잉카인터넷 시큐리티대응센터 블로그

해외 보안 업체 Sophos에서 최근 유행하는 랜섬웨어인 블랙매터(BlackMatter)와 다크사이드(DarkSide)가 유사하다고 알렸다. Sophos는 블로그 게시글을 통해 두 랜섬웨어가 변경하는 바탕화면이 매우 유사하며, 바탕화면을 변경하기 위해 사용하는 데이터의 저장 위치와 정보가 일치한다고 한다. 또한, 파일 암호화에 사용한 기술 등이 상당히 유사하다고 언급했다. 마지막으로 블랙매터와 다크사이드의 관계를 연결하는 요인이 다수 발견됐지만, 코드가 동일하지 않다는 점 등으로 인해 리브랜딩은 아니라고 결론지었다. 출처 [1] Sophos (2021.09.27) - BlackMatter ransomware emerges from the shadow of DarkSide https://news.sopho..

미국 재무부는 랜섬웨어와 연계된 것으로 알려진 Suex 암호화폐 거래소에 대한 제재를 발표하였다. Suex 암호화폐 거래소의 거래내역 중, 40% 이상이 랜섬웨어를 통한 수익으로 전해지며 최소 8개 이상의 랜섬웨어 변종을 통해 거래가 이루어진 것으로 밝혀졌다. 해당 기관에 따르면 2020년 랜섬웨어로 인한 피해 금액은 2019년에 대비하여 4배가 넘는 4억 달러에 이르며, 알려지지 않은 피해는 더 있을 것으로 추정된다. 사진 출처 : 미국 재무부 출처 [1] US Treasury Department (2021.09.24) – Treasury Takes Robust Actions to Counter Ransomware https://home.treasury.gov/news/press-releases/jy0..

Ragnar Locker 랜섬웨어 그룹은 피해 기업에게 법 집행 기관 신고 시 탈취한 데이터를 자신들이 운영하는 데이터 유출 사이트에 게시하겠다고 위협하고 있다. Ragnar Locker 랜섬웨어에서 운영하는 데이터 유출 사이트 공지에 경고글을 게시하여 피해 기업에게 랜섬머니 지불에 대한 부담감을 심었다. 정부에서는 피해 기업이 랜섬머니를 지불하는 것에 대해 강력하게 반대했으며 랜섬머니를 지불하더라도 탈취된 데이터가 유출되지 않을 것이라는 확신은 없다고 발표했다. 사진 출처 : BleepingComputer 출처 [1] BleepingComputer (2021.09.08) – Ransomware gang threatens to leak data if victim contacts FBI, police ht..

잉카인터넷 대응팀은 2021년 8월 27일부터 2021년 9월 2일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "LCRY"외 3건, 변종 랜섬웨어는 "BlackMatter"외 6건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 "Ragnarok" 랜섬웨어가 최근 운영을 종료하겠다는 의사를 밝혔으며 "MBC" 랜섬웨어 그룹이 새로운 데이터 유출 사이트를 게시해 이란 철도 시스템에서 탈취한 데이터를 추후에 공개하겠다고 밝혔다. 2021년 8월 27일 LCRY 랜섬웨어 파일명에 ".LCRY" 확장자를 추가하고 [그림 1]의 랜섬노트를 실행하는 "LCRY" 랜섬웨어가 발견됐다. BlackMatter 랜섬웨어 파일명에 ".[랜덤 문자열]" 확장자를 추가하고 "[랜덤 문자열].READ..

FBI가 2020년 11월부터 미국 기업을 대상으로 사이버 공격을 진행한 OnePercent Group 관련 정보를 공유했다. FBI가 공개한 보고서에 따르면 해당 그룹은 악성 피싱 메일을 보내 사용자 PC에서 파일을 탈취하고 랜섬웨어를 실행하는 것으로 알려졌다. 또한, OnePercent 그룹은 피해자에게 직접 연락해 정상적인 협상이 이뤄지지 않으면 데이터를 유출하겠다고 협박한다고 한다. 출처 : FBI 출처 [1] CISA (2021.08.30) – FBI Releases Indicators of Compromise Associated with OnePercent Group Ransomware https://us-cert.cisa.gov/ncas/current-activity/2021/08/25/fb..

