잉카인터넷 시큐리티대응센터 블로그

Qlocker 랜섬웨어의 랜섬머니 협상을 위한 Tor 사이트에 "이 사이트는 곧 폐쇄 될 것입니다."라는 메시지를 표시했다. 해당 사이트는 결국 폐쇄되었고, 이로 인해 피해를 입은 사용자들은 더 이상 랜섬머니를 지불할 방법이 사라졌다. 또한, Qlocker 랜섬웨어 사이트의 폐쇄가 최근 랜섬웨어에 따른 법 집행 활동 증가에 따라 두려움에 의해 잠정 중단을 했을 수도 있다고 외신은 밝혔다. Qlocker 랜섬웨어 그룹은 QNAP NAS 장치의 취약점을 악용하여 유포되었으며 한달에 약 $350,000의 수익을 챙긴 것으로 확인된다. 사진 출처 : https://www.bleepingcomputer.com/news/security/qlocker-ransomware-shuts-down-after-extortin..

과학기술정보통신부는 랜섬웨어 침해사고를 예방하고 사고 발생 시 신속한 대응을 위한 "랜섬웨어 대응 지원반"을 설치하여 운영한다고 밝혔다. 최근 배달 대행 플랫폼 기업이 공격을 받아 피해를 입은 사례와 같이 국내외 기업을 대상으로 랜섬웨어 침해사고가 집중적으로 발생하고 있다. 따라서 과학기술정보통신부는 랜섬웨어 공격자의 협상에 응하지 말고 침해사고 신고를 통해 시스템 복구 등의 기술지원을 받을 것을 권고하였다. 사진 출처 : https://www.msit.go.kr/bbs/view.do?sCode=user&mId=113&mPid=112&bbsSeqNo=94&nttSeqNo=3180261 출처 [1] 과학기술정보통신부 (2021-05-20) - 과기정통부, ‘랜섬웨어 대응 지원반’ 구성·운영 https://..

유명 해커 포럼들이 최근 랜섬웨어의 광고를 금지하였다. 해커포럼 XSS 가 랜섬웨어 광고를 금지하겠다고 발표했다. 이번 조치는 DarkSide로 알려진 랜섬웨어 조직이 Colonial Pipeline의 네트워크를 암호화 한 사건 이후, 법 집행 기관의 관심을 회피하기 위한 시도인 것으로 알려졌다. XSS 포럼의 발표 하루 뒤, 또 다른 해커 포럼인 Exploit 관리자는 "포럼에 RaaS 프로그램이 존재하는것이 적절하지 않다. 모든 제휴프로그램을 제거하고 랜섬웨어 광고를 금지하기로 결정했다."고 알렸다. 사진 출처 : 해커 포럼 XSS 출처 [1] Security Affairs (2021.05.18) - Major hacking forums XSS and Exploit ban ads from ransom..

파일을 암호화하고, 데이터를 탈취하여 이중으로 랜섬머니를 갈취하는 "Lorenz" 랜섬웨어 그룹이 새롭게 등장했다. ID Ransomware의 연구원은 "Lorenz" 랜섬웨어의 암호화 동작이 이전에 등장했던 "ThunderCrypt"” 랜섬웨어와 유사하지만 두 랜섬웨어가 동일한 그룹인지 혹은 랜섬웨어의 소스 코드를 구입 했는지는 확실하지 않다고 밝혔다. 해당 랜섬웨어의 데이터 유출 사이트에는 현재 12개의 피해 기업이 나열되어 있으며 10개의 기업에 대한 데이터가 공개된 것으로 알려졌다. 출처 [1] Bleeping Computer (2021.05.17) – Meet Lorenz – A new ransomware gang targeting the enterprise https://www.bleeping..

잉카인터넷 대응팀은 2021년 5월 7일부터 2021년 5월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "GoNNaCry" 외 1건, 변종 랜섬웨어는 "Sodinokibi" 외 6건이 발견됐다. 이 중, "AstroLocker" 랜섬웨어의 운영진은 기존의 "MountLocker" 랜섬웨어의 업그레이드 된 버전으로 앞으로 해당 랜섬웨어 진단명으로 운영하겠다고 발표했다. 2021년 5월 7일 Sodinokibi 랜섬웨어 파일명에 “.[임의의 영문 숫자값]“ 확장자를 추가하고 “[임의의 영문 숫자값]-readme.txt"라는 랜섬노트를 생성하는 "Sodinokibi" 랜섬웨어의 변종이 발견됐다. GoNNaCry 랜섬웨어 파일명에 “.GoNNaCry“ 확장자를 추가하고..

