안녕하세요 ESRC 입니다. 최근 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종이 자주 발견되고 있어 사용자들의 주의가 필요합니다. 랜섬웨어의 커스텀 변종이란, 기존 랜섬웨어 랜섬노트의 텍스트 일부를 해커가 임의로 수정한 버전을 말합니다. 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종은 기존 소디노키비(Sodinokibi) 랜섬웨어 변종들과 동일한 특징을 갖고 있지만, 일부 랜섬노트의 파일명과 내용을 일부 변경하였습니다. [그림1] 기존 Sodinokibi 랜섬웨어 랜섬노트 [그림2] Sodinokibi 랜섬웨어 커스텀 변종 랜섬노트 이런 랜섬웨어 커스텀 변종들의 경우 주로 특정 타겟에 맞춰 커스터마이징 하는 특징을 갖고 있습니다. 일례로, 연말에 유포된 소디노키비(Sodinokibi)..

악성코드 분석 리포트 2020. 1. 14. 13:14

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 랜섬웨어 수가 급증하면서 파일을 암호화 하는 대신 파일의 데이터를 삭제하는 악성코드 유형이 발견되었습니다.‘GermanWiper’라 불리는 이 악성코드는 대부분 랜섬웨어와 동일한 증상을 보입니다. 제외 확장자 및 문자열이 존재하고 복호화를 위한 랜섬노트를 생성하거나 바탕화면도 변경합니다. 하지만 파일 암호화 대신 파일의 데이터를 ‘0’으로 덮어 씌운다는 점에서 기존 랜섬웨어와 차이점이 있다. 데이터가 파괴된 파일은 랜섬웨어와 마찬가지로 임의의 확장자가 추가됩니다. 따라서 본 보고서에서는 파일 암호화를 위장한 ‘Trojan.Ransom.Filecoder’에 대해 상세 분석하고자 합니다. 악성코드 상세 분석 1. 프로세스 인젝션공격자는 ..

악성코드 분석 리포트 2019. 8. 26. 13:00

RansSIRIA라 불리는 새로운 랜섬웨어가 발견되었습니다. 해당 랜섬웨어는 사용자의 파일을 암호화하고 랜섬을 요구하는데, 랜섬 지불액이 시리아 난민을 구제하는 데 사용될 것이라고 안내합니다. 이 랜섬웨어는 WannaPeace 랜섬웨어의 변종으로, 브라질 사용자를 공격 대상으로 합니다. MalwareHunterTeam에 따르면, 이 랜섬웨어가 실행되면 가짜 워드창이 나타나며 사용자의 파일을 암호화할 때 약간의 시간이 소요됩니다. 사용자 PC의 파일들을 암호화 한 후, 다음과 같은 창이 나타나는데 시리아 난민을 구제하기 위한 랜섬머니를 지불하라는 호소문의 내용입니다. 이 랜섬노트는 포르투갈어로 작성되어 있는데, 해당 내용을 영어로 번역하면 다음과 같습니다. [포르투갈어 랜섬노트] [영어로 번역한 랜섬노트]..

국내외 보안동향 2018. 4. 20. 16:05

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 익스플로잇 킷(Exploit Kit)을 통해 MyRansom 랜섬웨어가 대량 유포되고 있는 중입니다. 특히, 한국 환경만을 대상으로 한 MyRansom(Magniber) 랜섬웨어가 발견되어 이용자들의 각별한 주의를 당부드립니다. 해당 랜섬웨어는 암호화 진행 전, 한국 언어 환경(0x412)인지 확인합니다. 다음은 언어 환경을 확인하는 코드입니다. [그림 1] 한국 언어 환경을 확인하는 코드 MyRansom 랜섬웨어 암호화 대상 확장자 문자열은 'hwp' 문서 확장자를 포함한 859개입니다. "doc", "docx", "xls", "xlsx", "ppt", "pptx", "pst", "ost", "msg", "em", "vsd", "vsdx..

악성코드 분석 리포트 2017. 10. 19. 15:29

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 악명높은 Locky 랜섬웨어 변종이 이메일 첨부파일을 통해 국내외로 다수 전파되고 있습니다. 인터넷 이용자분들은 아래 내용을 숙지하여 유사한 보안위협에 노출되지 않도록 각별히 주의하시기 바랍니다. 이번 공격 수법도 기존 사례와 비슷하게 이메일에 ZIP 파일을 첨부했고, 압축 내부에 악성 비주얼 베이직 스크립트(VBS) 파일을 포함하고 있습니다. 이메일 제목과 첨부파일에는 'E 2017-08-09 (숫자).확장명' 형태를 띄고 있으며, 확장명은 'PDF', 'XLS', 'DOC', 'XLSX', 'DOCX', 'TIFF', 'JPG' 등 다양하게 사용되었습니다. [그림 1] 이메일 유포 화면 사례들 이번 Locky 랜섬웨어 유포에 사용된 대부분의..

악성코드 분석 리포트 2017. 8. 10. 15:42

NemucodAES ransomware and Kovter trojan bundled in the same campaigns 최근 보안전문가들이 NemucodAES 랜섬웨어와 Kovter 악성코드가 스팸 캠페인을 통해 함께 배포 되고 있다고 밝혔습니다. 보안 연구원들은 지난 2주 동안 NemucodAES 랜섬웨어와 Kovter 클릭 악성코드를 다운로드 및 실행하는 JavaScript 파일이 담긴 .zip 파일을 배포하는 악성 스팸 메일이 급격히 증가한 것을 발견했습니다. NemucodAES는 2016년 Locky 및 TeslaCrypt 랜섬웨어를 배포한 여러 캠페인들에서 사용 된 것으로 알려진 Nemucod 악성코드 다운로더의 변종입니다. NemucodAES 랜섬웨어는 복호화 툴로 위협을 최소화 할 수 ..

국내외 보안동향 2017. 7. 17. 15:52