본문 바로가기

TACHYON1421

[랜섬웨어 분석] LockDown 랜섬웨어 LockDown 랜섬웨어 주의 11월 초 LockDown 랜섬웨어가 등장하였다. 해당 랜섬웨어는 일반적인 랜섬웨어와 유사하게 동작하지만, 광범위한 확장자에 대하여 암호화 동작을 수행하기에 큰 피해를 초래할 수 있다. 해당 랜섬웨어는 특정 디렉토리에 대하여 암호화를 수행하며, 암호화 대상 디렉토리 경로에 “HELP_DECRYPT_YOUR_FILES.txt”라는 이름으로 생성되어 사용자에게 감염사실을 알린다. 암호화 동작이 시작되기 전 관리자 승인 모드를 활성화하고, 사용자가 눈치채지 못하도록 /quiet 옵션으로 볼륨섀도우 복사본을 모두 삭제한다. 그리고 해당 랜섬웨어는 C 드라이브를 제외하고 다른 드라이브가 존재할 때에 악성동작을 수행한다. 아래의 표와 같이 특정 폴더와 확장자에 대하여 암호화 동작을 수.. 2020. 11. 16.
[랜섬웨어 분석] Curator 랜섬웨어 Curator Ransomware 감염 주의 최근 “Curator” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 가상 머신, 윈도우 서버, 보안 프로그램과 관련된 서비스 및 프로세스를 종료하고 사용자의 파일을 암호화하고 있어 주의가 필요하다 “Curator” 랜섬웨어 실행 시 시스템의 볼륨 섀도우 복사본을 삭제하여 복원을 불가능하게 만든 뒤, 아래 [표 1] 목록의 서비스와 프로세스를 검색하여 종료시킨다. 그리고 아래 [표 2] 암호화 대상 목록과 비교하여 조건에 부합하는 파일을 암호화하고, 암호화한 파일에CURATOR 확장자를 덧붙인다. 파일 암호화 이후, “!=HOW_TO_DECRYPT_FILES=!” 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 이번 보고서에서 알아본 “Curator.. 2020. 11. 16.
[랜섬웨어 분석] RegretLocker 랜섬웨어 RegretLocker Ransomware 감염 주의 최근 "RegretLocker” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 파일 및 폴더를 제외한 모든 파일에 대해 암호화를 하고, 랜섬노트를 띄운 후 피해자에게 몸값을 요구한다. 또, 가상 하드 디스크 파일(VHD)을 마운트하는 동작과 실행중인 프로세스를 종료한 뒤 암호화하는 동작이 추가되어 효과적인 암호화가 이루어지므로 사용자의 주의가 필요하다. “RegretLocker” 랜섬웨어에 감염되면 [표 1]의 특정 파일 및 폴더를 제외한 모든 확장자의 파일이 암호화 된다. 암호화 이후 파일명의 확장자 뒤에 “.mouse”라는 이름의 확장자를 덧붙인다. 추가적으로 암호화 대상 폴더에 “HOW TO RESTORE FILES”라는 이름으로 txt 확장자의 .. 2020. 11. 6.
10월 랜섬웨어 동향 및 TechandStart 랜섬웨어 악성코드 분석보고서 1. 10월 랜섬웨어 동향 2020년 10월(10월 01일 ~ 10월 31일) 한 달간 랜섬웨어 동향을 조사한 결과, 해외에서는 프랑스 및 독일 유명 게임 개발사 유비소프트(Ubisoft)와 크라이텍(Crytek)이 지난 9월 중순에 등장한 “Egregor” 랜섬웨어 공격을 받았다. 또한, 미국 스키 및 골프 리조트 운영 업체 Boyne Resorts가 7월부터 활동 중인 “WastedLocker” 랜섬웨어 공격을 받았으며, 독일 소프트웨어 기업인 Software AG는 “Clop” 랜섬웨어 공격을 받아 데이터가 유출되었다. 1-1. 국내/외 랜섬웨어 소식 독일 소프트웨어 기업 Software AG, Clop 랜섬웨어 피해 사례 지난 10월 초, 독일 소프트웨어 기업인 Software.. 2020. 11. 5.
[랜섬웨어 분석] Clay 랜섬웨어 Clay Ransomware 감염 주의 최근 "Clay” 랜섬웨어가 발견되었다. 해당 랜섬웨어는 특정 폴더에 대해 암호화를 하고, 랜섬노트를 띄워 피해자에게 몸값을 요구한다. 그리고 레지스트리 변조를 통해 부팅이 정상적으로 일어나지 않게 하기 때문에 주의가 필요하다. “Clay” 랜섬웨어에 감염되면 ‘Desktop’ 및 ‘Downloads’ 경로의 모든 확장자를 암호화 한다. 암호화 이후에 파일의 확장자는 바뀌지 않는다. 감염이 완료되면 랜섬노트 창을 띄우며 해당 창을 종료할 수 없도록 만든다. 그리고 랜섬노트 창 아래에 1시간의 시간이 주어지며 해당 시간이 지나면 PC를 강제로 재부팅한다. 랜섬노트 창을 실행 직후 레지스트리 값을 변경하여 사용자가 랜섬웨어를 강제 종료할 수 없도록 작업관리자를 비활성화.. 2020. 11. 3.
[악성코드 분석] WSH RAT 악성코드 분석 보고서 지난 해에 등장한 ‘WSH RAT’이 최근 다시 모습이 나타나고 있다. 해당 악성코드는 PDF Reader Installer 을 가장한 파일로, 자바 스크립트 파일을 드롭하여 악성 동작을 수행한다. 악성 동작이 수행될 때, 정상 Installer 파일도 함께 실행하여 사용자가 눈치채지 못하게 하기에 큰 주의가 필요하다. 해당 악성코드가 실행되면, 정상 PDF Reader Installer을 드롭하고 실행한다. 정상 Install 파일의 화면을 띄우고, 악성 자바 스크립트 파일을 드롭 및 실행한다. 해당 스크립트 파일은 난독화 되어있어 일반 사용자는 파일 내용을 확인하기 힘들도록 한다. 아래의 빨간색 상자는 인코딩된 메인 코드이다. 인코딩된 메인 코드를 base64로 디코딩하면 다음과 같은 스크립트를 확인.. 2020. 10. 29.

티스토리툴바