최근, FBI가 "Hive" 랜섬웨어 공격과 관련된 정보를 공유했다. FBI가 공개한 보고서에 따르면 "Hive" 랜섬웨어를 사용하는 조직은 백업 파일 삭제, 보안 솔루션과 관련한 프로세스 종료 등의 행위를 수행한 후, 파일 암호화를 진행한다고 알려졌다. 또한, 이들이 사용하는 파일은 다음과 같다. hive.bat : 자가 삭제 등의 삭제 루틴 실행한다. Shaow.bat : 볼륨 섀도우 복사본, 백업 파일 및 시스템 스냅샷 등을 삭제한다. Winlo.exe : 7zG.exe 파일일 드롭한다. 7zG.exe : 7-Zip 압축파일. Winlo_dump 64 SCY.exe 파일일 드롭한다. Winlo_dump_64_SCY.exe : 파일 암호화 및 랜섬노트를 생성한다. 출처 : FBI 출처 [1] FBI ..

새롭게 등장한 "MBC" 랜섬웨어 그룹이 이란의 철도 시스템 서비스를 중단시킨 사이버 공격의 배후라고 주장했다. 2021년 7월 9일, 이란의 열차 시스템이 Meteor라는 와이퍼 악성코드에 의해 공격을 당했다. 해당 공격에 의해 한동한 열차의 운행이 중단됐고, 플랫폼 내의 모니터의 화면을 변경하여 이란 최고 지도자의 사무실 전화번호로 불만 사항을 토로하라는 문구를 띄어 이란 정부를 조롱했다. 2021.08.10 - [분석 정보/악성코드 분석 정보] - 이란의 철도 시스템을 공격한 와이퍼 악성코드 Meteor 이에 대해, 최근 "MBC" 랜섬웨어 그룹이 자신이 운영하는 데이터 유출 사이트를 개설하고, 이란 철도 시스템을 공격한 배후가 자신들이라고 주장하며 일정 기간 후에 탈취한 데이터를 공개하겠다고 게시..

국내 유명 보험 대기업이 "Conti" 랜섬웨어 공격에 의해 데이터 유출 피해를 입은 것으로 보인다. 현재 공식적인 피해 기업의 발표는 없지만 "Conti" 랜섬웨어 그룹이 운영하는 데이터 유출 사이트에 2021년 8월 26일자로 해당 기업의 데이터가 게시됐다. 데이터는 주로 베트남 고객의 개인정보로 확인되며 총 49개의 파일을 첨부되어 있다. 출처 [1] RedPacket Security (2021.08.27) – Conti Ransomware Victim https://www.redpacketsecurity.com/conti-ransomware-victim-vsgumj_hanwha_life_vietnam/

최근까지 유포됐던 Ragnarok 랜섬웨어가 운영을 종료한 것으로 보인다. 현재 Ragnarok 랜섬웨어가 운영하는 데이터 유출 사이트의 이름이 "Decrypt Site"로 변경되었으며 "DECRYPT"라는 제목의 게시글 이외에 모두 삭제됐다. 이에 대해 데이터 복호화 전문 기업인 "Emsisoft"에서는 유출 사이트에 게시된 복호화 툴을 이용하여 범용 복호화 툴을 제작하고 있으며 곧 출시될 것이라고 밝혔다. 출처 [1] Bleeping Computer (2021.08.27) – Ragnarok ransomware releases master decryptor after shutdown https://www.bleepingcomputer.com/news/security/ragnarok-ransomware..

최근 "LockBit" 랜섬웨어 운영진이 v2.0을 공개했다. "LockBit" 측이 공개한 버전은 Active Directory 그룹 정책을 사용해 연결된 PC에 랜섬웨어를 배포할 수 있다. 또한, 네트워크와 연결된 프린터에서 랜섬노트를 출력하는 기능이 추가됐다. 출처 : 다크웹