잉카인터넷 시큐리티대응센터 블로그

파일을 암호화하고, 데이터를 탈취하여 이중으로 랜섬머니를 갈취하는 "Lorenz" 랜섬웨어 그룹이 새롭게 등장했다. ID Ransomware의 연구원은 "Lorenz" 랜섬웨어의 암호화 동작이 이전에 등장했던 "ThunderCrypt"” 랜섬웨어와 유사하지만 두 랜섬웨어가 동일한 그룹인지 혹은 랜섬웨어의 소스 코드를 구입 했는지는 확실하지 않다고 밝혔다. 해당 랜섬웨어의 데이터 유출 사이트에는 현재 12개의 피해 기업이 나열되어 있으며 10개의 기업에 대한 데이터가 공개된 것으로 알려졌다. 출처 [1] Bleeping Computer (2021.05.17) – Meet Lorenz – A new ransomware gang targeting the enterprise https://www.bleeping..

잉카인터넷 대응팀은 2021년 5월 7일부터 2021년 5월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "GoNNaCry" 외 1건, 변종 랜섬웨어는 "Sodinokibi" 외 6건이 발견됐다. 이 중, "AstroLocker" 랜섬웨어의 운영진은 기존의 "MountLocker" 랜섬웨어의 업그레이드 된 버전으로 앞으로 해당 랜섬웨어 진단명으로 운영하겠다고 발표했다. 2021년 5월 7일 Sodinokibi 랜섬웨어 파일명에 “.[임의의 영문 숫자값]“ 확장자를 추가하고 “[임의의 영문 숫자값]-readme.txt"라는 랜섬노트를 생성하는 "Sodinokibi" 랜섬웨어의 변종이 발견됐다. GoNNaCry 랜섬웨어 파일명에 “.GoNNaCry“ 확장자를 추가하고..

2021년 1월경 등장한 BabukLocker 랜섬웨어가 더 이상의 파일 암호화 작업을 중단할 것이라고 밝혔다. 4월 30일경 랜섬머니를 지불한 기업에 제공되는 복호화 툴에 문제가 많다는 이유로 더 이상 파일을 암호화 하지 않고, 데이터 탈취를 통해 금전을 갈취하는데 전념하겠다고 공지했다. 해당 랜섬웨어 측은 파일 암호화 작업 종료에 따라 탈취한 데이터를 삭제하고 싶으면 피해 기업에서 먼저 연락을 취하고, 만약 연락이 없다면 자신들이 운영하는 데이터 유출 사이트에 데이터를 게시하겠다고 알렸다. 출처 [1] BleepingComputer (2021.05.10) - Babuk quits ransomware encryption, focuses on data-theft extortion https://www.b..

랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 19곳의 정보를 취합한 결과이다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “Conti” 랜섬웨어가 38건으로 가장 많은 데이터 유출이 있었고, “Sodinokibi” 랜섬웨어가 32건으로 두번째로 많이 발생했다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 52%로 가장 높은 비중을 차지했고, 프랑스와 이탈리아가 각각 10%와 9%, 캐나다와 영국 각각 7%와 5%로 그 뒤를 따랐다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 산업별로 ..

잉카인터넷 대응팀은 2021년 4월 30일부터 2021년 5월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “CryBaby” 외 2건, 변종 랜섬웨어는 “SunCrypt” 외 2건이 발견됐다. 이 중, QNAP이 자사 NAS를 대상으로 공격하는 “AgeLocker” 랜섬웨어에 대해 경고했고, “BabukLocker” 랜섬웨어의 운영진은 랜섬웨어 운영을 중단하고 정보 탈취에 중점을 두겠다고 발표했다. 2021년 4월 30일 SunCrypt 랜섬웨어 파일명에 “.[랜덤 문자열]“ 확장자를 추가하고 “YOUR_FILES_ARE_ENCRYPTED.HTML"라는 랜섬노트를 생성하는 "SunCrypt" 랜섬웨어의 변종이 발견됐다. AgeLocker 랜섬웨어 QNAP이 자사 N..

