잉카인터넷 시큐리티대응센터 블로그

Sepsys 랜섬웨어 주의! 지난 4월 중순에 Sepsys 랜섬웨어가 등장하였다. 해당 랜섬웨어가 실행되면 볼륨 섀도우 복사본을 삭제하며, 특정 디렉토리 내에 모든 확장자에 대하여 암호화를 진행하기에 큰 주의가 필요하다. 이번 보고서에서는 SepSys 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 사용자가 감염된 PC를 복구할 수 없도록 사전에 볼륨 섀도우 복사본을 모두 삭제 한 뒤, 암호화 동작을 수행한다. 또한 사용자의 PC IP정보를 서버로 전달하고, 자동실행 레지스트리 값에 자가 복제된 파일과 랜섬노트를 추가하여 윈도우 재부팅 시에도 동작이 수행되도록 만든다. 하기의 이미지와 같이, 윈도우 재부팅 시 동작하도록 자가 복제 파일과 랜섬노트를 Run 레지스트리에 등록한다. C2서버에 연결하..

VoidCrypt Ransomware 감염 주의 최근 “VoidCrypt”라 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어에 감염될 경우 정상적인 시스템 기능을 비활성화하고, 사용자의 파일을 암호화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 주의가 필요하다. “VoidCrypt” 랜섬웨어가 실행되면, 원활한 악성 동작을 위해 다음 [표 1] 목록의 서비스 및 프로세스를 종료시킨다. 이후 [표 2]의 목록과 같이 윈도우 복구 모드 비활성화, 백업 카탈로그 삭제 및 방화벽을 비활성화 한다. 사용자 PC의 드라이브 목록을 검색한 뒤, 폴더 및 파일의 경로가 “Windows”인 경우를 제외한 모든 파일을 암호화한다. 암호화한 파일에는 Void 확장자를 덧붙이고, 랜섬노트를 생성한 뒤 실행하여 감염 사실과..

VHD Ransomware 감염 주의 최근 “VHD”라 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 메일과 그룹웨어 기능을 제공하는 Microsoft Exchange Server의 서비스를 종료하고, 사용자 시스템의 파일을 암호화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 사용자의 주의가 필요하다. “VHD” 랜섬웨어가 실행되면 휴지통의 파일을 전부 삭제하고, 원활한 악성 동작을 위해 아래 [그림 1]과 같이 서비스를 종료시킨다. 이후 바탕화면에 “HowToDecrypt.txt” 랜섬노트를 생성하고 사용자 시스템의 드라이브 목록과 타입을 검색한다. 검색된 드라이브가 [표 1]의 제외 대상이 아닌 경우 최상단 경로에 랜섬노트를 추가로 생성한다. 위 조건의 해당하는 드라이브의 파일들을 검색한 뒤,..

Onix Ransomware 감염 주의 “Onix”로 불리는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 확장자가 “.Onix”가 아닌 경우에는 지정된 형식에 따라 확장자를 변경하며, 볼륨 섀도우 복사본 삭제 및 복구 비활성화를 통해 복구를 무력화한다. 따라서 감염될 경우 큰 피해를 초래할 수 있어 주의가 필요하다. 먼저, “Onix” 랜섬웨어는 폴더마다 ‘TRY_TO_READ.html’ 형식의 랜섬노트를 생성하여 사용자에게 감염 사실과 복구 방법을 통보한다. 랜섬노트와 더불어 바탕화면을 [그림 2]와 같이 변경한다. “Onix” 랜섬웨어에 감염되어 암호화가 완료되면 확장자가 .ONIX가 아닌 파일의 확장자를 “{사용자 ID}.{메일}.ONIX”로 변경한다. 또한, 암호화 후 복구를 무력화 하기 위해 볼륨 섀..

