잉카인터넷 시큐리티대응센터 블로그

1. 랜섬웨어 피해 사례 2021년 3분기(7월 1일 ~ 9월 30일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 "소디노키비(Sodinokibi)", "락빗(LockBit)", "랜섬EXX(RansomEXX)" 등의 랜섬웨어로 인한 피해가 다수 발견되었다. 7월에는 독일 화학 유통 업체 Brenntag이 "다크사이드(DarkSide)" 랜섬웨어 공격을 받았고, 8월과 9월에는 미국 통신 업체 SAC Wireless와 일본 광학 및 복사 제품 업체 Olympus가 각각 "콘티(Conti)"와 "블랙매터(BlackMatter)" 랜섬웨어 공격을 받아 피해가 발생했다. 소디노키비(Sodinokibi) 랜섬웨어 피해 사례 레빌(REvil)로도 불리는 소디노키비 랜섬웨어가 3분기에 미국의 IT 관리용 솔루..

지난 7월 13일경, REvil 랜섬웨어 그룹은 자신들이 운영하는 데이터 유출 사이트를 폐쇄하고 운영을 중단하는 듯 보였으나 9월 7일, 데이터 유출 사이트가 다시 정상 운영되기 시작했다. 해킹 포럼에 "REvil"이라는 유저가 REvil 랜섬웨어 운영자였던 "Unknown"이 체포되어 운영을 잠시 중단했지만 본인이 다시 운영을 재개할 것이라는 글을 올렸다. REvil 유출 사이트에는 이전 피해 기업에 대한 유출 데이터가 그대로 게시된 것을 확인할 수 있었으며 추가적으로 새로운 피해 기업에서 탈취한 데이터들도 있었다. 사진 출처 : BleepingComputer 출처 [1] BleepingComputer (2021.09.14) – REvil ransomware is back in full attack m..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 35곳의 정보를 취합한 결과이다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "LockBit" 랜섬웨어가 31건으로 가장 많은 데이터 유출이 있었고, "Conti" 랜섬웨어가 25건으로 두번째로 많이 발생했다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 32%로 가장 높은 비중을 차지했고, 영국과 프랑스, 독일이 각각 10%와 6%, 스페인과 이탈리아가 각각 5%로 그 뒤를 따랐다. 2021년 7월(7월 1일 ~ 7월 31일)에 발생한 데이터 유출 건을 산업별로..

잉카인터넷 대응팀은 2021년 7월 02일부터 2021년 7월 08일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Docuspx" 외 5건, 변종 랜섬웨어는 "Sodinokibi" 외 1건이 발견됐다. 이중, "Ryuk" 랜섬웨어를 만들 수 있다고 주장하던 빌더가 “Chaos”로 이름을 변경하여 유포되고 있다. 또한, "Sodinokibi" 랜섬웨어 그룹이 Kaseya VSA 서버를 침해하는 제로데이 취약점을 악용해 파일을 암호화했으며 이를 빌미로 고액의 랜섬머니를 요구하고 있다. 2021년 7월 2일 Sodinokibi 랜섬웨어 "Sodinokibi" 랜섬웨어 그룹이 Keseya VSA 서버를 침해할 수 있는 제로데이 취약점을 악용해 파일을 암호화하기 시작했다. 이에..

지난 7월 2일경, Kaseya VSA 제품의 On-Premise 고객이 사이버 공격의 표적이 되었으며 Kaseya 측은 조사가 완료될 때까지 사용중인 VSA 서버를 즉시 종료할 것을 권고했다. 또한, Kaseya는 공격 당시 전 세계적으로 약 40명 미만의 피해 고객이 발생했다고 발표했으며 해당 기업의 제품을 이용하는 나머지 고객들이 피해를 입지 않도록 하기 위해 SaaS 서버를 일시적으로 종료하는 조치를 취했다고 밝혔다. 현재 CISA, FBI와 협력하여 이번 공격에 대해 조사중에 있다고 알렸으며 공격의 배후로 "Sodinokibi(REvil)" 랜섬웨어 그룹을 지목했다. 현재까지 지속적으로 피해 사례가 증가하고 있고, 추가적으로 Keseya VSA 보안 업데이트로 위장한 "Cobalt Strike"..

