Darkside 11

BlackMatter 랜섬웨어와 DarkSide 랜섬웨어의 유사성

해외 보안 업체 Sophos에서 최근 유행하는 랜섬웨어인 블랙매터(BlackMatter)와 다크사이드(DarkSide)가 유사하다고 알렸다. Sophos는 블로그 게시글을 통해 두 랜섬웨어가 변경하는 바탕화면이 매우 유사하며, 바탕화면을 변경하기 위해 사용하는 데이터의 저장 위치와 정보가 일치한다고 한다. 또한, 파일 암호화에 사용한 기술 등이 상당히 유사하다고 언급했다. 마지막으로 블랙매터와 다크사이드의 관계를 연결하는 요인이 다수 발견됐지만, 코드가 동일하지 않다는 점 등으로 인해 리브랜딩은 아니라고 결론지었다. 출처 [1] Sophos (2021.09.27) - BlackMatter ransomware emerges from the shadow of DarkSide https://news.sopho..

[주간 랜섬웨어 동향] – 6월 4주차

잉카인터넷 대응팀은 2021년 6월 18일부터 2021년 6월 24일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Mansory" 외 4건, 변종 랜섬웨어는 "Magniber" 외 1건이 발견됐다. 또한, "Lockbit" 랜섬웨어가 더욱 강력해진 새로운 버전 v2.0으로 다시 모습을 나타냈다. 2021년 6월 18일 Mansory 랜섬웨어 파일명에 ".MANSORY" 확장자를 추가하고 "MANSORY-MESSAGE.txt"라는 랜섬노트를 생성하는 "Mansory" 랜섬웨어가 발견됐다. Poteston 랜섬웨어 파일명에 ".poteston" 확장자를 추가하고 "readme.txt"라는 랜섬노트를 생성하는 "Poteston" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 ..

2021년 05월 랜섬웨어 동향 보고서

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 23곳의 정보를 취합한 결과이다. 2021년 5월(5월 1일 ~ 5월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "Conti" 랜섬웨어가 62건으로 가장 많은 데이터 유출이 있었고, "DoppelPaymer" 및 "Sodinokibi" 랜섬웨어가 20건으로 두번째로 많이 발생했다. 2021년 5월(5월 1일 ~ 5월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 47%로 가장 높은 비중을 차지했고, 프랑스와 독일이 각각 8%, 영국과 이탈리아가 각각 7%와 6%로 그 뒤를 따랐다. 2021년 5월(5월 1일 ~ 5월 30일)에 발생한 ..

[주간 랜섬웨어 동향] – 5월 4주차

잉카인터넷 대응팀은 2021년 5월 21일부터 2021년 5월 27일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Nohacker" 1건, 변종 랜섬웨어는 "Stop" 외 5건이 발견됐다. 또한, "Qlocker" 랜섬웨어 조직은 랜섬머니 협상 사이트를 폐쇄하여 운영을 잠정적으로 중단했다. 2021년 5월 21일 Stop 랜섬웨어 파일명에 ".nusm" 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 HiddenTear 랜섬웨어 파일명에 ".[랜덤 숫자]" 확장자를 추가하고 [그림 1]의 랜섬노트를 실행하는 "HiddenTear" 랜섬웨어의 변종이 발견..

[주간 랜섬웨어 동향] – 5월 3주차

잉카인터넷 대응팀은 2021년 5월 14일부터 2021년 5월 20일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Sick” 외 3건, 변종 랜섬웨어는 “Nefilim” 외 3건이 발견됐다. 이 중, 연결된 네트워크를 감염할 수 있는 기능이 추가된 “MountLocker” 랜섬웨어가 발견됐고, 미 당국이 “DarkSide” 랜섬웨어 조직의 자원을 모두 압수해 해당 조직의 운영이 중단됐다. 2021년 5월 14일 Nefilim 랜섬웨어 파일명에 “.NEFILIM“ 확장자를 추가하고 “NEFILIM-HELP.txt"라는 랜섬노트를 생성하는 "Nefilim" 랜섬웨어의 변종이 발견됐다. 2020.03.27 - [랜섬웨어 분석] Nefilim 랜섬웨어 2021년 5월 17일 ..

