랜섬웨어진단 56

[랜섬웨어 분석] ANCrypted 랜섬웨어

최근 “ANCrypted” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 폴더를 제외하고 사용자 PC의 국가 코드가 IR(이란)이 아닐 경우 모든 확장자에 대해 파일 암호화를 진행하기 때문에 주의가 필요하다. “ANCrypted” 랜섬웨어는 먼저 Myip 사이트에 접속해 사용자 PC의 IP 주소, 국가, 국가 코드를 확인하고 국가 코드가 IR(이란)인지 확인한다. 국가 코드가 IR(이란)이 아니면 아래 [표 1]에 해당하는 특정 폴더를 제외한 모든 경로의 파일에 대해 암호화를 진행한다. 또한 파일 암호화를 위해 “%TEMP%” 경로에 암호화 대상 파일 목록을 LST 파일로 임시 생성하고, 암호화가 진행될 경우 ‘Encripted’ 내용이 담긴 “End.lst” 파일을 생성한다. 이후 암호화가 완료된 파일은..

[랜섬웨어 분석] Thanos 랜섬웨어

최근 Anti Debugging 동작을 하는 Thanos 랜섬웨어가 등장하였다. 해당 랜섬웨어는 파일 감염 동작과 더불어, 정상 소프트웨어를 다운로드하고 정상 프로세스에 인젝션하여 사용자가 악성동작이 이루어지는 것을 알아차리지 못하도록 하기에 큰 주의가 필요하다. Thanos 랜섬웨어에 감염되면, 암호화 동작을 한 디렉토리에 랜섬노트를 생성하고 모든 악성동작이 끝나면 바탕화면에 띄워 감염사실을 알린다. Thanos 랜섬웨어는 먼저, 실행중인 프로세스 중에서 디버깅과 관련된 프로세스가 존재하면 해당 랜섬웨어의 동작을 중지하고 자가 삭제한다. 그리고 정상 프로그램인 “ProcessHide64.exe” 또는 “ProcessHide32.exe” 파일을 다운로드 한다. “ProcessHide32.exe”는 정상 ..

[랜섬웨어 분석] Krider 랜섬웨어

최근 “Krider” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 ‘%Desktop%’ 경로를 대상으로 파일을 암호화하고 볼륨 섀도우 복사본을 삭제하여 파일 복구를 어렵게 한다. 또한, 컴퓨터를 켰을 때 “Krider” 랜섬웨어가 자동 실행되므로 사용자의 주의가 필요하다. “Krider” 랜섬웨어에 감염되면 ‘%Desktop%’ 경로가 아닌 ‘C:\user\user-name’ 경로에 “DesktopDECRYPT_ME.TXT”란 이름의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 암호화된 파일은 [그림 2]와 같이 랜덤 파일명으로 변경되고 “.adr” 확장자가 붙는다. 파일 암호화는 ‘%Desktop%’ 경로에서 [표 1]의 확장자에 해당하는 파일을 대상으로 진행된다. 또한, 정상적인 복구..

[랜섬웨어 분석] Lola 랜섬웨어

최근 “Lola” 랜섬웨어가 발견되었다. ‘Lola’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 사용자의 PC 복구가 불가능하도록 하며 랜섬노트를 통해 랜섬머니를 요구한다. 해당 랜섬웨어는 3일의 기간 동안 랜섬머니를 50% 가격만 받는다는 메시지로 피해자의 불안감을 증폭시켜 협박하므로 주의가 필요하다. “Lola” 랜섬웨어에 감염되면 %USERPROFILE% 경로 및 하위 폴더의 [표 1]에 해당하는 확장자의 파일이 암호화 된다. 암호화 이후 감염된 파일명의 확장자 뒤에 “.lola” 라는 이름의 확장자를 덧붙인다. 또한, 암호화 대상 폴더에 “Please_Read.txt”라는 이름의 랜섬노트를 생성하여 사용자에게 감염 사실을 알린다. 랜섬노트에 따르면 암호화된 파일을 빌미로 3..

[랜섬웨어 분석] BlackKingdom 랜섬웨어

지난 12월 초, BlackKingdom 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자에 따라, C드라이브 내 모든 경로에 대하여 파일 감염 동작을 수행하기에 사용자의 주의가 필요하다. BlackKingdom 랜섬웨어는 악성동작이 이루어지면, 카운트다운과 랜섬노트를 띄워 감염사실을 알린다. 해당 랜섬웨어는 암호화 동작이 이루어지기 전에, 원격지 서버에 연결을 시도하지만 현 분석 시점에는 연결되지 않는다. 그리고, 바탕화면에 txt 파일의 랜섬노트를 생성하지만, 암호화 대상 확장자로 감염동작이 이루어질 때 랜섬노트도 암호화된다. 하기의 표와 같이, C 드라이브 경로 내에 특정 확장자에 대하여 암호화 동작을 수행한다. 감염이 되면 “파일명.확장자.DEMON” 파일명이 변경된다. 이번 보고서에서 알아본 Bla..

