TACHYON Internet Security 5.0 36

[악성코드 분석]Slack, Github을 이용해 통신하는 SLUB 백도어 감염 주의

Slack, Github을 이용해 통신하는 SLUB 백도어 감염 주의 1. 개요 얼마 전 해외 보안 업체 Trend Micro 에서 팀 협력 도구 Slack 과 분산 버전 관리 툴 Github 을 이용하여 통신하는 백도어를 발견하였고, 두 서비스의 이름을 합쳐 SLUB 백도어라 명명했다. 해당 악성 파일은 시스템에 특정 백신이 실행 중이면 백도어 실행 없이 스스로 종료되거나, Github 으로부터 수행할 명령을 수신받고 Slack 채널로 결과를 전송하는 등, 탐지 회피 기능을 가지고 있기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 78,848 bytes 진단명 Trojan-Downloader/W32.SLUB.78848 악성동작 파일 다..

[랜섬웨어 분석]이미지 저작권 관련 내용으로 배포되는 GandCrab 랜섬웨어 5.2 버전 감염 주의

이미지 저작권 관련 내용으로 배포되는 GandCrab 랜섬웨어 5.2 버전 감염 주의 1. 개요 최근 이미지 저작권과 관련된 경고 메일을 통해 최신 GandCrab 랜섬웨어가 유포되고 있다. 첨부된 압축 파일 내부에는 jpg 파일로 위장한 실행 파일이 있으며, 이를 실행하면 랜섬웨어가 실행되어 암호화가 시작된다. GandCrab 은 이전부터 이와 같은 방법으로 가짜 이력서, 국가 기관 사칭 메일, 등을 통해 문서 파일로 위장하여 유포되어 온 전례가 있다. 최신 버전인 5.2 버전은 아직 복호화 툴이 없어 복구가 불가능하기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [원본.jpg].exe 파일크키 299,008 byte 진단명 Ransom/W32.GandCrab.2990..

[랜섬웨어 분석]기업을 겨냥한 LockerGoga 랜섬웨어 감염 주의

기업을 겨냥한 LockerGoga 랜섬웨어 감염 주의 1. 개요 ‘LockerGoga’ 랜섬웨어는 불특정 대상이 아닌 기업을 목표로 공격해 주의가 필요하다. 해당 랜섬웨어는 최근 프랑스의 엔지니어링 기업과 노르웨이의 알루미늄 제조사를 공격했으며, 공격당한 제조사의 네트워크 마비와 자동화 공정 일부가 수동으로 처리되는 일이 발생해 공장 운영의 피해와 금전적 손해를 입었다고 알려진다. 이처럼 기업대상 랜섬웨어는 중요 데이터 손실과 운영 마비가 2차 피해로 이어지고, 개인보다 피해규모가 더 크기 때문에 각별한 주의가 필요하다. 이번 보고서에는 기업을 대상으로 유포 되는 ‘LockerGoga’ 랜섬웨어에 대해서 알아본다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 tgytutrc랜덤숫자.exe 파일크..

3월 랜섬웨어 동향 및 Rapid 랜섬웨어 분석보고서

3월 랜섬웨어 동향 및 Rapid 랜섬웨어 분석보고서 1. 3월 랜섬웨어 동향 2019년 3월(3월 01일 ~ 3월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 GandCrab 랜섬웨어가 다양한 유포방식을 통해 국내 사용자들에게 피해를 입혔고, 해외에서는 미국의 잭슨 카운티가 랜섬웨어 공격을 받아 정부 업무가 마비되는 사건이 있었으며, 세계 최대 알루미늄 제조사인 노르웨이의 Norsk Hydro 회사가 랜섬웨어 공격을 받아 전세계 알루미늄 생산량에 영향을 준 사건이 있었다. 이번 보고서에서는 3월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 3월 등장한 Rapid 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 GandCrab 랜섬웨어 피해 사..

[랜섬웨어 분석]LockCrypt 랜섬웨어 감염 주의

LockCrypt 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 ‘LockCrypt’ 랜섬웨어는 모든 확장자 파일을 암호화하고 암호화한 파일은 ‘id-랜덤 문자열.LyaS’ 라는 문자열을 덧붙여 확장자를 변경한다. 또한, C 드라이브의 Windows 폴더를 제외한 모든 경로에 존재하는 사용자 파일을 대상으로 암호화를 진행하기 때문에 사용자의 주의가 필요하다. 이번 보고서에서는 ‘LockCrypt’ 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 12,288 bytes 진단명 Ransom/W32.LockCrypt.32768 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만 해당 랜섬웨..