2021년 1월경 등장한 BabukLocker 랜섬웨어가 더 이상의 파일 암호화 작업을 중단할 것이라고 밝혔다. 4월 30일경 랜섬머니를 지불한 기업에 제공되는 복호화 툴에 문제가 많다는 이유로 더 이상 파일을 암호화 하지 않고, 데이터 탈취를 통해 금전을 갈취하는데 전념하겠다고 공지했다. 해당 랜섬웨어 측은 파일 암호화 작업 종료에 따라 탈취한 데이터를 삭제하고 싶으면 피해 기업에서 먼저 연락을 취하고, 만약 연락이 없다면 자신들이 운영하는 데이터 유출 사이트에 데이터를 게시하겠다고 알렸다. 출처 [1] BleepingComputer (2021.05.10) - Babuk quits ransomware encryption, focuses on data-theft extortion https://www.b..

랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 19곳의 정보를 취합한 결과이다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “Conti” 랜섬웨어가 38건으로 가장 많은 데이터 유출이 있었고, “Sodinokibi” 랜섬웨어가 32건으로 두번째로 많이 발생했다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 52%로 가장 높은 비중을 차지했고, 프랑스와 이탈리아가 각각 10%와 9%, 캐나다와 영국 각각 7%와 5%로 그 뒤를 따랐다. 2021년 4월(4월 1일 ~ 4월 30일)에 발생한 데이터 유출 건을 산업별로 ..

잉카인터넷 대응팀은 2021년 4월 30일부터 2021년 5월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “CryBaby” 외 2건, 변종 랜섬웨어는 “SunCrypt” 외 2건이 발견됐다. 이 중, QNAP이 자사 NAS를 대상으로 공격하는 “AgeLocker” 랜섬웨어에 대해 경고했고, “BabukLocker” 랜섬웨어의 운영진은 랜섬웨어 운영을 중단하고 정보 탈취에 중점을 두겠다고 발표했다. 2021년 4월 30일 SunCrypt 랜섬웨어 파일명에 “.[랜덤 문자열]“ 확장자를 추가하고 “YOUR_FILES_ARE_ENCRYPTED.HTML"라는 랜섬노트를 생성하는 "SunCrypt" 랜섬웨어의 변종이 발견됐다. AgeLocker 랜섬웨어 QNAP이 자사 N..

잉카인터넷 대응팀은 2021년 4월 23일부터 2021년 4월 29일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Orion”, 변종 랜섬웨어는 “Dharma” 외 4건이 발견됐다. 이 중, “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 예정이라고 발표했고, “Makop” 랜섬웨어는 저작권 위반 관련 내용의 메일로 유포됐다. 2021년 4월 23일 DarkSide 랜섬웨어 “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 것이며 랜섬머니를 지불하지 않으면 탈취한 정보로 주식 수익을 얻겠다고 발표했다. 2020.08.14 - [랜섬웨어 분석] DarkSide 랜섬웨어 2021년 4월 24일 Dharma 랜섬웨어 파일명..

2020년 7월 말에 처음 등장한 MountLocker 랜섬웨어는 현재 AstroLocker 랜섬웨어로 이름을 바꾸어 활동하고 있다. 해당 내용의 증거로 기존에 사용하던 MountLocker 데이터 유출 사이트는 Astro Team이라는 데이터 유출 사이트로 이관하여 동일한 탈취 데이터가 게시됐고, 랜섬머니 협상을 위한 채팅 사이트에서는 본인들을 AstroLocker Team이라고 칭하기 시작했다. 또한, 파일과 암호화 키를 암호화하는 루틴 및 랜섬노트가 MountLocker와 AstroLocker가 동일한 것을 확인할 수 있었다. 아래의 링크는 자사에서 분석한 MountLocker 랜섬웨어의 동작 정보이며 해당 글과 비교하여 AstroLocker 랜섬웨어와의 차이점을 확인하고자 한다. [링크 : 202..