잉카인터넷 시큐리티대응센터 블로그

RIG Exploit Kit으로 유포되는 Buran 랜섬웨어 감염 주의 1. 개요 최근 Internet Explorer 취약점을 악용해 RIG Exploit Kit 공격으로 유포되는 Buran 랜섬웨어가 발견되었다고 알려진다. RIG Exploit Kit은 주로 Internet Explorer, Adobe Flash Player, Java의 보안 취약점을 악용한 악성코드 유포 도구로 이용되며, 해당 공격 도구를 이용해 사용자 PC에 Buran 랜섬웨어를 다운 및 실행시킬 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 Buran 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 796,160 bytes 진단명 Rans..

견적 요청서 관련 내용으로 유포되는 Sodinokibi 랜섬웨어 감염 주의 1. 개요 최근 견적 요청서와 관련된 메일을 통해 Sodinokibi 랜섬웨어가 유포되고 있다. 첨부된 압축 파일 내부에는 doc 확장자로 위장한 랜섬웨어 실행 파일이 있으며, 사용자가 문서 파일로 착각해 이를 실행하면 랜섬웨어에 감염된다. 이와 같이 이메일의 첨부파일과 이중확장자를 이용한 방법은 GandCrab 랜섬웨어와 흡사한 특징을 갖고 있기 때문에 사용자의 각별한 주의가 필요하다. 이번 보고서에서는 Sodinokibi 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 견적요청.doc.exe 파일크키 667,648 bytes 진단명 Ransom/W32.Sodinokibi 악성..

키릴문자 'Я' 파일을 생성하는 GEFEST 랜섬웨어 감염 주의 1. 개요 GEFEST 랜섬웨어는 수십 여개의 변종으로 발견되는 Scarab 랜섬웨어 계열의 후속 작으로, 발견 시기마다 암호화 파일 확장자의 변화와 일부 변종에서는 암호화 대상 폴더에 키릴문자 'Я'을 이름으로 한 파일을 생성하는 특징을 발견할 수 있다. 이러한 특징은 GEFEST 랜섬웨어에서도 확인할 수 있으며, 해당 랜섬웨어는 최근 암호화 파일 확장자가 새롭게 변화하여 발견되고 있기 때문에 사용자들의 주의가 필요하다. 이번 보고서에서는 .GFS 감염 확장자를 사용하는 GEFEST 랜섬웨어에 대해 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 176,128 bytes 진..

모든 파일을 암호화하는 Blind 랜섬웨어 감염 주의 1. 개요 2017년 하반기에 발견된 Blind 랜섬웨어는 다양한 변종으로 변화하고 있으며, 최근에도 유포되고 있다. Blind 랜섬 웨어는 변종 마다 감염 파일에 덧붙이는 확장자를 변경하고 있는데, 최근에 발견된 버전에서는 .skeleton 이라는 확장자를 사용하고 있다. 해당 랜섬웨어는 수년 간 여러 변종이 발견되고 있으며 최근까지 유포되고 있기 때문에 사용자들의 주의가 필요하다. 이번 보고서에서는 .skeleton감염 확장자를 사용하는 Blind 랜섬웨어에 대해 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크키 651,264 bytes 진단명 Ransom/W32.Blind.65126..

이미지 저작권 관련 내용으로 배포되는 GandCrab 랜섬웨어 5.2 버전 감염 주의 1. 개요 최근 이미지 저작권과 관련된 경고 메일을 통해 최신 GandCrab 랜섬웨어가 유포되고 있다. 첨부된 압축 파일 내부에는 jpg 파일로 위장한 실행 파일이 있으며, 이를 실행하면 랜섬웨어가 실행되어 암호화가 시작된다. GandCrab 은 이전부터 이와 같은 방법으로 가짜 이력서, 국가 기관 사칭 메일, 등을 통해 문서 파일로 위장하여 유포되어 온 전례가 있다. 최신 버전인 5.2 버전은 아직 복호화 툴이 없어 복구가 불가능하기 때문에 주의가 필요하다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [원본.jpg].exe 파일크키 299,008 byte 진단명 Ransom/W32.GandCrab.2990..

