Ransomware now demands extra payment to delete stolen files 한 랜섬웨어 패밀리가 복호화 툴 값뿐만 아니라 공격 도중 훔친 파일을 공개하지 않고 삭제하기 위한 두 번째 랜섬머니를 요구하기 시작했습니다. 지난 수년 동안, 랜섬웨어 운영자들은 회사 네트워크를 암호화하기 전 데이터를 훔쳤다고 주장하며 랜섬머니를 지불하지 않을 경우 데이터를 공개하겠다고 협박해 왔습니다. 지난 2019년 11월 Maze 랜섬웨어 운영자는 실제로 훔친 파일을 공개했습니다. 그 이후로 Maze, Sodinokibi, DopplePaymer, Clop, Sekhmet, Nephilim, Mespinoza, Netwalker와 같은 거의 모든 랜섬웨어 패밀리에서 이 정책을 도입하였습니다. ..

국내외 보안동향 2020. 5. 14. 14:30

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2020년 5월 10일부터 국내 사용자를 대상으로 Paymen45 랜섬웨어가 대량으로 유포 중이어서 주의가 필요합니다. 해당 랜섬웨어는 정확한 감염경로가 아직 확인되진 않았으나 악성 이메일 첨부파일 또는, 불법SW 크랙버전을 위장하여 유포가 되고 있는 것으로 추정됩니다. 이번에 확인된 Paymen45 랜섬웨어는 현재까지 ESRC에서 발견된 변종을 포함하여 크게 2종류로 확인됩니다.랜섬웨어 기능 자체는 유사하지만, 독특한 점도 몇가지 발견할 수 있었습니다. 일단 초기에 발견된 Paymen45 랜섬웨어의 경우, 크롬 아이콘으로 자신을 위장하고 있습니다. (추가로 발견된 변종의 경우 크롬 아이콘으로 위장하지 않고 있습니다.) [그림 1] 크롬icon으..

악성코드 분석 리포트 2020. 5. 11. 16:33

Sodinokibi ransomware can now encrypt open and locked files Sodinokibi(REvil) 랜섬웨어가 다른 프로세스가 오픈한 후 잠금 상태인 파일을 암호화할 수 있는 새로운 기능을 추가했습니다. 데이터베이스나 메일 서버와 같은 일부 애플리케이션은 자신이 오픈한 파일을 잠가 다른 프로그램이 수정할 수 없도록 합니다. 이로써 두 프로세스가 동시에 한 파일에 데이터를 써서 데이터가 손상되는 것을 예방합니다. 이러한 이유로, 많은 랜섬웨어가 컴퓨터를 암호화하기 전 데이터베이스 서버, 메일 서버를 포함한 파일을 잠그는 애플리케이션을 종료하려 시도합니다. Sodinokibi, 파일을 잠그는 프로세스 자동으로 종료시켜 많은 랜섬웨어가 파일을 잠그는 것으로 알려진 애플리..

국내외 보안동향 2020. 5. 11. 10:16

Large scale Snake Ransomware campaign targets healthcare, more Snake 랜섬웨어 운영자들이 전 세계적인 사이버 공격 캠페인을 통해 지난 몇 주 동안 수많은 기업과 의료기관을 공격한 것으로 나타났습니다. 지난 1월, 새로운 Snake 랜섬웨어가 기업 네트워크를 노린다는 소식 이후로 별다른 소식이 없었으며, 실제 공격이 거의 발생하지 않았습니다. 하지만 이 랜섬웨어의 운영자들은 5월 4일부터 전 세계의 조직을 노리는 대규모 캠페인을 실행했습니다. 랜섬웨어 식별 사이트인 ID 랜섬웨어(ID Ransomware)에는 5월 4일부터 Snake 랜섬웨어 등록 건수가 크게 증가했습니다. 보안 기자인 Brian Krebs에 따르면, 유럽 최대 규모 의료 서비스 제공 ..