잉카인터넷 대응팀은 2021년 4월 23일부터 2021년 4월 29일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Orion”, 변종 랜섬웨어는 “Dharma” 외 4건이 발견됐다. 이 중, “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 예정이라고 발표했고, “Makop” 랜섬웨어는 저작권 위반 관련 내용의 메일로 유포됐다. 2021년 4월 23일 DarkSide 랜섬웨어 “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 것이며 랜섬머니를 지불하지 않으면 탈취한 정보로 주식 수익을 얻겠다고 발표했다. 2020.08.14 - [랜섬웨어 분석] DarkSide 랜섬웨어 2021년 4월 24일 Dharma 랜섬웨어 파일명..

2020년 7월 말에 처음 등장한 MountLocker 랜섬웨어는 현재 AstroLocker 랜섬웨어로 이름을 바꾸어 활동하고 있다. 해당 내용의 증거로 기존에 사용하던 MountLocker 데이터 유출 사이트는 Astro Team이라는 데이터 유출 사이트로 이관하여 동일한 탈취 데이터가 게시됐고, 랜섬머니 협상을 위한 채팅 사이트에서는 본인들을 AstroLocker Team이라고 칭하기 시작했다. 또한, 파일과 암호화 키를 암호화하는 루틴 및 랜섬노트가 MountLocker와 AstroLocker가 동일한 것을 확인할 수 있었다. 아래의 링크는 자사에서 분석한 MountLocker 랜섬웨어의 동작 정보이며 해당 글과 비교하여 AstroLocker 랜섬웨어와의 차이점을 확인하고자 한다. [링크 : 202..

4월 초, 보안 업체 Analyst1이 랜섬 카르텔 분석 보고서인 “RANSOM MAFIA. ANALYSIS OF THE WORLD’S FIRST RANSOMWARE CARTEL”을 공개했다. Analyst1이 발표한 보고서에 따르면 랜섬 카르텔에 포함된 조직은 5개로 Twisted Spider, Viking Spider, Wizard Spider, Lockbit Gang및 Suncrypt Gang이 포함돼 있다. 이 중 “SunCrypt” 랜섬웨어를 사용하는 Suncrypt Gang은 현재 활동하지 않는다. (출처 : Analyst1 - RANSOM MAFIA. ANALYSIS OF THE WORLD’S FIRST RANSOMWARE CARTEL) [그림 2]는 랜섬웨어 조직 및 카르텔 형성과 관련한 ..

잉카인터넷 대응팀은 2021년 4월 16일부터 2021년 4월 22일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Wiper” 외 4건, 변종 랜섬웨어는 “Xorist” 외 2건이 발견됐다. 이 중, 랜섬머니로 Discord Nitro 서비스 코드를 요구하는 “Nitro” 랜섬웨어가 발견됐고, 7zip을 이용해 QNAP 장치를 암호화 하는 “Qlocker” 랜섬웨어가 발견됐다. 2021년 4월 17일 Wiper 랜섬웨어 파일명에 “.id-[ID].[공격자 메일].combo13“ 확장자를 추가하고 “FILES ENCRYPTED.txt"라는 랜섬노트를 생성하는 "Wiper" 랜섬웨어가 발견됐다. Zeoticus 랜섬웨어 파일명에 “[해시 값].[공격자 메일].pandora..

최근 새롭게 등장한 “Nitro” 랜섬웨어는 일반적인 랜섬웨어와 달리 9.9달러에 달하는 Discord Nitro 서비스 정액권을 랜섬머니로 요구한다. Discord Nitro 서비스란 Discord 내에서 사용할 수 있는 다양한 이모티콘을 추가적으로 이용할 수 있고, 대용량 파일 업로드 기능을 지원하는 서비스다. 또한, 해당 랜섬웨어는 이러한 서비스를 무료로 사용할 수 있는 툴로 위장하여 유포되고 있다. “Nitro” 랜섬웨어는 감염된 사용자의 Discord 토큰과 PC 정보를 탈취하고, 특정 경로의 파일을 암호화한다. 하지만 암호화된 파일의 복호화 키를 텍스트 파일에 저장하기 때문에 랜섬머니를 지불하지 않고도 파일의 복구가 가능하다. “Nitro” 랜섬웨어는 암호화 이전에 PC를 재부팅 할 때 자동으..