새로 등장한 Corona Ransomware 감염 주의 최근 코로나 19 바이러스 이슈를 활용한 공격이 발견되고 있는 가운데, 자기자신을 “Corona” 라고 명시하고 있는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 “Hakbit” 랜섬웨어의 변종으로 알려져 있으며, 실행 시 사용자의 파일을 암호화하고 있어 주의가 필요하다. 이번 보고서에서는 “Corona” 랜섬웨어의 대해 간략하게 알아보고자 한다. “Corona” 랜섬웨어가 실행 되면, 원활한 악성 동작을 수행하기 위해 아래 [표 1] 목록을 대상으로 서비스 종료, 서비스 비활성화 및 프로세스를 종료한다. 추가적으로 정상적인 복구를 무력화하기 위해 볼륨 섀도우 복사본을 삭제한다. 이후 아래 [표 2]의 암호화 대상 목록과 비교하여, 조건에 일치하는 사용자..

피싱 메일로 유포된 Dharma Ransomware 분석 보고서 수 년 동안 다양한 변종으로 발견된 “Dharma” 랜섬웨어는, 최근 이탈리아어로 작성된 피싱메일을 통해 유포 사례가 발견되고 있다. 해당 피싱 메일에는 악성링크가 포함되어 있으며, 링크를 클릭하게 되면 악성 파일이 자동으로 다운로드 되고 내부 스크립트 파일을 통해 랜섬웨어가 추가 다운로드 후 실행된다. “Dharma” 랜섬웨어는 볼륨 섀도우 복사본 삭제 및 사용자의 중요한 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “.ROGER” 확장자를 사용하는 “Dharma” 랜섬웨어의 대해 간략하게 알아보고자 한다. 피싱 메일에 포함된 악성 링크를 클릭하게 되면 “New documento 2.zip” 파일이 다운로드 되고, ..

RagnarLocker 랜섬웨어 감염 주의 “RagnarLocker”로 불리며 관리 서비스 제공업체(MSP)를 표적 공격하는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 원격 모니터링 및 관리 소프트웨어(RMM)를 종료하며, 감염되면 문서 등의 중요한 파일은 사용할 수 없게 된다. 또한, 파일을 복구하기 위해서는 고액의 몸값을 지급해야 하므로 주의가 필요하다. 이번 보고서에서는 “RagnarLocker” 랜섬웨어의 대해 간략하게 알아보고자 한다. “RagnarLocker” 랜섬웨어 실행 시 [표 1]의 목록을 제외한 사용자의 모든 파일을 암호화한다. 서비스는 주로 원격 관리 소프트웨어와 복구 관련 서비스를 종료한다. 파일 암호화가 완료되면, 해당 파일의 끝에 “_RAGNAR_”라는 시그니처를 추가한다. 또한,..

Nebo 랜섬웨어 감염 주의 1. 개요 최근 Nebo 랜섬웨어가 등장하였는데, 해당 랜섬웨어는 암호화하기 전에 암호화에 방해되는 여러 프로세스를 종료하고 암호화 동작을 수행한다. 그 후C&C 서버와 연결을 시도하지만, 현재 분석시점에서는 해당 원격지와 연결이 원활하지 않기 때문에 추가 악성동작은 파악이 되지 않고 있다. 이번 보고서에서는 Nebo 랜섬웨어의 동작에 대해 간략하게 알아보고자 한다. 2. 악성 동작 2-1. 실행과정 해당 랜섬웨어는 먼저, 암호화 작업에 방해가 되는 프로세스를 강제 종료한다. 그리고 특정 확장자에 대하여 파일 암호화를 수행한다. 마지막으로 모든 디렉토리 아래에 랜섬노트를 생성하여 사용자에게 랜섬웨어에 감염된 사실을 알린다. 그리고 C&C서버에 연결을 시도하지만 현 시점에는 연..

3월 랜섬웨어 동향 및 Rapid 랜섬웨어 분석보고서 1. 3월 랜섬웨어 동향 2019년 3월(3월 01일 ~ 3월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 국내에서는 GandCrab 랜섬웨어가 다양한 유포방식을 통해 국내 사용자들에게 피해를 입혔고, 해외에서는 미국의 잭슨 카운티가 랜섬웨어 공격을 받아 정부 업무가 마비되는 사건이 있었으며, 세계 최대 알루미늄 제조사인 노르웨이의 Norsk Hydro 회사가 랜섬웨어 공격을 받아 전세계 알루미늄 생산량에 영향을 준 사건이 있었다. 이번 보고서에서는 3월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 3월 등장한 Rapid 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 GandCrab 랜섬웨어 피해 사..