랜섬웨어치료38 [랜섬웨어 분석] BabukLocker 랜섬웨어 최근 “BabukLocker” 랜섬웨어가 발견되었다. ‘BabukLocker’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 볼륨 섀도우 복사본 삭제를 통해PC 복구가 불가능하도록 하며 랜섬노트를 통해 랜섬머니를 요구한다. 해당 랜섬웨어는 암호화 이전에 특정 프로세스를 종료시켜 더 많은 파일을 암호화하므로 주의가 필요하다. “BabukLocker” 랜섬웨어를 실행할 때 [표 1]에 해당하는 명령어를 이용하여 네트워크 드라이브를 암호화하는 루틴이 추가된다. 해당 랜섬웨어에 감염되면 %USERPROFILE% 경로 및 하위 폴더의 모든 확장자의 파일이 암호화 되며 암호화된 파일명의 확장자 뒤에 “.__NIST_K571__” 라는 이름의 확장자를 덧붙인다. 또한, 암호화 대상 폴더에 “How.. 2021. 1. 11. [랜섬웨어 분석] Marvel 랜섬웨어 “Marvel” 랜섬웨어는 20년 4월경 발견되었으며, Marvel 시그니처와 rhino, parrot, coka 등 여러 확장자를 사용하는 것이 특징이다. 최초 등장 이후 지속적으로 새로운 버전의 랜섬웨어가 발견되었으며, 최근 termit 이라는 확장자를 사용하는 “Marvel” 랜섬웨어가 발견되어 주의가 필요하다. “Marvel” 랜섬웨어 실행 시 현재 실행중인 프로세스 목록을 확인하여 [표 1] 목록의 프로세스를 종료시킨다. 그리고 ‘사용자 폴더\AppData’ 폴더에 “mhtop32bit.exe” 파일명으로 원본파일을 복사 후 실행한다. 파일을 검색하여 [표 2] 암호화 대상 조건에 부합하는 파일을 암호화한 뒤, “[Ashtray@outlookpro.net].termit” 확장자를 암호화한 파일에.. 2021. 1. 7. [랜섬웨어 분석] Thanos 랜섬웨어 최근 Anti Debugging 동작을 하는 Thanos 랜섬웨어가 등장하였다. 해당 랜섬웨어는 파일 감염 동작과 더불어, 정상 소프트웨어를 다운로드하고 정상 프로세스에 인젝션하여 사용자가 악성동작이 이루어지는 것을 알아차리지 못하도록 하기에 큰 주의가 필요하다. Thanos 랜섬웨어에 감염되면, 암호화 동작을 한 디렉토리에 랜섬노트를 생성하고 모든 악성동작이 끝나면 바탕화면에 띄워 감염사실을 알린다. Thanos 랜섬웨어는 먼저, 실행중인 프로세스 중에서 디버깅과 관련된 프로세스가 존재하면 해당 랜섬웨어의 동작을 중지하고 자가 삭제한다. 그리고 정상 프로그램인 “ProcessHide64.exe” 또는 “ProcessHide32.exe” 파일을 다운로드 한다. “ProcessHide32.exe”는 정상 .. 2020. 12. 24. [랜섬웨어 분석] Lola 랜섬웨어 최근 “Lola” 랜섬웨어가 발견되었다. ‘Lola’ 랜섬웨어는 %USERPROFILE% 경로를 대상으로 암호화 하고, 사용자의 PC 복구가 불가능하도록 하며 랜섬노트를 통해 랜섬머니를 요구한다. 해당 랜섬웨어는 3일의 기간 동안 랜섬머니를 50% 가격만 받는다는 메시지로 피해자의 불안감을 증폭시켜 협박하므로 주의가 필요하다. “Lola” 랜섬웨어에 감염되면 %USERPROFILE% 경로 및 하위 폴더의 [표 1]에 해당하는 확장자의 파일이 암호화 된다. 암호화 이후 감염된 파일명의 확장자 뒤에 “.lola” 라는 이름의 확장자를 덧붙인다. 또한, 암호화 대상 폴더에 “Please_Read.txt”라는 이름의 랜섬노트를 생성하여 사용자에게 감염 사실을 알린다. 랜섬노트에 따르면 암호화된 파일을 빌미로 3.. 2020. 12. 17. [랜섬웨어 분석] CryLock 랜섬웨어 CryLock Ransomware 감염 주의 최근 발견된 “CryLock” 랜섬웨어는 대다수의 파일 확장자에 대해 파일 암호화를 진행하고 시스템 복구를 무력화한다. 그리고 시스템이 재부팅되어도 랜섬웨어가 자동실행되도록 설정하기 때문에 주의가 필요하다. 해당 랜섬웨어는 “%TEMP%” 경로에 랜덤 파일명으로 자가복제하고 실행된다. 그리고 아래 [표 1]의 암호화 제외 목록을 참고하고 대부분의 확장자에 대해 파일 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “[공격자의 email].[랜덤 문자열]” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “how_to_decrypt.hta” 랜섬노트를 생성한다. 또한 “TEMP”경로에 자가복제된 파일과 랜섬노트를 시스템이 재부팅되어도 자동 실행되도록 설정한다. .. 2020. 12. 4. [랜섬웨어 분석] Vash Sorena 랜섬웨어 Vash Sorena 랜섬웨어 주의 최근, Vash Sorena 랜섬웨어가 등장하였다. 해당 랜섬웨어는 OS운영에 관련된 디렉토리를 제외 한 모든 파일에 대하여 암호화 동작을 수행하기 때문에 큰 피해를 초래할 수 있다. Vash Sorena 랜섬웨어는 암호화 동작을 원활하게 수행되도록 하기 위해, 실행중인 SQL 관련 프로세스를 종료하여 암호화 대상을 확대한다. 그리고 각종 프로그램 정보가 있는 AppData 폴더와 휴지통 폴더을 삭제한다. 그 후, C 드라이브 아래와 %USER% 디렉토리 아래의 Desktop 폴더, Network Shortcuts 폴더에 랜섬노트를 생성한다. 하기의 표와 같이 OS 운영과 관련된 디렉토리를 제외하고 C드라이브에 대한 모든 파일을 대상으로 암호화 동작을 수행한다. 암호화.. 2020. 11. 30. 이전 1 2 3 4 5 6 7 다음
