잉카인터넷 시큐리티대응센터 블로그

악성코드 분석보고서 1. 10월 랜섬웨어 동향 2020년 10월(10월 01일 ~ 10월 31일) 한 달간 랜섬웨어 동향을 조사한 결과, 해외에서는 프랑스 및 독일 유명 게임 개발사 유비소프트(Ubisoft)와 크라이텍(Crytek)이 지난 9월 중순에 등장한 “Egregor” 랜섬웨어 공격을 받았다. 또한, 미국 스키 및 골프 리조트 운영 업체 Boyne Resorts가 7월부터 활동 중인 “WastedLocker” 랜섬웨어 공격을 받았으며, 독일 소프트웨어 기업인 Software AG는 “Clop” 랜섬웨어 공격을 받아 데이터가 유출되었다. 1-1. 국내/외 랜섬웨어 소식 독일 소프트웨어 기업 Software AG, Clop 랜섬웨어 피해 사례 지난 10월 초, 독일 소프트웨어 기업인 Software..

Clay Ransomware 감염 주의 최근 "Clay” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 폴더에 대해 암호화를 하고, 랜섬노트를 띄워 피해자에게 몸값을 요구한다. 그리고 레지스트리 변조를 통해 부팅이 정상적으로 일어나지 않게 하기 때문에 주의가 필요하다. “Clay” 랜섬웨어에 감염되면 ‘Desktop’ 및 ‘Downloads’ 경로의 모든 확장자를 암호화 한다. 암호화 이후에 파일의 확장자는 바뀌지 않는다. 감염이 완료되면 랜섬노트 창을 띄우며 해당 창을 종료할 수 없도록 만든다. 그리고 랜섬노트 창 아래에 1시간의 시간이 주어지며 해당 시간이 지나면 PC를 강제로 재부팅한다. 랜섬노트 창을 실행 직후 레지스트리 값을 변경하여 사용자가 랜섬웨어를 강제 종료할 수 없도록 작업관리자를 비활성화..

인보이스를 사칭한 피싱 메일 주의! 인보이스 사칭 피싱 메일은 해외 거래를 할 때 사용하는 송장 정보인 ‘인보이스’를 사칭하여 사용자가 받을 만한 메일을 보내는 기법을 말한다. 해당 피싱 메일은 사용자가 필수적으로 확인해야하는 정보를 담고있기에 첨부파일 및 링크를 클릭할 수 밖에 없게 하여 효과적이다. 최근 이런 인보이스 사칭을 통한 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 아래의 피싱 메일은 파일이 첨부된 인보이스를 사칭한 메일이다. 해당 메일은 주문 내역과 함께 첨부 파일 문서를 숙지해 달라는 내용으로 첨부파일 실행을 유도하고 있다. 첨부 파일은 Office 파일로 실행할 경우, 자세히 보려면 컨텐츠 사용 버튼을 누르도록 유도한다. 컨텐츠 사용 버튼을 클릭하면 Office 파일에 적용된 매크..

Cisco 취약점 보안 업데이트 권고 개요 Cisco는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - Cisco IOS XR Software 7.0.2, Cisco FMC / FTD Software 6.6.1 - Cisco FXOS 2.7.1.131, Cisco ASA Software 9.14.1.15 참고자료 https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35745 https://tools.cisco.com/security/center/pub..

Mozilla 취약점 보안 업데이트 권고 개요 Mozilla는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 대표 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - Firefox 82 버전 - Firefox ESR 78.4 버전 - Thunderbird 78.4 버전 참고자료 https://www.krcert.or.kr/data/secNoticeView.do?bulletin_writing_sequence=35738 https://www.mozilla.org/en-US/security/advisories/ https://www.mozilla.org/en-US/security/advi..

