본문 바로가기

Ransomware125

MS Exchange 서버 취약점을 활용하는 Epsilon Red 랜섬웨어 MS Exchange 서버 취약점을 활용해 컴퓨터를 암호화하는 "Epsilon Red" 랜섬웨어가 발견됐다. "Epsilon Red" 랜섬웨어는 Golang(Go) 언어로 작성됐으며 암호화 단계 이전에 12개 이상의 파워셸 스크립트를 실행해 복구 무력화, 프로세스 종료 등의 행위를 수행한다. 또한, 해당 랜섬웨어에 감염되면 파일명에 ".epsilonred" 확장자를 추가하고 “Revil” 랜섬웨어의 랜섬노트와 유사한 랜섬노트를 보여준다. Sophos 분석가들은 최근 해당 랜섬웨어의 피해 기업 중 한 곳이 약 4.28BTC(약 $210,000)의 랜섬머니를 지불했다고 알렸다. 출처 [1] Sophos (2021.05.31) - A new ransomware enters the fray: Epsilon Re.. 2021. 5. 31.
웜 기능이 추가된 MountLocker 랜섬웨어 최근 웜 기능을 추가한 “MountLocker” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 액티브 디렉터리를 사용하는 기업 네트워크 환경을 대상으로 공격하며, 웜 기능을 사용하기 위해 “/NETWORK”라는 인자를 사용한다. “MountLocker” 랜섬웨어는 2020년 7월에 등장했으며 주로 기업을 대상으로 공격한다. 이들은 서비스형 랜섬웨어(Ransomware as a Service, RaaS)라는 비즈니스 모델을 사용해 운영 중이며, 지난 3월에는 “MountLocker” 랜섬웨어의 커스텀(Custom) 버전을 사용하는 “AstroLocker” 랜섬웨어 조직이 등장했다. 당시에는 “MountLocker” 랜섬웨어 조직이 “AstroLocker”로 이름을 변경해 활동하는 것으로 알려졌다. 하지만, 현재 “.. 2021. 5. 28.
랜섬웨어로 위장한 와이퍼를 사용하는 이란 해커 그룹 이란의 해커 그룹이 랜섬웨어로 위장한 와이퍼 악성코드를 사용하여 이스라엘을 공격했다. 과거 이란의 해커 그룹들이 공격 대상의 데이터를 파괴하기 위해 Shamoon, ZeroCleare 와이퍼 악성코드를 사용하였는데, 최근 Agrius 해커 그룹이 이스라엘을 대상으로 수행한 공격에서도 와이퍼 악성코드를 사용한 것으로 나타났다. Agrius 해커 그룹은 공격을 위해 DEADWOOD (Detbosit)와 Apostle 이라는 와이퍼 악성코드를 사용하였으며, 최근에는 Apostle의 기능을 수정하여 랜섬웨어 기능을 추가한 것으로 알려졌다. SentinelLabs 연구원들은 랜섬웨어 기능이 추가된 것에 대해, “데이터를 파괴하려는 의도를 감추기 위한 것”이라고 밝혔다. 해당 해커 그룹은 또한 Apostle 이외에.. 2021. 5. 26.
Zeppelin 랜섬웨어 변종 등장 최근 Zeppelin 랜섬웨어의 변종이 판매 중이다. 지난 3월에 활동을 재개한 Zepplin 랜섬웨어 운영진이 최근 새로운 버전의 랜섬웨어를 판매한다고 발표했다. 이들이 판매하는 Zeppelin 랜섬웨어는 Buran으로도 불리며 Delphi 언어를 기반으로 작성됐다. 현재 약 2,300 달러에 판매되고 있으며, 이번 변종은 암호화의 안정성이 향상됐다고 알려졌다. 또한, 해당 랜섬웨어 운영진은 장기 사용자에 대해 특별 대우를 할 것이라고 알렸다. 출처 [1] bleepingcomputer (2021.05.25) - Zeppelin ransomware comes back to life with updated versions https://www.bleepingcomputer.com/news/security.. 2021. 5. 25.
[주간 랜섬웨어 동향] – 5월 3주차 잉카인터넷 대응팀은 2021년 5월 14일부터 2021년 5월 20일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Sick” 외 3건, 변종 랜섬웨어는 “Nefilim” 외 3건이 발견됐다. 이 중, 연결된 네트워크를 감염할 수 있는 기능이 추가된 “MountLocker” 랜섬웨어가 발견됐고, 미 당국이 “DarkSide” 랜섬웨어 조직의 자원을 모두 압수해 해당 조직의 운영이 중단됐다. 2021년 5월 14일 Nefilim 랜섬웨어 파일명에 “.NEFILIM“ 확장자를 추가하고 “NEFILIM-HELP.txt"라는 랜섬노트를 생성하는 "Nefilim" 랜섬웨어의 변종이 발견됐다. 2020.03.27 - [랜섬웨어 분석] Nefilim 랜섬웨어 2021년 5월 17일 .. 2021. 5. 20.
DarkSide 랜섬웨어 서버 압수 및 운영 중단 미 당국에 의해 DarkSide 랜섬웨어 조직의 운영이 중단됐다. 지난 주말, REvil 랜섬웨어 측에서 해킹 포럼을 통해 DarkSide 랜섬웨어 측의 운영 중단을 알렸다. 해당 내용은 미 당국에서 랜섬웨어와 관련된 내용을 발표한 다음날 게시됐으며, 미 당국에 의해 DarkSide 랜섬웨어 조직이 운영하는 데이터 유출 사이트, 결제 서버 및 CDN 서버가 모두 압수 당했다고 한다. REvil 측은 이번 사건으로 인해 사회 부문(의료, 교육기관)과 모든 국가의 정보를 공격하지 말아야 한다고 언급했다. 사진 출처 : https://twitter.com/BleepinComputer/status/1393217115700830208/photo/1 출처 [1] BleepingComputer (2021.05.17).. 2021. 5. 17.

티스토리툴바