잉카인터넷 시큐리티대응센터 블로그

POS 시스템을 대상으로 한 ‘RtPOS’ 악성코드 감염 주의 1. 개요 얼마전 EternalBlue와 Doublepulsar 취약점을 통해 추가 악성코드를 전파하는 악성코드가 5만여대 이상의 판매시점정보관리(POS) 시스템을 감염시켜 정상적인 통신에 악영향을 주는 이슈가 있었다. 해당 악성코드는 8월 16일자 잉카인터넷 공식 블로그에 게시한 바 있다. 최근에는 마그네틱 카드의 정보를 수집하는 POS 시스템 대상의 악성코드 ‘RtPOS’ 가 발견되었다. POS 시스템에서는 결제와 관련된 카드의 고유 정보가 오가는 만큼 정보 유출 시 카드 도용으로 이어질 수 있어 각별한 주의가 필요하다. 이번 보고서에서는 POS 시스템을 대상으로 하는 ‘RtPOS’ 악성코드에 대해서 알아보고자 한다. 2. 분석 정보 2-..

‘Desu’ 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 ‘Desu’ 랜섬웨어는 특정 확장자 파일을 암호화하고 MBR을 변조하여 운영체제의 정상적인 부팅을 방해한다. 현재까지 정확한 유포 경로는 밝혀지지 않았으며, 암호화한 파일은 ‘.desu’ 라는 문자열을 덧붙여 확장자를 변경한다. 또한, 드라이버 전체를 대상으로 암호화를 진행하기 때문에 감염 시 피해가 클 것으로 예상한다. 이번 보고서에서는 ‘Desu’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 260,608 byte 진단명 Ransom/W32.Desu.260608 악성동작 파일 암호화 2-2. 실행 과정 Desu’ 랜섬웨어는 MBR 변조 후 연결된 논리 드라..

2018년 7월 악성코드 통계 악성코드 Top20 2018년7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 105,901 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Trojan/W32.Agent.534016.BS Trojan 105,901 건 2위 Virus/W32.Sality.D Virus 10,463 건 3위 Virus/W32.Neshta Virus 8,766 건 4위 Suspicious/PDF.CVE-2018-5018 Suspicious 7,431 건 5위 ..

2018년 6월 악성코드 통계 악성코드 Top20 2018년6월(6월 1일 ~ 6월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan (트로잔) 유형이며 총 361,644 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Trojan/W32.Agent.534016.BS Trojan 361,644 건 2위 Virus/W32.Ramnit.B Virus 281,863 건 3위 Backdoor/W32.Orcus.9216 Backdoor 201,362 건 4위 Virus/W32.Virut.Gen Virus 4,729 건 5위 ..

‘King Ouroboros’ 랜섬웨어 감염 주의 1. 개요 나날이 지능화되고 있는 랜섬웨어는 비교적 제작이 쉽다는 점과 암호화폐 즉 비밀성이 보장되는 거래수단에 기인하여 지속적인 증가 추세를 보이고 있다. 최근 발견된 ‘King Ouroboros’ 랜섬웨어는 파일을 암호화하고 ‘king_ouroboros’ 라는 문자열을 삽입하여 파일명을 변경한다. Autoit 으로 작성된 해당 랜섬웨어는 암호화된 파일의 복호화를 조건으로 암호화폐를 요구하고 시스템 복구 기능을 무력화시켜 사용자의 각별한 주의가 필요하다. 이번 보고서에서는 ‘King Ouroboros’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 KingOuroboros.exe 파일크기 823,808 byte..

‘Magniber’ 랜섬웨어 재등장 감염 주의 1. 개요 지난해 등장해서 파일 암호화를 수행하던 Magniber 랜섬웨어가 올해 6월 다시 등장해 활동을 시작했다. 해당 랜섬웨어는 MyRansom 이라고도 불리며, 한국어 환경의 운영체제에서만 파일 암호화를 수행하기 때문에 국내 사용자들의 각별한 주의가 요구되고 있다. 이번 보고서에서는 지난해 등장했던 Magniber 랜섬웨어와 비교했을 때 변화된 내용에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].dll 파일크기 82,944 byte 진단명 Trojan/W32.Inject.82944.U 악성동작 파일 암호화 2-2. Magniber 이전 버전 분석 정보 지난해 등장했던 Magniber 랜섬웨어와 비교했..

오프라인 환경에서 암호화하는 GandCrab 4 버전 감염 주의 1. 개요 올해 상반기에 유행했던 GandCrab 랜섬웨어가 버전 4로 업그레이드되어 돌아왔다. 많은 부분이 이전 버전과 동일하지만, C&C 서버와 통신을 시도하지 않고 암호화 과정을 진행한다는 점에서 차이가 있다. 이로 인해 오프라인이나 폐쇄된 네트워크 환경에서도 곧바로 암호화가 진행되기 때문에 주의가 필요하다. 이번 보고서에서는 GandCrab 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 210,432 byte 진단명 Ransom/W32.GandCrab.210432 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 해당..

Crybrazil Ransomware 감염 주의 1. 개요 본 보고서에서 다루게 될 'Crybrazil Ransomware' 는 파일 암호화 동작을 수행한다. 정확한 유포경로는 밝혀지지 않았으며, 해외의 한 보안연구원에 의해 발견됐다. 해당 랜섬웨어는 'Ransomware' 오픈 소스인 'HiddenTear' 를 기반으로 작성되었으며, 감염된 PC 의 바탕화면을 즐겁게 웃는 광대 이미지로 변경하여 사용자에게 감염된 사실을 통보한다. 이번 보고서에서는 오픈소스 기반의 'Crybrazil Ransomware' 에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 222,720 byte 진단명 Ransom/W32.HiddenTear.222720 악..

Rotor 랜섬웨어 변종 감염 주의 1. 개요 최근 Rotor 또는 RotorCrypt라고 불리는 랜섬웨어의 변종이 나타나 유포되고 있다. 기존의 Rotor 랜섬웨어는 공격자와 접촉할 수 있는 이메일 주소를 암호화 파일 확장자로 사용해왔다. 하지만 이번에 유포된 변종은 파일 확장자를 바꾸지 않은 채 암호화를 진행하여 사용자가 감염 사실을 알아차리기 어렵게 한다. 이번 보고서에서는 Rotor 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 71,168 bytes 진단명 Ransom/W32.Rotor.71168 악성 동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반적인 형태의 랜섬웨어로 정확한 유포 경로는 밝혀지지..

PainLocker Ransomware 감염 주의 1. 개요 최근 PainLocker Ransomware가 유포되어 피해가 발생하고 있다. 이 랜섬웨어는 아주 짧은 랜섬노트를 가지고 있지만, 사용자의 시스템을 암호화하고 금전을 요구한다는 점에서 랜섬웨어의 기본적인 역할을 수행하고 있다. 또한 데이터베이스 관련 프로세스를 종료한 후 암호화하기 때문에 이와 관련된 사용자는 특별히 주의가 필요하다. 이번 보고서에서는 PainLocker 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 31,232 bytes 진단명 Ransom/W32.PainLocker.64000 악성 동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반..