잉카인터넷 시큐리티대응센터 블로그

잉카인터넷 대응팀은 2021년 3월 26일부터 2021년 4월 1일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Hanta” 외 5건, 변종 랜섬웨어는 “BlackKingdom” 외 2건이 발견됐다. 이 중, “BlackKingdom” 랜섬웨어는 MS Exchange Server 취약점을 악용한 1,500개의 웹 셸을 통해 유포되었다. 또한, 새롭게 등장한 “Hades” 랜섬웨어와 “PhoenixLocker” 랜섬웨어는 “WastedLocker” 랜섬웨어로 유명한 Evil Corp 사이버 공격 그룹과 연관이 있는 것으로 추정된다고 밝혔다. 2021년 3월 26일 BlackKingdom 랜섬웨어 “BlackKingdom” 랜섬웨어와 관련된 1,500개의 웹 셸이 MS E..

잉카인터넷 대응팀은 2021년 3월 19일부터 2021년 3월 25일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “SFile” 외 4건, 변종 랜섬웨어는 “Sodinokibi (REvil)” 외 3건이 발견됐다. 이 중, 안전 모드에서 실행하도록 기능을 추가한 “REvil” 랜섬웨어가 발견됐고, “BlackKingdom” 랜섬웨어는 Microsoft Exchange Server 취약점을 악용하여 유포됐다. 2020년 3월 19일 SFile 랜섬웨어 파일명에 “.Technomous-zbtrqyd“ 확장자를 추가하고 “how_to_recover_damaged_documents.txt"라는 랜섬노트를 생성하는 "SFile" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 특정 프로세스..

지난 12월 초, BlackKingdom 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자에 따라, C드라이브 내 모든 경로에 대하여 파일 감염 동작을 수행하기에 사용자의 주의가 필요하다. BlackKingdom 랜섬웨어는 악성동작이 이루어지면, 카운트다운과 랜섬노트를 띄워 감염사실을 알린다. 해당 랜섬웨어는 암호화 동작이 이루어지기 전에, 원격지 서버에 연결을 시도하지만 현 분석 시점에는 연결되지 않는다. 그리고, 바탕화면에 txt 파일의 랜섬노트를 생성하지만, 암호화 대상 확장자로 감염동작이 이루어질 때 랜섬노트도 암호화된다. 하기의 표와 같이, C 드라이브 경로 내에 특정 확장자에 대하여 암호화 동작을 수행한다. 감염이 되면 “파일명.확장자.DEMON” 파일명이 변경된다. 이번 보고서에서 알아본 Bla..