[랜섬웨어 분석] NocryCryptor 랜섬웨어

NocryCryptor Ransomware 감염 주의 최근 ‘%USERPROFILE%’ 경로를 대상으로 파일을 암호화하는 “NocryCryptor” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자에 따라 파일 감염 방식과 변경하는 확장자가 다르고, 바탕화면에 랜섬노트를 생성하여 50유로 상당의 비트코인을 요구하므로 사용자의 주의가 필요하다. “NocryCryptor” 랜섬웨어에 감염되면 바탕화면에 “CryptoJoker Recovery Information.txt”란 이름의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 감염된 컴퓨터에서의 파일 암호화는 ‘%USERPROFILE%’ 경로를 대상으로 진행되며 암호화된 파일은 [그림 2]와 같이 “.fully.nocry” 또는 “partia..

11월 랜섬웨어 동향 및 Pulpit 랜섬웨어

악성코드 분석보고서 1. 11월 랜섬웨어 동향 2020년 11월(11월 01일 ~ 11월 30일) 한 달간 랜섬웨어 동향을 조사한 결과, “Clop” 랜섬웨어 운영자가 국내 소매 대기업을 공격했다고 주장하였고, 해외에서는 프랑스 IT 서비스 대기업 Sopra Steria가 “Ryuk” 랜섬웨어 공격을 받았다. 또한, 일본의 게임 개발 업체 Capcom은 “RagnarLocker” 랜섬웨어에 공격을 받아 데이터가 유출된 사건이 있었다. 1-1. 국내/외 랜섬웨어 소식 프랑스 IT 서비스 대기업 Sopra Steria, Ryuk 랜섬웨어 피해 사례 지난 10월 20일경, 프랑스 IT 서비스 대기업 Sopra Steria가 “Ryuk” 랜섬웨어 공격을 당해 5천만 유로의 손실이 생겼다. 해당 업체에서는 보안 ..

[랜섬웨어 분석] CryLock 랜섬웨어

CryLock Ransomware 감염 주의 최근 발견된 “CryLock” 랜섬웨어는 대다수의 파일 확장자에 대해 파일 암호화를 진행하고 시스템 복구를 무력화한다. 그리고 시스템이 재부팅되어도 랜섬웨어가 자동실행되도록 설정하기 때문에 주의가 필요하다. 해당 랜섬웨어는 “%TEMP%” 경로에 랜덤 파일명으로 자가복제하고 실행된다. 그리고 아래 [표 1]의 암호화 제외 목록을 참고하고 대부분의 확장자에 대해 파일 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “[공격자의 email].[랜덤 문자열]” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “how_to_decrypt.hta” 랜섬노트를 생성한다. 또한 “TEMP”경로에 자가복제된 파일과 랜섬노트를 시스템이 재부팅되어도 자동 실행되도록 설정한다. ..

[랜섬웨어 분석] Vash Sorena 랜섬웨어

Vash Sorena 랜섬웨어 주의 최근, Vash Sorena 랜섬웨어가 등장하였다. 해당 랜섬웨어는 OS운영에 관련된 디렉토리를 제외 한 모든 파일에 대하여 암호화 동작을 수행하기 때문에 큰 피해를 초래할 수 있다. Vash Sorena 랜섬웨어는 암호화 동작을 원활하게 수행되도록 하기 위해, 실행중인 SQL 관련 프로세스를 종료하여 암호화 대상을 확대한다. 그리고 각종 프로그램 정보가 있는 AppData 폴더와 휴지통 폴더을 삭제한다. 그 후, C 드라이브 아래와 %USER% 디렉토리 아래의 Desktop 폴더, Network Shortcuts 폴더에 랜섬노트를 생성한다. 하기의 표와 같이 OS 운영과 관련된 디렉토리를 제외하고 C드라이브에 대한 모든 파일을 대상으로 암호화 동작을 수행한다. 암호화..

[랜섬웨어 분석] RedRoman 랜섬웨어

RedRoman Ransomware 감염 주의 최근 “RedRoman” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 64비트 OS 환경에서 동작하며, 실행 시 시스템 복원 정보가 저장된 볼륨 섀도우 복사본을 삭제한 뒤 사용자의 파일을 암호화하고 있어 주의가 필요하다. “RedRoman” 랜섬웨어 실행 시 ‘C:\ProgramData’ 경로에 “amdkey.bat” 배치파일을 생성한 뒤Powershell을 통해 관리자 권한으로 실행시킨다. 실행된 배치파일은 아래 [표 1]의 목록과 같이 볼륨 섀도우 복사본을 삭제하고, 저장소 크기를 조정하여 시스템 복원을 무력화 시키고 “RedROMAN” 계정을 추가한다. 그리고 아래 [표 2] 암호화 대상 목록과 비교하여 조건에 부합하는 파일을 암호화하고, 암호화한 파일에RE..