본문 바로가기

TACHYON Endpoint Security54

[랜섬웨어 분석] BlackKingdom 랜섬웨어 지난 12월 초, BlackKingdom 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자에 따라, C드라이브 내 모든 경로에 대하여 파일 감염 동작을 수행하기에 사용자의 주의가 필요하다. BlackKingdom 랜섬웨어는 악성동작이 이루어지면, 카운트다운과 랜섬노트를 띄워 감염사실을 알린다. 해당 랜섬웨어는 암호화 동작이 이루어지기 전에, 원격지 서버에 연결을 시도하지만 현 분석 시점에는 연결되지 않는다. 그리고, 바탕화면에 txt 파일의 랜섬노트를 생성하지만, 암호화 대상 확장자로 감염동작이 이루어질 때 랜섬노트도 암호화된다. 하기의 표와 같이, C 드라이브 경로 내에 특정 확장자에 대하여 암호화 동작을 수행한다. 감염이 되면 “파일명.확장자.DEMON” 파일명이 변경된다. 이번 보고서에서 알아본 Bla.. 2020. 12. 17.
11월 랜섬웨어 동향 및 Pulpit 랜섬웨어 악성코드 분석보고서 1. 11월 랜섬웨어 동향 2020년 11월(11월 01일 ~ 11월 30일) 한 달간 랜섬웨어 동향을 조사한 결과, “Clop” 랜섬웨어 운영자가 국내 소매 대기업을 공격했다고 주장하였고, 해외에서는 프랑스 IT 서비스 대기업 Sopra Steria가 “Ryuk” 랜섬웨어 공격을 받았다. 또한, 일본의 게임 개발 업체 Capcom은 “RagnarLocker” 랜섬웨어에 공격을 받아 데이터가 유출된 사건이 있었다. 1-1. 국내/외 랜섬웨어 소식 프랑스 IT 서비스 대기업 Sopra Steria, Ryuk 랜섬웨어 피해 사례 지난 10월 20일경, 프랑스 IT 서비스 대기업 Sopra Steria가 “Ryuk” 랜섬웨어 공격을 당해 5천만 유로의 손실이 생겼다. 해당 업체에서는 보안 .. 2020. 12. 4.
[랜섬웨어 분석] CryLock 랜섬웨어 CryLock Ransomware 감염 주의 최근 발견된 “CryLock” 랜섬웨어는 대다수의 파일 확장자에 대해 파일 암호화를 진행하고 시스템 복구를 무력화한다. 그리고 시스템이 재부팅되어도 랜섬웨어가 자동실행되도록 설정하기 때문에 주의가 필요하다. 해당 랜섬웨어는 “%TEMP%” 경로에 랜덤 파일명으로 자가복제하고 실행된다. 그리고 아래 [표 1]의 암호화 제외 목록을 참고하고 대부분의 확장자에 대해 파일 암호화를 진행한다. 파일 암호화가 완료되면 확장자를 “[공격자의 email].[랜덤 문자열]” 형태로 덧붙인다. 또한 암호화 대상 경로마다 “how_to_decrypt.hta” 랜섬노트를 생성한다. 또한 “TEMP”경로에 자가복제된 파일과 랜섬노트를 시스템이 재부팅되어도 자동 실행되도록 설정한다. .. 2020. 12. 4.
[랜섬웨어 분석] MyRansom 랜섬웨어 MyRansom 랜섬웨어 주의 최근 PDX 아이콘과 “청년인턴.pdf.exe” 파일명으로 위장한 “MyRansom” 랜섬웨어가 발견되어 사용자의 주의가 필요하다. 해당 파일의 내부에는 정상 pdf 파일(org.pdf)과 MyRansom 랜섬웨어 실행 파일(result.exe)이 존재하며 정상 pdf 파일에는 국토교통부를 사칭한 청년 인턴 합격자 발표 내용이 적혀있다. 사용자가 청년 인턴 관련 내용으로 착각해 “청년인턴.pdf.exe” 파일을 실행할 경우, 정상 pdf 파일과 함께 “MyRansom” 랜섬웨어가 실행된다. 해당 랜섬웨어는 ‘%USERPROFILE%’ 경로에서 아래 [표 1]과 같은 확장자에 대해 파일 암호화를 진행한다. 암호화된 파일은 일반적인 랜섬웨어와 다르게 확장자 변경이 없지만, 파일.. 2020. 11. 17.
[랜섬웨어 분석] LockDown 랜섬웨어 LockDown 랜섬웨어 주의 11월 초 LockDown 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어와 유사하게 동작하지만, 광범위한 확장자에 대하여 암호화 동작을 수행하기에 큰 피해를 초래할 수 있다. 해당 랜섬웨어는 특정 디렉토리에 대하여 암호화를 수행하며, 암호화 대상 디렉토리 경로에 “HELP_DECRYPT_YOUR_FILES.txt”라는 이름으로 생성되어 사용자에게 감염사실을 알린다. 암호화 동작이 시작되기 전 관리자 승인 모드를 활성화하고, 사용자가 눈치채지 못하도록 /quiet 옵션으로 볼륨섀도우 복사본을 모두 삭제한다. 그리고 해당 랜섬웨어는 C 드라이브를 제외하고 다른 드라이브가 존재할 때에 악성동작을 수행한다. 아래의 표와 같이 특정 폴더와 확장자에 대하여 암호화 동작을 수.. 2020. 11. 16.
[랜섬웨어 분석] RegretLocker 랜섬웨어 RegretLocker Ransomware 감염 주의 최근 "RegretLocker” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 파일 및 폴더를 제외한 모든 파일에 대해 암호화를 하고, 랜섬노트를 띄운 후 피해자에게 몸값을 요구한다. 또, 가상 하드 디스크 파일(VHD)을 마운트하는 동작과 실행중인 프로세스를 종료한 뒤 암호화하는 동작이 추가되어 효과적인 암호화가 이루어지므로 사용자의 주의가 필요하다. “RegretLocker” 랜섬웨어에 감염되면 [표 1]의 특정 파일 및 폴더를 제외한 모든 확장자의 파일이 암호화 된다. 암호화 이후 파일명의 확장자 뒤에 “.mouse”라는 이름의 확장자를 덧붙인다. 추가적으로 암호화 대상 폴더에 “HOW TO RESTORE FILES”라는 이름으로 txt 확장자의 .. 2020. 11. 6.

티스토리툴바