잉카인터넷 시큐리티대응센터 블로그

잉카인터넷 대응팀은 2021년 8월 20일부터 2021년 8월 26일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Eqautor"외 4건, 변종 랜섬웨어는 "Stop" 1건이 발견됐다. 2021년 8월 21일 Eqautor 랜섬웨어 파일명을 변경하지 않고 [그림 1]의 랜섬노트를 생성하는 "Eqautor" 랜섬웨어가 발견됐다. 2021년 8월 22일 Razor 랜섬웨어 파일명에 “.[랜덤 문자열]” 확장자를 추가하고 “READ TO UN-HACk”이라는 랜섬노트를 생성하는 “Razor” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 바탕화면 배경을 변경한다. DemonWare 랜섬웨어 파일명에 “.Demon” 확장자를 추가하고 “README.txt”라는 랜섬노트를 생성하는 “D..

잉카인터넷 대응팀은 2021년 8월 6일부터 2021년 8월 12일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “Divinity” 외 2건, 변종 랜섬웨어는 “Zeppelin” 외 6건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 Conti 랜섬웨어 조직의 교육자료가 계열사에 의해 유출된 이슈가 있었다. 2021년 8월 6일 Conti 랜섬웨어 조직 교육자료 유출 최근 Conti 랜섬웨어 조직의 교육자료가 계열사에 의해 유출됐다. 유출된 정보에는 Cobalt Strike C2 서버의 IP 주소와 랜섬웨어 공격 수행에 필요한 도구 및 교육 자료가 포함됐다. 2021년 8월 7일 Zeppelin 랜섬웨어 파일명에 “.payfast500 .XXX-XXX-XXX” 확장자를 추가하..

잉카인터넷 대응팀은 2021년 7월 30일부터 2021년 8월 5일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "BlackMatter" 외 2건, 변종 랜섬웨어는 "Stop" 외 3건이 발견됐다. 금주 랜섬웨어 관련 이슈로는 "Ryuk" 랜섬웨어의 빌더라고 주장했던 "Chaos" 랜섬웨어 빌더의 새로운 버전이 출시됐다. 2021년 8월 1일 BlackMatter 랜섬웨어 파일명에 ".[랜덤 문자열]" 확장자를 추가하고 "fwdHOW_TO_DECRYPT.txt"라는 랜섬노트를 생성하는 "BlackMatter" 랜섬웨어가 발견됐다. Stop 랜섬웨어 파일명에 ".nooa" 확장자를 추가하고 "_readme.txt"라는 랜섬노트를 생성하는 "Stop" 랜섬웨어의 변종이 발견..

잉카인터넷 대응팀은 2021년 7월 02일부터 2021년 7월 08일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Docuspx" 외 5건, 변종 랜섬웨어는 "Sodinokibi" 외 1건이 발견됐다. 이중, "Ryuk" 랜섬웨어를 만들 수 있다고 주장하던 빌더가 “Chaos”로 이름을 변경하여 유포되고 있다. 또한, "Sodinokibi" 랜섬웨어 그룹이 Kaseya VSA 서버를 침해하는 제로데이 취약점을 악용해 파일을 암호화했으며 이를 빌미로 고액의 랜섬머니를 요구하고 있다. 2021년 7월 2일 Sodinokibi 랜섬웨어 "Sodinokibi" 랜섬웨어 그룹이 Keseya VSA 서버를 침해할 수 있는 제로데이 취약점을 악용해 파일을 암호화하기 시작했다. 이에..

잉카인터넷 대응팀은 2021년 6월 11일부터 2021년 6월 17일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Slam" 외 3건, 변종 랜섬웨어는 "Nefilim" 외 1건이 발견됐다. 이 중, 류크 랜섬웨어 빌더로 주장하는 악성 빌더가 발견됐고, "Avaddon" 랜섬웨어 운영진이 운영 중단을 위해 복호화 키를 공개했다. 또한, 러시아어를 사용하는 해킹 포럼에 "Paradise" 랜섬웨어의 소스 코드가 공개됐고, 우크라이나 경찰이 "Clop" 랜섬웨어 운영진을 체포한 사건이 있었다. 2021년 6월 11일 Slam 랜섬웨어 파일명에 ".SLAM" 확장자를 추가하고 [그림 1]의 랜섬노트를 생성하는 "Slam" 랜섬웨어가 발견됐다. 해당 랜섬웨어는 작업 관리자 실..

