랜섬웨어치료38 [랜섬웨어 분석] MrDec 랜섬웨어 “MrDec” 또는 “_RSA” 라고 알려진 랜섬웨어는 모든 이벤트 뷰어 로그를 삭제하고 파일 암호화 후에는 자기자신을 삭제한다. 지난 2018년에 발견되어 현재까지 유포되고 있어 주의가 필요하다. 해당 랜섬웨어는 아래 [표 1]의 암호화 제외 목록에 따라 기본적인 시스템 파일을 제외한 모든 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 “임의의ID_RSA” 형태의 확장자를 덧붙이며 암호화 대상 경로마다 “Data recovery.hta” 랜섬노트를 생성하고 실행한다. 파일 암호화 이외에도 명령 프롬프트에서 모든 이벤트 뷰어 로그 지우기 위해 ‘Windows’ 폴더에 ”delog.cmd" 파일을 생성하고 실행한다. 마지막으로 해당 랜섬웨어는 사용자가 복구하기 어렵도록 볼륨 섀도우 복사본을 .. 2021. 1. 28. 2020년 4분기 랜섬웨어 동향 보고서 1. 랜섬웨어 피해 사례 2020년 4분기(10월 1일 ~ 12월 31일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 “에그레고르(Egregor)”, “류크(Ryuk)”, “클롭(Clop)” 등의 랜섬웨어로 인한 피해가 다수 발견되었다. 10월에는 공정거래위원회 사칭 문서를 이용한 “마콥(Makop)” 랜섬웨어 공격이 있었고, 11월과 12월에는 이탈리아 주류 회사 Campari Group과 영국 대형 의료 업체 The Hospital Group이 각각 “라그나락커(RagnarLocker)”와 “레빌(REvil)” 랜섬웨어 공격을 받아 피해가 발생했다. 에그레고르(Egregor) 랜섬웨어 피해 사례 올해 9월부터 활발한 공격을 하고있는 에그레고르 랜섬웨어는 주로 피싱 메일을 이용해 유포된다. 또한,.. 2021. 1. 25. [랜섬웨어 분석] Matrix 랜섬웨어 1월 초, 파일을 드롭하여 악성동작을 하는 Matrix 랜섬웨어가 등장하였다. 해당 랜섬웨어는 배치파일 등을 이용하여 사용자 PC에 악성동작을 수행한다. 그리고 기본적인 윈도우 관련 디렉토리를 제외한 모든 폴더에 대하여 파일을 감염하기에 주의가 필요하다. 하기의 이미지를 드롭하여 바탕화면으로 등록하여 감염사실을 알린다. 또한, 감염 동작이 이루어진 모든 폴더 아래에 랜섬노트를 생성하여 감염사실을 2차적으로 알린다. Matrix 랜섬웨어는 먼저, 임의의 파일명으로 자가복사를 하고, vbs 파일과 bat 드롭한다. 드롭된 vbs 파일은 bat 파일을 schtasks 에 등록하여 5분마다 실행하도록 한다. 이 때 알람이 뜨지않고 작업이 겹칠 경우 강제로 실행하도록 하여 사용자가 눈치채지 못하도록 한다. 그리고.. 2021. 1. 25. [랜섬웨어 분석] DeroHE 랜섬웨어 주말 동안 윈도우 유틸리티 개발 업체인 IObit에서 발송한 것으로 위장한 메일이 IObit 회원들에게 전송됐다. 메일은 자사 1년 무료 라이선스를 지급한다는 내용으로 작성되었으며, “DeroHE” 랜섬웨어가 포함된 압축 파일을 다운로드하는 링크가 포함되어있다고 알려졌다. 만약, 사용자가 메일로 받은 링크에서 파일을 다운로드 한 후, 라이선스 획득을 위해 IObit License Manager.exe를 실행하면 “DeroHE” 랜섬웨어가 실행되어 파일이 암호화되며 확장자가 “.DeroHE”로 변경된다. 또한, 파일 복구를 위해 200 Dero 코인을 요구하므로 주의가 필요하다. 다운로드된 파일을 압축 해제한 후, IObit License Manager.exe를 실행하면 랜섬웨어 동작을 하는 iobit.d.. 2021. 1. 21. [랜섬웨어 분석] Egregor 랜섬웨어 랜섬웨어 분석 보고서 “Egregor” 랜섬웨어는 지난 2020년 9월경에 발견되어 12월 초, 네덜란드 컨설팅 회사인 Randstad을 대상으로 공격했던 사례가 있어 주의가 필요하다. 해당 랜섬웨어는 피싱 메일을 통해 유포되는 Qakbot, IcedID와 같은 악성코드를 통해 다운로드되어 감염된 시스템의 사용자 데이터 유출을 위해 클라우드 파일 관리 프로그램인 Rclone을 이용한다고 알려진다. 또한 특정 명령줄 인수를 통해 파일 암호화가 진행되며 특정 프로세스와 서비스를 종료한다. “Egregor” 랜섬웨어는 아래 [표 1]의 암호화 제외 목록에 따라 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 “랜덤명4~6자리” 형태의 확장자를 덧붙이며 암호화 대상 경.. 2021. 1. 18. [랜섬웨어 분석] Solaso 랜섬웨어 랜섬웨어 분석 보고서 올해 초 Solaso 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어 동작과 유사하며, 사용자가 주로 사용하는 폴더와 확장자를 대상으로 감염 동작을 수행한다. 그리고 악성동작을 완료하면 자가 삭제하여 흔적을 지우기에 주의가 필요하다. 해당 랜섬웨어는 하기의 이미지와 같이 파일 감염사실을 알리는 랜섬노트를 생성한다. Solaso 랜섬웨어는 운영체제의 주요 파일에 대해 직접적인 영향을 끼치지 않지만, 사용자가 주로 사용하는 %USERPROFILE% 아래의 특정 폴더와 확장자를 대상으로 암호화 동작을 수행한다. 암호화가 되면 파일명은 “파일명.확장자.solaso” 로 변경된다. 이번 보고서에서 알아본 Solaso 랜섬웨어는 사용중인 대부분의 드라이브에 사용자 디렉토리를 대상으로 .. 2021. 1. 12. 이전 1 2 3 4 5 ··· 7 다음