[악성코드 분석]해킹된 ASUS社 서버로부터 유포되는 Shadow Hammer 악성 파일 주의

해킹된 ASUS社 서버로부터 유포되는 Shadow Hammer 악성 파일 주의 1. 개요 대만의 컴퓨터 제조사인 ASUS의 업데이트 서버가 해킹당해 악성 코드가 심어진 Live Update 파일을 유포했다. 최초로 이를 발견한 Kaspersky Lab 은 해당 악성 캠페인에 Shadow Hammer 라는 이름을 붙이고 트위터를 통해 발표했다. Shadow Hammer 는 감염 시스템의 MAC 주소에 따라 C&C 서버로부터 추가 악성 코드를 다운받아 실행하므로 주의가 필요하다. 현재 ASUS 에서는 해당 보안 문제를 해결하였다고 언급하며 감염 여부를 확인하는 진단 툴을 배포하고 있다. 이번 보고서에서는 Shadow Hammer 악성 파일의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 ..

[랜섬웨어 분석]WinRAR 취약점 이용하는 JNEC 랜섬웨어 주의

WinRAR 취약점 이용하는 JNEC 랜섬웨어 주의 1. 개요 얼마 전 공개된 WinRAR 취약점(CVE-2018-20250)을 악용하여 시스템을 감염시키는 JNEC 랜섬웨어가 발견되었다. WinRAR 는 세계적으로 인기 있는 압축 프로그램이며, 이번에 발견된 취약점은 rar 확장자 파일을 압축 해제하는 것만으로도 악성 파일을 공격자가 원하는 곳에 생성할 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 JNEC 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 GoogleUpdate.exe 파일크키 80,896 bytes 진단명 Ransom/W32.DN-JNEC.80896 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 정상 파일과 함께 “...

[악성코드 분석]화제의 여객기 사고 관련 정보로 위장한 피싱 메일 주의

화제의 여객기 사고 관련 정보로 위장한 피싱 메일 주의 1. 개요 얼마 전, 외국 보안 회사 360 Threat Intelligence Center 에서 트위터를 통해 보잉 737 여객기 추락 사고와 관련된 피싱 메일 캠페인이 발견되었다고 발표하였다. 피싱 메일에는 “다크웹에서 보잉 여객기 사고와 관련된 정보가 유출되었다.” 라고 언급하며 정보 탈취 기능을 가진 악성 첨부 파일을 실행하도록 유도하고 있다. 이 중 일부 메일은 국내 회사를 표적으로 발송되어 주의가 필요하다. 이번 보고서에서는 보잉 여객기 피싱 메일의 악성 동작에 대해 알아보고자 한다. 출처 : https://twitter.com/360TIC/status/1106524508612026369 2. 분석 정보 2-1. 파일 정보 구분 내용 파일..

[랜섬웨어 분석]Yatron Ransomware 랜섬웨어 주의

Yatron Ransomware 랜섬웨어 주의 1. 개요 최근 SMB 취약점 공격 도구로 알려진 이터널블루(EternalBlue)를 사용하는 ‘Yatron 랜섬웨어’가 발견되었다. 이터널블루를 이용한 공격은 사용자가 아무런 행동을 하지 않아도, 네트워크를 통해 파일 공유 프로토콜(SMB) 취약점이 존재하는 다른 시스템을 자동으로 감염시킬 수 있고, 빠른 속도로 확산될 수 있기 때문에 사용자의 각별한 주의가 필요하다. 과거 사례로 워너크라이 랜섬웨어가 대표적인 이슈이며 이후에도 간디크랩 랜섬웨어와 국내 POS 시스템 공격에도 이터널블루 SMB 취약점이 사용되었다. 최근에 또다시 Windows SMB 취약점을 이용한 악성코드가 유포된다고 알려졌기 때문에 아직 MS 보안 패치를 하지않은 시스템의 업데이트가 필..

[랜섬웨어 분석]Gorgon 랜섬웨어 주의

Gorgon 랜섬웨어 주의 1. 개요 최근 중국에서 유포되고 있는 Gorgon 랜섬웨어는 한국어, 중국어, 영어 3가지 언어를 지원한다. Gorgon 랜섬웨어의 Gorgon(고르곤) 뜻은 뱀으로 된 머리카락을 갖고있는 메두사를 뜻하며 Gorgon 랜섬노트 팝업창에도 상징적인 메두사 이미지가 나타나있다. 이번 보고서에서는 “Gorgon 랜섬웨어”에 대하여 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 166,912 bytes 진단명 Ransom/W32.DN-Gorgon.166912 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 일반적인 랜섬웨어의 유포경로와 비슷할 것으로 추정된다. 2-3. 실행 과정 Gorgon ..