잉카인터넷 대응팀은 2021년 5월 28일부터 2021년 6월 3일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “TeslaRVNG2” 외 3건, 변종 랜섬웨어는 “Matrix” 외 1건이 발견됐다. 이 중, Microsoft Exchange 서버의 취약점을 악용하고 다수의 파워셸 스크립트를 활용하는 “Epsilon Red” 랜섬웨어가 발견됐다. 2021년 5월 28일 TeslaRVNG2 랜섬웨어 파일명에 “.id[사용자 ID].[공격자 메일].[파일명].tesla” 확장자를 추가하고 “TeslaRVNG2.hta”라는 랜섬노트를 생성하는 “TeslaRVNG2” 랜섬웨어가 발견됐다. 해당 랜섬웨어는 시스템 복원을 무력화한다. 2021년 5월 29일 Matrix 랜섬웨어 파..

잉카인터넷 대응팀은 2021년 5월 21일부터 2021년 5월 27일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "Nohacker" 1건, 변종 랜섬웨어는 "Stop" 외 5건이 발견됐다. 또한, "Qlocker" 랜섬웨어 조직은 랜섬머니 협상 사이트를 폐쇄하여 운영을 잠정적으로 중단했다. 2021년 5월 21일 Stop 랜섬웨어 파일명에 ".nusm" 확장자를 추가하고 랜섬노트를 생성하지 않는 "Stop" 랜섬웨어의 변종이 발견됐다. 2019.01.15 - [랜섬웨어 분석]12월 랜섬웨어 동향 및 Stop 랜섬웨어 HiddenTear 랜섬웨어 파일명에 ".[랜덤 숫자]" 확장자를 추가하고 [그림 1]의 랜섬노트를 실행하는 "HiddenTear" 랜섬웨어의 변종이 발견..

잉카인터넷 대응팀은 2021년 5월 7일부터 2021년 5월 13일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 "GoNNaCry" 외 1건, 변종 랜섬웨어는 "Sodinokibi" 외 6건이 발견됐다. 이 중, "AstroLocker" 랜섬웨어의 운영진은 기존의 "MountLocker" 랜섬웨어의 업그레이드 된 버전으로 앞으로 해당 랜섬웨어 진단명으로 운영하겠다고 발표했다. 2021년 5월 7일 Sodinokibi 랜섬웨어 파일명에 “.[임의의 영문 숫자값]“ 확장자를 추가하고 “[임의의 영문 숫자값]-readme.txt"라는 랜섬노트를 생성하는 "Sodinokibi" 랜섬웨어의 변종이 발견됐다. GoNNaCry 랜섬웨어 파일명에 “.GoNNaCry“ 확장자를 추가하고..

잉카인터넷 대응팀은 2021년 4월 30일부터 2021년 5월 6일까지 랜섬웨어 신•변종 및 이슈와 관련하여 대응을 진행하였으며, 신종 랜섬웨어는 “CryBaby” 외 2건, 변종 랜섬웨어는 “SunCrypt” 외 2건이 발견됐다. 이 중, QNAP이 자사 NAS를 대상으로 공격하는 “AgeLocker” 랜섬웨어에 대해 경고했고, “BabukLocker” 랜섬웨어의 운영진은 랜섬웨어 운영을 중단하고 정보 탈취에 중점을 두겠다고 발표했다. 2021년 4월 30일 SunCrypt 랜섬웨어 파일명에 “.[랜덤 문자열]“ 확장자를 추가하고 “YOUR_FILES_ARE_ENCRYPTED.HTML"라는 랜섬노트를 생성하는 "SunCrypt" 랜섬웨어의 변종이 발견됐다. AgeLocker 랜섬웨어 QNAP이 자사 N..