1. 랜섬웨어 피해 사례 2021년 2분기(4월 1일 ~ 6월 30일) 동안 랜섬웨어 동향을 조사한 결과, 국내/외에서 "콘티(Conti)", "도플페이머(DoppelPaymer)", "소디노키비(Sodinokibi)" 등의 랜섬웨어로 인한 피해가 다수 발견되었다. 4월에는 영국 철도 네트워크 기업 Merseyrail이 "락빗(LockBit)" 랜섬웨어 공격을 받았고, 5월과 6월에는 캐나다 운송 업체 Canada Post와 대만 메모리 및 스토리지 제조업체 ADATA가 각각 "로렌즈(Lorenz)"와 "라그나락커(RagnarLocker)" 랜섬웨어 공격을 받아 피해가 발생했다. 소디노키비(Sodinokibi) 랜섬웨어 피해 사례 레빌(REvil)로도 불리는 소디노키비 랜섬웨어가 1분기에 이어 2분기에도..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 23곳의 정보를 취합한 결과이다. 2021년 6월(6월 1일 ~ 6월 30일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "Conti" 랜섬웨어가 66건으로 가장 많은 데이터 유출이 있었고, "Sodinokibi" 랜섬웨어가 18건으로 두번째로 많이 발생했다. 2021년 6월(6월 1일 ~ 6월 30일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 58%로 가장 높은 비중을 차지했고, 프랑스와 이탈리아가 각각 10%와 5%, 캐나다와 독일이 각각 3%와 3%로 그 뒤를 따랐다. 2021년 6월(6월 1일 ~ 6월 30일)에 발생한 데이터 유출 건을 산..

잉카인터넷 대응팀은 2021년 5월 7일부터 2021년 5월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "GoNNaCry" 외 1건, 변종 랜섬웨어는 "Sodinokibi" 외 6건이 발견됐다. 이 중, "AstroLocker" 랜섬웨어의 운영진은 기존의 "MountLocker" 랜섬웨어의 업그레이드 된 버전으로 앞으로 해당 랜섬웨어 진단명으로 운영하겠다고 발표했다. 2021년 5월 7일 Sodinokibi 랜섬웨어 파일명에 “.[임의의 영문 숫자값]“ 확장자를 추가하고 “[임의의 영문 숫자값]-readme.txt"라는 랜섬노트를 생성하는 "Sodinokibi" 랜섬웨어의 변종이 발견됐다. GoNNaCry 랜섬웨어 파일명에 “.GoNNaCry“ 확장자를 추가하고..

지난 3월 중순, 안전모드에서 파일을 감염하는 기능이 추가된 “Sodinokibi” 랜섬웨어 v2.4가 발견됐다. 또한, 4월 초에 발견된 v2.5에서는 자동로그인 기능을 추가하여 파일 감염의 성능을 끌어올렸다. “Sodinokibi” 랜섬웨어를 실행할 때 [그림 1]과 같이 “-smode”를 인자로 전달하면 재부팅 후 안전모드로 진입하여 감염한다. “-smode”를 인자로 전달받은 “Sodinokibi” 랜섬웨어는 안전 모드 진입을 위해 [표 1]의 명령어를 실행한다. [표 1]의 명령어가 실행되면 부팅 옵션이 [그림 2]와 같이 ‘안전 부팅-네트워크’로 설정된다. 그 후, 안전모드에서 랜섬웨어를 자동 실행하기 위해 [표 2]와 같이 변경된 값에 “*”를 추가하고, 부팅 후 안전 모드 설정 값을 삭제하..

랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 19곳의 정보를 취합한 결과이다. 2021년 3월(3월 1일 ~ 3월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 “Conti” 랜섬웨어가 40건으로 가장 많은 데이터 유출이 있었고, “DoppelPaymer” 랜섬웨어가 29건으로 두번째로 많이 발생했다. 2021년 3월(3월 1일 ~ 3월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 62%로 가장 높은 비중을 차지했고, 프랑스와 이탈리아가 각각 8%와 6%, 캐나다와 영국 각각 5%와 4%로 그 뒤를 따랐다. 2021년 3월(3월 1일 ~ 3월 31일)에 발생한 데이터 유출 건을 산업별로..