본문 바로가기

랜섬웨어진단56

[랜섬웨어 분석] Matrix 랜섬웨어 1월 초, 파일을 드롭하여 악성동작을 하는 Matrix 랜섬웨어가 등장하였다. 해당 랜섬웨어는 배치파일 등을 이용하여 사용자 PC에 악성동작을 수행한다. 그리고 기본적인 윈도우 관련 디렉토리를 제외한 모든 폴더에 대하여 파일을 감염하기에 주의가 필요하다. 하기의 이미지를 드롭하여 바탕화면으로 등록하여 감염사실을 알린다. 또한, 감염 동작이 이루어진 모든 폴더 아래에 랜섬노트를 생성하여 감염사실을 2차적으로 알린다. Matrix 랜섬웨어는 먼저, 임의의 파일명으로 자가복사를 하고, vbs 파일과 bat 드롭한다. 드롭된 vbs 파일은 bat 파일을 schtasks 에 등록하여 5분마다 실행하도록 한다. 이 때 알람이 뜨지않고 작업이 겹칠 경우 강제로 실행하도록 하여 사용자가 눈치채지 못하도록 한다. 그리고.. 2021. 1. 25.
[랜섬웨어 분석] DeroHE 랜섬웨어 주말 동안 윈도우 유틸리티 개발 업체인 IObit에서 발송한 것으로 위장한 메일이 IObit 회원들에게 전송됐다. 메일은 자사 1년 무료 라이선스를 지급한다는 내용으로 작성되었으며, “DeroHE” 랜섬웨어가 포함된 압축 파일을 다운로드하는 링크가 포함되어있다고 알려졌다. 만약, 사용자가 메일로 받은 링크에서 파일을 다운로드 한 후, 라이선스 획득을 위해 IObit License Manager.exe를 실행하면 “DeroHE” 랜섬웨어가 실행되어 파일이 암호화되며 확장자가 “.DeroHE”로 변경된다. 또한, 파일 복구를 위해 200 Dero 코인을 요구하므로 주의가 필요하다. 다운로드된 파일을 압축 해제한 후, IObit License Manager.exe를 실행하면 랜섬웨어 동작을 하는 iobit.d.. 2021. 1. 21.
[랜섬웨어 분석] Egregor 랜섬웨어 랜섬웨어 분석 보고서 “Egregor” 랜섬웨어는 지난 2020년 9월경에 발견되어 12월 초, 네덜란드 컨설팅 회사인 Randstad을 대상으로 공격했던 사례가 있어 주의가 필요하다. 해당 랜섬웨어는 피싱 메일을 통해 유포되는 Qakbot, IcedID와 같은 악성코드를 통해 다운로드되어 감염된 시스템의 사용자 데이터 유출을 위해 클라우드 파일 관리 프로그램인 Rclone을 이용한다고 알려진다. 또한 특정 명령줄 인수를 통해 파일 암호화가 진행되며 특정 프로세스와 서비스를 종료한다. “Egregor” 랜섬웨어는 아래 [표 1]의 암호화 제외 목록에 따라 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 “랜덤명4~6자리” 형태의 확장자를 덧붙이며 암호화 대상 경.. 2021. 1. 18.
[랜섬웨어 분석] Solaso 랜섬웨어 랜섬웨어 분석 보고서 올해 초 Solaso 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어 동작과 유사하며, 사용자가 주로 사용하는 폴더와 확장자를 대상으로 감염 동작을 수행한다. 그리고 악성동작을 완료하면 자가 삭제하여 흔적을 지우기에 주의가 필요하다. 해당 랜섬웨어는 하기의 이미지와 같이 파일 감염사실을 알리는 랜섬노트를 생성한다. Solaso 랜섬웨어는 운영체제의 주요 파일에 대해 직접적인 영향을 끼치지 않지만, 사용자가 주로 사용하는 %USERPROFILE% 아래의 특정 폴더와 확장자를 대상으로 암호화 동작을 수행한다. 암호화가 되면 파일명은 “파일명.확장자.solaso” 로 변경된다. 이번 보고서에서 알아본 Solaso 랜섬웨어는 사용중인 대부분의 드라이브에 사용자 디렉토리를 대상으로 .. 2021. 1. 12.
[랜섬웨어 분석] BabukLocker 랜섬웨어 최근 “BabukLocker” 랜섬웨어가 발견되었다. ‘BabukLocker’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 볼륨 섀도우 복사본 삭제를 통해PC 복구가 불가능하도록 하며 랜섬노트를 통해 랜섬머니를 요구한다. 해당 랜섬웨어는 암호화 이전에 특정 프로세스를 종료시켜 더 많은 파일을 암호화하므로 주의가 필요하다. “BabukLocker” 랜섬웨어를 실행할 때 [표 1]에 해당하는 명령어를 이용하여 네트워크 드라이브를 암호화하는 루틴이 추가된다. 해당 랜섬웨어에 감염되면 %USERPROFILE% 경로 및 하위 폴더의 모든 확장자의 파일이 암호화 되며 암호화된 파일명의 확장자 뒤에 “.__NIST_K571__” 라는 이름의 확장자를 덧붙인다. 또한, 암호화 대상 폴더에 “How.. 2021. 1. 11.
12월 랜섬웨어 동향 및 RansomToad 랜섬웨어 악성코드 분석보고서 1. 12월 랜섬웨어 동향 2020년 12월(1월 01일 ~ 12월 31일) 한 달간 랜섬웨어 동향을 조사한 결과, 해외에서는 네덜란드 다국적 인적 자원 컨설팅 회사 Randstad NV, 헬리콥터 제조업체 Kopter가 각각 “Egregor”, “LockBit” 랜섬웨어에 공격을 받았다. 또한, 미국의 전자 업체 Foxconn Eletronics가 “DoppelPaymer” 랜섬웨어 공격을 받았으며, 각 업체에서 유출된 정보를 이용한 랜섬머니 요구가 계속 발생하고 있다. 1-1. 국내/외 랜섬웨어 소식 네덜란드 다국적 인적 자원 컨설팅 회사 Randstad NV, Egregor 랜섬웨어 피해 사례 12월 초, 네덜란드 다국적 인적 자원 컨설팅 회사 Randstad NV 가 “Egre.. 2021. 1. 7.

티스토리툴바