잉카인터넷 시큐리티대응센터 블로그

Advanced Intel이 Avaddon 랜섬웨어 조직의 피해자에 대한 분석 결과를 공개했다. Advanced Intel이 공개한 보고서에 따르면 Avaddon 랜섬웨어 공격의 피해자가 가장 많은 국가는 미국과 캐나다 순이다. 이에 반해 러시아 또는 독립국가연합(CIS)에는 피해자가 없었다고 한다. 또한, Avaddon 랜섬웨어 조직은 소매업, 제조업 및 금융 순으로 공격 목표를 선정했으며, 이로 인한 해당 조직의 총 수입은 약 8,700만 달러에 달한다고 알려졌다. 출처 [1] advanced-intel (2021.06.16) - The Rise & Demise of Multi-Million Ransomware Business Empire https://www.advanced-intel.com/pos..

Avaddon 랜섬웨어 조직이 운영을 중단하고 암호 복호화 키를 공개했다. BleepingComputer 측은 FBI에서 보낸 것으로 위장한 익명의 제보를 받았으며, 비밀번호와 암호화된 ZIP 파일에 대한 링크가 포함되어 있었다고 알렸다. 보안회사 Emsisoft는 해당 복호화 키를 기반으로 Avaddon 랜섬웨어 암호 해독기를 배포했다. 압축파일은 "AvaddonDecryptionKeys"라고 주장하는 아래 3개의 파일이 포함되어 있었으며, 해당 키를 보안업체 Emsisoft에 공유하여 테스트한 결과 Avaddon 랜섬웨어에 감염된 시스템을 복구할 수 있었다고 밝혔다. Emsisoft 측은 해당 복호화 키를 기반으로 Avaddon 랜섬웨어 암호 해독기를 무료로 배포했으며, "최근 주요 사법기관의 조치로..

Evil Corp 사이버 공격 그룹의 후속 랜섬웨어로 지목됐던 PayloadBIN의 운영진이 자신들의 데이터 유출 사이트에 입장 발표글을 게시했다. PayloadBIN 운영진은 프랑스 보안 회사로부터 시작된 Evil Corp와 연관이 있다는 추측에 대해 반박했다. 또한, PayloadBIN은 그 어떤 사이버 그룹과 연관이 없으며 데이터 유출을 위한 독립적인 그룹이라고 밝혔다. 해당 게시글은 PayloadBIN 운영진이 직접 표명한 글일 뿐 Evil Corp 사이버 공격 그룹이 법적 제재를 피하기 위해 리브랜딩한 것에 대한 가능성은 열려있는 것으로 추측된다. 출처 : Payload.bin 데이터 유출 사이트

파일 암호화 중단을 선언했던 BabukLocker 랜섬웨어가 PayloadBIN 랜섬웨어로 새롭게 등장했다. BabukLocker 랜섬웨어의 데이터 유출 사이트 종료 이전에 게시된 "Hello World 4"라는 제목의 게시글에서는 암호화 중단과 함께 데이터 유출 만을 위한 거대한 플랫폼을 개발하고 있다는 내용을 담고 있었다. 그 후, "Payload.bin" 이라는 이름의 데이터 유출 사이트를 오픈했으며 현재는 아무런 게시글이 존재하지 않는 상황이다. 사진 출처 : https://twitter.com/malwrhunterteam/status/1399610423750627330 출처 [1] MalwareHunter Team (2021-06-07) https://twitter.com/malwrhuntert..

1. 랜섬웨어 통계 랜섬웨어 데이터 유출 통계 랜섬웨어 조직이 탈취한 것으로 주장하는 데이터가 게시된 데이터 유출 사이트 23곳의 정보를 취합한 결과이다. 2021년 5월(5월 1일 ~ 5월 31일)에 발생한 데이터 유출 현황을 랜섬웨어 진단명 별로 비교하였을 때 "Conti" 랜섬웨어가 62건으로 가장 많은 데이터 유출이 있었고, "DoppelPaymer" 및 "Sodinokibi" 랜섬웨어가 20건으로 두번째로 많이 발생했다. 2021년 5월(5월 1일 ~ 5월 31일)에 발생한 데이터 유출 건을 국가별로 비교하였을 때 미국이 47%로 가장 높은 비중을 차지했고, 프랑스와 독일이 각각 8%, 영국과 이탈리아가 각각 7%와 6%로 그 뒤를 따랐다. 2021년 5월(5월 1일 ~ 5월 30일)에 발생한 ..