Zeppelin Ransomware 감염 주의 “Zeppelin” 랜섬웨어는 Buran 랜섬웨어의 변종으로 2019년 11월쯤에 발견되었다. 당시 미국과 유럽 회사를 공격했던 랜섬웨어로 알려졌는데 최근 다시 Zeppelin 랜섬웨어가 등장하여 의료 및 기술 분야와 관련된 내용으로 작성한 피싱 이메일을 유포하고 있어 주의가 필요하다. 이번 보고서에서는 “Zeppelin” 랜섬웨어에 대해 간략하게 알아본다. 해당 랜섬웨어는 아래 [표 1]의 암호화 제외 목록을 참고하고 기본적인 시스템 파일을 제외한 대상 파일에 대해 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “랜덤명3자리-랜덤명3자리-랜덤명3자리” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “RECOVERY DATA INFORMATION.TXT”..

지난 2019년에 최초로 등장한 ‘Matiex Keylogger’가 최근 다시 모습을 드러내고 있다. 해당 악성코드는 유료 악성코드로서 온라인에서 판매 중이며, 사용자의 개인정보를 탈취하는 등 다양한 악성 동작을 보유하고 있어 주의가 필요하다. 이번 보고서에서는 ‘Matiex Keylogger’ 의 주요 악성 동작에 대해 알아본다. 해당 악성코드는 사용 가능한 기간에 따라 가격대는 다양하며, 누구나 쉽게 접할 수 있도록 설계되어있다. ‘Matiex Keylogger’가 실행되면 사용자의 PC 정보를 획득한 뒤, 텍스트 파일로 생성한다. 위와 같이 생성된 파일의 내용을 C2 서버에 전송한다. 사용자 PC의 정보를 탈취한 뒤, 다양한 사용자 계정 정보를 탈취한다. Outlook 을 사용중인 사용자라면 아래의..

DogeCrypt Ransomware 감염 주의 최근 “DogeCrypt” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 윈도우 창을 통해 악성 동작의 내용을 설명하고 문서 파일, 이미지 파일 등 사용자의 파일을 암호화하고 있어 주의가 필요하다 이번 보고서에서는 “DogeCrypt” 랜섬웨어에 대해 알아보고자 한다. “DogeCrypt” 랜섬웨어 실행 시, C 드라이브의 파일을 검색하여 [표 1] 암호화 대상 목록의 조건에 부합하는 파일을 암호화하고 “[dogeremembersss@protonmail.ch] .DogeCrypt” 확장자를 덧붙인다. 파일 암호화 이후, 'C:\' 경로에 “DOGECRYPTinfo.jpg” 파일을 생성하고 해당 파일을 다음 [그림 3]과 같이 바탕 화면으로 설정한다. 그리고 바탕화..

Nibiru Ransomware 감염 주의 최근 "Nibiru” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 확장자에 대해 암호화를 한 후 화면을 잠그며 작업 관리자를 실행할 수 없게 설정하여 잠금 화면을 종료할 수 없게 한다. 감염 이후 피해자에게 몸값을 요구하므로 사용자의 주의가 필요하다. 이번 보고서에서는 “Nibiru” 랜섬웨어에 대해 간략하게 알아보고자 한다. “Nibiru” 랜섬웨어에 감염되면 [표 1]의 암호화 제외 폴더를 제외한 경로의 대상 확장자를 암호화한다. 암호화 이후에 파일명의 확장자 뒤에 “.Nibiru”라는 이름의 확장자를 덧붙인다. 해당 랜섬웨어는 랜섬 노트를 파일로 드랍하지 않는다. 대신 화면을 잠그며 해당 잠금 화면에 랜섬 노트가 작성되어 있다. 레지스트리 값을 추가하여 사..

Microsoft 10월 정기 보안 업데이트 권고 개요 Microsoft는 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 최신버전 업데이트를 권고하였다. 이와 관련된 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 버전으로 업데이트를 적용한다. - KB4486671, KB4486677, KB4486676, KB4486694, KB4577668, KB4577671, KB4579311 - KB4580327, KB4580328, KB4580330, KB4580345, KB4580346, KB4580347, KB4580353, - KB4580358, KB4580378, KB4580382, KB4580385, KB4580387 참고자료 htt..