DarkSide 랜섬웨어 서버 압수 및 운영 중단

미 당국에 의해 DarkSide 랜섬웨어 조직의 운영이 중단됐다. 지난 주말, REvil 랜섬웨어 측에서 해킹 포럼을 통해 DarkSide 랜섬웨어 측의 운영 중단을 알렸다. 해당 내용은 미 당국에서 랜섬웨어와 관련된 내용을 발표한 다음날 게시됐으며, 미 당국에 의해 DarkSide 랜섬웨어 조직이 운영하는 데이터 유출 사이트, 결제 서버 및 CDN 서버가 모두 압수 당했다고 한다. REvil 측은 이번 사건으로 인해 사회 부문(의료, 교육기관)과 모든 국가의 정보를 공격하지 말아야 한다고 언급했다. 사진 출처 : https://twitter.com/BleepinComputer/status/1393217115700830208/photo/1 출처 [1] BleepingComputer (2021.05.17)..

[주간 랜섬웨어 동향] – 5월 2주차

잉카인터넷 대응팀은 2021년 5월 7일부터 2021년 5월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "GoNNaCry" 외 1건, 변종 랜섬웨어는 "Sodinokibi" 외 6건이 발견됐다. 이 중, "AstroLocker" 랜섬웨어의 운영진은 기존의 "MountLocker" 랜섬웨어의 업그레이드 된 버전으로 앞으로 해당 랜섬웨어 진단명으로 운영하겠다고 발표했다. 2021년 5월 7일 Sodinokibi 랜섬웨어 파일명에 “.[임의의 영문 숫자값]“ 확장자를 추가하고 “[임의의 영문 숫자값]-readme.txt"라는 랜섬노트를 생성하는 "Sodinokibi" 랜섬웨어의 변종이 발견됐다. GoNNaCry 랜섬웨어 파일명에 “.GoNNaCry“ 확장자를 추가하고..

[주간 랜섬웨어 동향] – 4월 4주차

잉카인터넷 대응팀은 2021년 4월 23일부터 2021년 4월 29일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Orion”, 변종 랜섬웨어는 “Dharma” 외 4건이 발견됐다. 이 중, “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 예정이라고 발표했고, “Makop” 랜섬웨어는 저작권 위반 관련 내용의 메일로 유포됐다. 2021년 4월 23일 DarkSide 랜섬웨어 “DarkSide” 랜섬웨어 운영진이 주식시장에 상장된 회사 위주로 공격할 것이며 랜섬머니를 지불하지 않으면 탈취한 정보로 주식 수익을 얻겠다고 발표했다. 2020.08.14 - [랜섬웨어 분석] DarkSide 랜섬웨어 2021년 4월 24일 Dharma 랜섬웨어 파일명..

2021년 1분기 랜섬웨어 동향 보고서

1. 랜섬웨어 피해 사례 2021년 1분기(1월 1일 ~ 3월 31일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 “다크사이드(DarkSide)”, “도플페이머(DoppelPaymer)”, “소디노키비(Sodinokibi)” 등의 랜섬웨어로 인한 피해가 다수 발견되었다. 1월에는 윈도우 유틸리티 개발 기업 Iobit이 “데로HE(DeroHE)” 랜섬웨어 공격을 받았고, 2월과 3월에는 미국 자동 자금 이체 서비스(AFTS)와 폴란드 게임 개발 기업 CD Projekt가 각각 “쿠바(Cuba)”와 “헬로키티(HelloKitty)” 랜섬웨어 공격을 받아 피해가 발생했다. 다크사이드(DarkSide) 랜섬웨어 피해 사례 최근 다크사이드 랜섬웨어 운영진이 새로운 변종을 공개했다. 해당 랜섬웨어 운영진에 따..

[주간 랜섬웨어 동향] – 3월 2주차

잉카인터넷 대응팀은 2021년 3월 5일부터 2021년 3월 11일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Hog” 외 6건, 변종 랜섬웨어는 “Makop” 외 5건이 발견됐다. 이 중, “Sarbloh” 랜섬웨어는 “2020년 인도 농업법”에 반대하는 세력이 유포했다고 추정되고, “DearCry” 랜섬웨어는 지난 메인 이슈였던 Microsoft Exchange Server 취약점을 악용하여 유포됐다. 2021년 3월 5일 Hog 랜섬웨어 “Hog” 랜섬웨어는 디스코드 사용자를 대상으로 파일을 암호화한다. 해당 랜섬웨어는 확장자를 ". hog"로 바꾸고, " DECRYPT-MY-FILES.exe" 라는 이름의 랜섬노트를 생성한다. 2021.03.17 - [최신 보..