랜섬머니로 단기간에 수 십억 달러를 벌어들인 새로운 랜섬웨어 그룹 “Prometheus”와 “Grief” 가 등장했다. "Prometheus" 랜섬웨어 그룹은 멕시코 정부를 공격하여 데이터를 훔친 이력이 있으며 총 27개의 탈취한 데이터를 자신들이 운영하는 데이터 유출 사이터에 게시한 것으로 알려졌다. 또한, 데이터 유출 사이트에 'Prometheus – group of REvil' 이라는 웹 페이지 이름을 가지고 있어 Sodinokibi(REvil) 랜섬웨어와의 연결고리가 있을 것으로 추정된다. "Grief" 랜섬웨어 그룹은 자신들이 운영하는 데이터 유출 사이트에 총 10개의 탈취 데이터를 게시했다. 또한, 해당 웹 페이지는 GDPR 33조를 인용하여 72시간 이내에 보안 감독기관에 데이터 침해 사실을..

최근 Zeppelin 랜섬웨어의 변종이 판매 중이다. 지난 3월에 활동을 재개한 Zepplin 랜섬웨어 운영진이 최근 새로운 버전의 랜섬웨어를 판매한다고 발표했다. 이들이 판매하는 Zeppelin 랜섬웨어는 Buran으로도 불리며 Delphi 언어를 기반으로 작성됐다. 현재 약 2,300 달러에 판매되고 있으며, 이번 변종은 암호화의 안정성이 향상됐다고 알려졌다. 또한, 해당 랜섬웨어 운영진은 장기 사용자에 대해 특별 대우를 할 것이라고 알렸다. 출처 [1] bleepingcomputer (2021.05.25) - Zeppelin ransomware comes back to life with updated versions https://www.bleepingcomputer.com/news/security..

Qlocker 랜섬웨어의 랜섬머니 협상을 위한 Tor 사이트에 "이 사이트는 곧 폐쇄 될 것입니다."라는 메시지를 표시했다. 해당 사이트는 결국 폐쇄되었고, 이로 인해 피해를 입은 사용자들은 더 이상 랜섬머니를 지불할 방법이 사라졌다. 또한, Qlocker 랜섬웨어 사이트의 폐쇄가 최근 랜섬웨어에 따른 법 집행 활동 증가에 따라 두려움에 의해 잠정 중단을 했을 수도 있다고 외신은 밝혔다. Qlocker 랜섬웨어 그룹은 QNAP NAS 장치의 취약점을 악용하여 유포되었으며 한달에 약 $350,000의 수익을 챙긴 것으로 확인된다. 사진 출처 : https://www.bleepingcomputer.com/news/security/qlocker-ransomware-shuts-down-after-extortin..

과학기술정보통신부는 랜섬웨어 침해사고를 예방하고 사고 발생 시 신속한 대응을 위한 "랜섬웨어 대응 지원반"을 설치하여 운영한다고 밝혔다. 최근 배달 대행 플랫폼 기업이 공격을 받아 피해를 입은 사례와 같이 국내외 기업을 대상으로 랜섬웨어 침해사고가 집중적으로 발생하고 있다. 따라서 과학기술정보통신부는 랜섬웨어 공격자의 협상에 응하지 말고 침해사고 신고를 통해 시스템 복구 등의 기술지원을 받을 것을 권고하였다. 사진 출처 : https://www.msit.go.kr/bbs/view.do?sCode=user&mId=113&mPid=112&bbsSeqNo=94&nttSeqNo=3180261 출처 [1] 과학기술정보통신부 (2021-05-20) - 과기정통부, ‘랜섬웨어 대응 지원반’ 구성·운영 https://..

유명 해커 포럼들이 최근 랜섬웨어의 광고를 금지하였다. 해커포럼 XSS 가 랜섬웨어 광고를 금지하겠다고 발표했다. 이번 조치는 DarkSide로 알려진 랜섬웨어 조직이 Colonial Pipeline의 네트워크를 암호화 한 사건 이후, 법 집행 기관의 관심을 회피하기 위한 시도인 것으로 알려졌다. XSS 포럼의 발표 하루 뒤, 또 다른 해커 포럼인 Exploit 관리자는 "포럼에 RaaS 프로그램이 존재하는것이 적절하지 않다. 모든 제휴프로그램을 제거하고 랜섬웨어 광고를 금지하기로 결정했다."고 알렸다. 사진 출처 : 해커 포럼 XSS 출처 [1] Security Affairs (2021.05.18) - Major hacking forums XSS and Exploit ban ads from ransom..