록과 비교하여 조건에 부합하는 파일을 암호화하고, 암호화한 파일에RE.. 2020. 11. 25. [랜섬웨어 분석] MountLocker 랜섬웨어 MountLocker 랜섬웨어 주의 “MountLocker” 랜섬웨어는 10월에 Miltenyi Biotec 회사를 대상으로 공격을 수행했던 랜섬웨어로 알려진다. 또한 파일 암호화 이외에도 데이터를 탈취해 특정 사이트에 공개한다고 알려지기 때문에 사용자의 주의가 필요하다. 해당 랜섬웨어는 Windows 폴더를 제외한 2천 개가 넘는 확장자에 대해 파일 암호화를 진행하는데 TurboTax 프로그램에서 사용되는 파일의 확장자(.tax, .tax2009, tax2013, tax2014)가 포함되어있는 특징이 존재한다. 그리고 암호화된 파일에는 ‘ReadManual.랜덤문자’ 형태로 확장자를 덧붙이며, 시스템 복구를 무력화하기 위해 볼륨 섀도우 복사본을 삭제할 수 있는 아래의 명령어를 실행한다. 파일 암호화가 .. 2020. 11. 25. [랜섬웨어 분석] Fonix 랜섬웨어 Fonix Ransomware 감염 주의 최근 "Fonix” 랜섬웨어가 발견되었다. ‘Fonix’ 랜섬웨어는 특정 파일 및 폴더를 제외한 모든 파일에 대해 암호화를 하고, 랜섬노트를 띄운 후 피해자에게 몸값을 요구한다. 또, 사용자가 PC를 다시 복구할 수 없도록 하며 중요한 윈도우 OS폴더를 제외한 모든 확장자를 대상으로 암호화가 이루어지므로 사용자의 주의가 필요하다. “Fonix” 랜섬웨어에 감염되면 [표 1]의 해당 랜섬웨어와 관련된 파일 및 중요한 윈도우 OS폴더를 제외한 모든 확장자의 파일이 암호화 된다. 암호화 이후 로컬 드라이브의 이름을 XINOF로 바꾸고, 감염된 파일명의 확장자 뒤에 “.Email=[Email Address]ID=[UserID].XINOF” 라는 이름의 확장자를 덧붙인다... 2020. 11. 18. [랜섬웨어 분석] Zeppelin 랜섬웨어 Zeppelin Ransomware 감염 주의 “Zeppelin” 랜섬웨어는 Buran 랜섬웨어의 변종으로 2019년 11월쯤에 발견되었다. 당시 미국과 유럽 회사를 공격했던 랜섬웨어로 알려졌는데 최근 다시 Zeppelin 랜섬웨어가 등장하여 의료 및 기술 분야와 관련된 내용으로 작성한 피싱 이메일을 유포하고 있어 주의가 필요하다. 이번 보고서에서는 “Zeppelin” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 아래 [표 1]의 암호화 제외 목록을 참고하고 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “랜덤명3자리-랜덤명3자리-랜덤명3자리” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “RECOVERY DATA INFORMATION.TXT”.. 2020. 10. 28. [랜섬웨어 분석] DogeCrypt 랜섬웨어 DogeCrypt Ransomware 감염 주의 최근 “DogeCrypt” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 윈도우 창을 통해 악성 동작의 내용을 설명하고 문서 파일, 이미지 파일 등 사용자의 파일을 암호화하고 있어 주의가 필요하다 이번 보고서에서는 “DogeCrypt” 랜섬웨어에 대해 알아보고자 한다. “DogeCrypt” 랜섬웨어 실행 시, C 드라이브의 파일을 검색하여 [표 1] 암호화 대상 목록의 조건에 부합하는 파일을 암호화하고 “[dogeremembersss@protonmail.ch] .DogeCrypt” 확장자를 덧붙인다. 파일 암호화 이후, 'C:\' 경로에 “DOGECRYPTinfo.jpg” 파일을 생성하고 해당 파일을 다음 [그림 3]과 같이 바탕 화면으로 설정한다. 그리고 바탕화.. 2020. 10. 23. [랜섬웨어 분석] Animus 랜섬웨어 Animus Ransomware 감염 주의 “Animus” 랜섬웨어는 excel.exe, winword.exe, outlook.exe등 특정 프로세스를 종료하고 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “Animus” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 시스템과 관련된 파일 및 폴더 이외의 파일을 대상으로 아래 [표 1]과 같은 확장자 파일에 대해 암호화를 진행하고 “랜덤파일명.desu”로 변경한다. 또한 암호화 대상 경로마다 “@_DECRYPT_@.txt, @_DECRYPT2_@.txt, @_DECRYPT3_@.txt” 랜섬노트를 생성하는데, 3개의 랜섬노트는 모두 동일한 내용을 갖고 있다. 이번 보고서에서 알아본 “Animus” 랜섬웨어는 특정 프로세스를 종.. 2020. 10. 20. 이전 1 2 3 4 5 6 다음