국내외 보안동향 2020. 5. 7. 09:06

New VCrypt Ransomware locks files in password-protected 7ZIPs 새로운 랜섬웨어인 VCrypt가 프랑스 피해자들을 노리고 있는 것으로 나타났습니다. 이 랜섬웨어는 합법적인 7zip 명령 프로그램을 통해 데이터 폴더의 패스워드 보호 압축파일을 생성하여 파일을 암호화합니다. 이 새로운 랜섬웨어는 윈도우 폴더에서 발견된 피해자의 파일을 모두 삭제하고, 해당 폴더명을 딴 새로운 암호화된 파일을 생성합니다. 이 암호화된 파일의 이름은 계정명_폴더명.vcrypt와 같은 형태로 생성됩니다. 예를 들어, 아래 이미지와 같이 Documents 폴더 내 파일이 삭제된 후 User_documents.vcrypt 파일이 생성됩니다. 랜섬웨어가 시작되면 이 악성코드는 인터넷 익스플..

국내외 보안동향 2020. 5. 6. 14:30

LockBit ransomware self-spreads to quickly encrypt 225 systems LockBit 랜섬웨어가 단 몇 시간 만에 기업 네트워크를 해킹하고 수 백대 기기에 랜섬웨어를 배포한 것으로 나타났습니다. 2019년 9월 시작된 LockBit은 비교적 새로운 서비스형 랜섬웨어(RaaS)입니다. 개발자는 지불 사이트와 악성코드 개발을 담당하고, 협력자들은 이 서비스에 가입해 랜섬웨어를 배포합니다. 이 서비스를 통해 LockBit 개발자는 랜섬머니의 약 25~40%를, 배포를 맡은 협력자는 60~75%를 가져갑니다. 단 3시간 만에 기업 네트워크 암호화해 이 사건 대응을 담당한 McAfee Labs와 Northwave는 공동으로 보고서를 발표했습니다. 보고서에는 LockBit ..

국내외 보안동향 2020. 5. 6. 08:53

Lucy’s Back: Ransomware Goes Mobile ‘FBI가 파일을 암호화했으며, 복구를 원할 경우 돈을 지불하라’고 주장하는 새로운 랜섬웨어 변종이 안드로이드 스마트폰을 감염 시키고 있는 것으로 나타났습니다. Black Rose Lucy 랜섬웨어는 지난 2018년 말 처음 등장했습니다. 이 랜섬웨어의 개발자들은 지속적으로 코드를 발전시켜 이제는 파일 암호화 기능까지 추가했으며, 감염된 기기를 제어하여 설정을 변경하고 다른 악성코드 설치까지 가능한 것으로 나타났습니다. Check Point의 연구원들은 Lucy의 새로운 기능에 대한 자세한 정보를 발표했습니다. 연구원들은 이 랜섬웨어의 샘플이 소셜 미디어 링크와 메신저 애플리케이션에서 배포되고 있는 것을 발견했습니다. 기기가 감염되면, 이 ..

국내외 보안동향 2020. 4. 29. 14:30

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 호주의 물류회사와 스페인에 위치한 병원에 랜섬웨어 공격이 발생했습니다. 주로 기업 네트워크를 타깃으로 하는 이번 공격에 사용된 랜섬웨어는 Mailto 랜섬웨어의 변종으로 Netwalker 로도 알려져있습니다. 해외에서 신종 코로나 바이러스의 확진자가 지속적으로 발생하면서 해당 공격자들이 랜섬웨어 설치를 위해 코로나19 이슈를 이용하여 피싱 이메일을 사용하고 있는 것으로 확인되었습니다. [그림] 랜섬노트 화면 해당 랜섬웨어는 기업을 타겟으로 하고, 최근에는 코로나19 확산에 따른 사회적 관심과 불안감을 악용하는 랜섬웨어입니다. 랜섬웨어를 예방하기 위해서는 기본 보안 수칙을 준수하고, 윈도우, 애플리케이션을 최신으로 업데이트해야 합니다...

악성코드 분석 리포트 2020. 4. 16. 17:00