GandCrab 랜섬웨어 5.2 버전 출현!, 초기 버전부터 변화과정 1. 개요 현재 일반 사용자와 국내기업을 대상으로 랜섬웨어 공격이 다수 발견되고 있으며, 최근에는 버전 5.2로 업데이트된 GandCrab 랜섬웨어의 공격이 빠르게 증가하고 있다. 해당 랜섬웨어는 정확한 한국어 사용과 공신력 있는 기관을 사칭하여 사용자로 하여금 악성파일을 실행시키도록 위장하고 있기 때문에 각별한 주의가 필요하다. 이번 보고서에서는 GandCrab 랜섬웨어의 초기 버전부터 최근 버전까지의 변화 사항에 대해서 간략하게 알아보고자 한다. 2. 버전 별 변화 2-1. 타임라인 작년 1월에 등장한 GandCrab 랜섬웨어는 지속적인 업데이트를 통해 꾸준히 변화해오고 있으며, 최근에는 5.2 버전까지 발견되고 있다. 먼저 아래의..

WinRAR 취약점 이용하는 JNEC 랜섬웨어 주의 1. 개요 얼마 전 공개된 WinRAR 취약점(CVE-2018-20250)을 악용하여 시스템을 감염시키는 JNEC 랜섬웨어가 발견되었다. WinRAR 는 세계적으로 인기 있는 압축 프로그램이며, 이번에 발견된 취약점은 rar 확장자 파일을 압축 해제하는 것만으로도 악성 파일을 공격자가 원하는 곳에 생성할 수 있기 때문에 주의가 필요하다. 이번 보고서에서는 JNEC 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 GoogleUpdate.exe 파일크키 80,896 bytes 진단명 Ransom/W32.DN-JNEC.80896 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 정상 파일과 함께 “...

1월 랜섬웨어 동향 및 RickRoll Locker 랜섬웨어 1. 1월 랜섬웨어 동향 2019년 1월(1월 01일 ~ 1월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 여전히 GandCrab 랜섬웨어가 다양한 유포 방식으로 사용자들에게 피해를 입혔으며, 해외에서는 미국 Del Rio 시청의 컴퓨터 일부가 랜섬웨어에 감염 되었고, 프랑스에서는 Altran Technologies 라는 회사가 랜섬웨어 공격으로 네트워크를 통해 유럽 일부 국가에 영향을 준 사건이 있었다. 이번 보고서에서는 1월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 1월 등장한 RickRoll Locker 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 GandCrab 랜섬웨어..

파일 일부분만 암호화하는 Anatova 랜섬웨어 주의 1. 개요 최근 암호화 대상 파일의 일부분만 암호화하여 빠르게 시스템을 감염시키는 Anatova 랜섬웨어가 발견되었다. 그뿐만 아니라 일반적인 랜섬웨어는 감염 대상 시스템을 늘리기 위해 32비트 포맷으로 작성되는 반면, Anatova 는 64비트 포맷으로 작성되어 악성 코드 실행 속도를 높였다. 시스템 관리자가 미처 대응하기 전에 시스템이 감염되어 버리면 랜섬웨어 피해가 커질 수 있으므로 주의가 필요하다. 이번 보고서에서는 Anatova 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 49,664 bytes 진단명 Ransom/W64.Anatova.49664 악성동작..

다시 등장한 Seon 랜섬웨어 감염 주의 1. 개요 Seon 랜섬웨어는 2018년 11월에 파워쉘 스크립트를 통한 Fileless 형태로 등장했었다. 최근에 다시 등장한 Seon 랜섬웨어는 ver.0.2 라고 버전이 표기 되어 있으며, Malvertising 및 GreenFlashSundown Exploit Kit 을 통해 유포 된다고 알려졌다. 해당 랜섬웨어는 지난 11월에 이어 다시 등장한 만큼 주의가 필요하다. 이번 보고서에는 최근에 발견 된 Seon 랜섬웨어 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 61,968 bytes 진단명 Ransom/W32.Seon.61968 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 M..