본문 바로가기

랜섬웨어370

AstroLocker로 변경된 MountLocker 랜섬웨어 2020년 7월 말에 처음 등장한 MountLocker 랜섬웨어는 현재 AstroLocker 랜섬웨어로 이름을 바꾸어 활동하고 있다. 해당 내용의 증거로 기존에 사용하던 MountLocker 데이터 유출 사이트는 Astro Team이라는 데이터 유출 사이트로 이관하여 동일한 탈취 데이터가 게시됐고, 랜섬머니 협상을 위한 채팅 사이트에서는 본인들을 AstroLocker Team이라고 칭하기 시작했다. 또한, 파일과 암호화 키를 암호화하는 루틴 및 랜섬노트가 MountLocker와 AstroLocker가 동일한 것을 확인할 수 있었다. 아래의 링크는 자사에서 분석한 MountLocker 랜섬웨어의 동작 정보이며 해당 글과 비교하여 AstroLocker 랜섬웨어와의 차이점을 확인하고자 한다. [링크 : 202.. 2021. 4. 30.
랜섬 카르텔 분석 보고서 4월 초, 보안 업체 Analyst1이 랜섬 카르텔 분석 보고서인 “RANSOM MAFIA. ANALYSIS OF THE WORLD’S FIRST RANSOMWARE CARTEL”을 공개했다. Analyst1이 발표한 보고서에 따르면 랜섬 카르텔에 포함된 조직은 5개로 Twisted Spider, Viking Spider, Wizard Spider, Lockbit Gang및 Suncrypt Gang이 포함돼 있다. 이 중 “SunCrypt” 랜섬웨어를 사용하는 Suncrypt Gang은 현재 활동하지 않는다. (출처 : Analyst1 - RANSOM MAFIA. ANALYSIS OF THE WORLD’S FIRST RANSOMWARE CARTEL) [그림 2]는 랜섬웨어 조직 및 카르텔 형성과 관련한 .. 2021. 4. 27.
[주간 랜섬웨어 동향] – 4월 3주차 잉카인터넷 대응팀은 2021년 4월 16일부터 2021년 4월 22일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Wiper” 외 4건, 변종 랜섬웨어는 “Xorist” 외 2건이 발견됐다. 이 중, 랜섬머니로 Discord Nitro 서비스 코드를 요구하는 “Nitro” 랜섬웨어가 발견됐고, 7zip을 이용해 QNAP 장치를 암호화 하는 “Qlocker” 랜섬웨어가 발견됐다. 2021년 4월 17일 Wiper 랜섬웨어 파일명에 “.id-[ID].[공격자 메일].combo13“ 확장자를 추가하고 “FILES ENCRYPTED.txt"라는 랜섬노트를 생성하는 "Wiper" 랜섬웨어가 발견됐다. Zeoticus 랜섬웨어 파일명에 “[해시 값].[공격자 메일].pandora.. 2021. 4. 23.
Discord Nitro 월정액 서비스를 요구하는 랜섬웨어 (Nitro 랜섬웨어) 최근 새롭게 등장한 “Nitro” 랜섬웨어는 일반적인 랜섬웨어와 달리 9.9달러에 달하는 Discord Nitro 서비스 정액권을 랜섬머니로 요구한다. Discord Nitro 서비스란 Discord 내에서 사용할 수 있는 다양한 이모티콘을 추가적으로 이용할 수 있고, 대용량 파일 업로드 기능을 지원하는 서비스다. 또한, 해당 랜섬웨어는 이러한 서비스를 무료로 사용할 수 있는 툴로 위장하여 유포되고 있다. “Nitro” 랜섬웨어는 감염된 사용자의 Discord 토큰과 PC 정보를 탈취하고, 특정 경로의 파일을 암호화한다. 하지만 암호화된 파일의 복호화 키를 텍스트 파일에 저장하기 때문에 랜섬머니를 지불하지 않고도 파일의 복구가 가능하다. “Nitro” 랜섬웨어는 암호화 이전에 PC를 재부팅 할 때 자동으.. 2021. 4. 22.
[주간 랜섬웨어 동향] – 4월 2주차 잉카인터넷 대응팀은 2021년 4월 9일부터 2021년 4월 15일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Genhenna” 외 1건, 변종 랜섬웨어는 “JCrypt” 외 5건이 발견됐다. 2021년 4월 10일 JCrypt 랜섬웨어 파일명에 “.crypted“ 확장자를 추가하고 [그림 1]과 같은 창을 띄우며 “___RECOVER__FILES__.crypted.txt"라는 랜섬노트를 생성하는 "Tripoli" 랜섬웨어의 변종이 발견됐다. Stop 랜섬웨어 파일명에 “.lmas” 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 2021년 4월 11.. 2021. 4. 16.
게이머를 표적으로 하는 악성코드 최근 게이머들은 출처가 밝혀지지 않은 사이트에 게시된 게임 프로그램 광고를 보고 의심없이 파일을 다운로드하는 경향이 있다. 이러한 심리를 이용해 공격자는 게이머들을 표적으로 해당 프로그램에 악성코드를 숨겨 사용자의 PC 및 모바일을 감염시키는 사례가 증가하고 있다. 게임 개발사인 Activision이 게임 치트 프로그램을 이용한 악성코드에 대해 경고하고, 정보를 공유했다. 또한, 보안 업체 Cisco Systems는 최근 XtremeRAT이 주로 게이머를 표적으로 유포되고 있다고 발표했다. 그리고 Minecraft 모바일의 모드 프로그램으로 위장한 앱을 통해 지속적으로 광고를 출력하는 악성코드가 현재까지도 유포되고 있으며 PC뿐만 아니라 모바일을 암호화하는 랜섬웨어가 인기 게임 Cyberpunk 2077.. 2021. 4. 14.

티스토리툴바