안녕하세요. ESRC(시큐리티 대응센터)입니다. 얼마 전 ESRC는 Makop 랜섬웨어를 유포하는 비너스락커 조직에 대해 경고한 적이 있습니다. ▶ 비너스락커 조직, 지원서 사칭 이메일을 통해 Makop 랜섬웨어 대량 유포중!! 비너스락커 조직은 2017년도부터 현재까지 국내에 랜섬웨어를 대량으로 유포하는 조직으로, 유포하는 랜섬웨어는 주기적으로 달라집니다. 얼마 전 까지 이 조직은 국내에 Nemty 랜섬웨어를 유포하였지만, 최근부터는 Nemty랜섬웨어가 아닌 Makop 랜섬웨어를 유포하고 있습니다. 뿐만 아니라, 백신 및 보안장비의 탐지를 우회하기 위하여 유포방식의 변화를 주고 있습니다. [그림 1] 이력서를 위장하고 있는 악성 메일 이번에 발견된 이력서 사칭 악성 메일 역시 국내 대형 포털 이메일 사..

악성코드 분석 리포트 2020. 3. 6. 08:32

DoppelPaymer Ransomware Used to Steal Data from Supplier to SpaceX, Tesla 록히드 마틴, SpaceX, 보잉과 같은 우주 항공 업체에 맞춤형 부품을 납품하는 회사가 파일을 암호화하고 데이터를 유출하는 랜섬웨어의 타깃이 된 것으로 나타났습니다. 콜로라도에 위치한 기업인 Visser Precision은 공격자가 회사의 데이터에 접근해 이를 탈취했다고 밝혔습니다. 한 보안 연구원은 유출된 회사의 파일 중 일부를 온라인에서 발견했습니다. Visser는 자동차 및 항공 산업을 포함한 여러 업계에서 사용하는 정밀 부품을 생산합니다. 이 회사의 고객들은 업무 특성상 매우 높은 보안 수준이 요구됩니다. Emsisoft의 위협 분석가인 Brett Callow는 해..

국내외 보안동향 2020. 3. 4. 16:38

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 국내에 Nemty 랜섬웨어를 유포하던 비너스락커 조직이 Nemty 랜섬웨어가 아닌 Makop 랜섬웨어를 대량으로 유포중에 있어 사용자들의 주의가 필요합니다. ※ 관련글 바로가기 ▶ 이력서 이메일을 위장하여 유포중인 Nemty 랜섬웨어 주의! 비너스락커 조직으로 추정 (2020.01.20)▶ 공정거래위원회를 사칭한 악성 메일 주의! 비너스락커 조직의 소행으로 추정 (2020.01.03) ▶ 비너스락커 조직, Nemty 2.2 랜섬웨어 여전히 유포중 (2019.12.10)▶ 비너스락커 조직, 구직의뢰 내용으로 Nemty 랜섬웨어 2.2 확산 중(2019.12.04)▶ Nemty 랜섬웨어, 공문을 사칭한 악성 메일을 통해 지속적으로 유포중! (2019.11..

악성코드 분석 리포트 2020. 3. 4. 15:43

Nemty Ransomware Punishes Victims by Posting Their Stolen Data Nemty 랜섬웨어가 훔친 데이터를 게시하는 사이트를 만들었습니다. 랜섬웨어 운영자들은 2019년부터 피해자가 돈을 지불하지 않을 경우 훔친 데이터를 공개적으로 게시하는 전략을 사용하기 시작했습니다. 공격자가 회사의 재무 정보, 직원의 개인 정보, 고객 데이터를 훔쳐 게시할 경우, 이는 단순한 랜섬웨어 공격이 아닌 데이터 유출로 이어집니다. Maze 랜섬웨어가 훔친 파일을 게시하자, DoppelPaymer와 Sodinokibi 등 다른 랜섬웨어 패밀리들 또한 피해자를 협박하기 위한 유출 사이트를 개설했습니다. 이제 Nemty 랜섬웨어 또한 피해자가 돈을 지불하지 않을 경우 기기를 암호화하기 전..

국내외 보안동향 2020. 3. 4. 08:33

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 유포중이던 Sodinokibi 랜섬웨어에 특이점이 발견되었습니다. 기존 Sodinokibi 랜섬웨어와 비교하면 이번에 확인된 Sodinokibi 역시 대동소이합니다. 일단 해당 Sodinokibi에 감염되면, 사용자PC에 저장된 특정 확장자 파일을 암호화하고 파일 확장자명을 기존 파일명 뒤에 일괄적으로 x35g0t03으로 붙여서 변경합니다. 또한 'Your files are encrypted !!!'라는 메시지를 포함한 푸른색 노이즈 이미지를 바탕화면으로 설정하는 동시에 x35g0t03-README-PLEASE라는 랜섬노트 파일을 띄웁니다. [그림 1] Sodinokibi에 감염되어 바탕화면 변경 및 랜섬노트 실행된 PC 화면 ※ 소디노키비(Sodin..

악성코드 분석 리포트 2020. 3. 3. 17:26

Australian banks targeted by DDoS extortionists 지난 몇 주간 진행된 악성 캠페인이 호주의 은행 및 금융 기관을 노리고 있는 것으로 나타났습니다. 이 공격자들은 피해자에게 막대한 금액의 랜섬머니를 모네로(XMR)로 지불하지 않을 시 분산 서비스 거부 (DDoS) 공격을 실행하겠다는 협박 이메일을 전송했습니다. 호주의 ASD(Australian Signals Directorate) 산하 사이버 보안 센터(ACSC)는 현재 진행중인 이 캠페인에 대한 경고를 발행했습니다. ACSC는 현재까지 발견된 증거로 볼 때 공격자들이 이 협박을 실제로 실행에 옮기지는 않은 것으로 보이며 DDoS 공격도 발견되지 않았다고 밝혔습니다. 작년 시작된 글로벌 DDoS 협박 캠페인 호주의 조..

국내외 보안동향 2020. 2. 27. 15:44

Croatia’s largest petrol station chain INA group hit by ransomware attack 랜섬웨어 공격으로 인해 크로아티아 최대 석유 회사이자 주유소 체인인 INA 그룹의 운영이 중단되었습니다.INA, d.d. 는 헝가리아의 MOL 그룹과 크로아티아 정부가 최대주주로 있는 주식회사입니다. 이 회사는 현지 시간으로 지난 금요일 2월 14일 22:00에 발생한 공격으로 인해 인보이스 발행 및 마일리지 카드 사용이 불가능했다고 밝혔습니다. “INA 그룹은 현재 사이버 공격을 받고 있습니다. 따라서 모바일 전화 바우처, 전자 비네트, 청구서 지불 등 서비스 운영에 영향을 미칠 수 있습니다.” “시장 공급 부분은 안전한 상태입니다. 각 지점에서 주유하는 데는 이상이 없습..

국내외 보안동향 2020. 2. 21. 15:25

안녕하세요. ESRC(시큐리티 대응센터)입니다. 금일(19일), 국내 코로나 19(코로나 바이러스) 확진자가 급증하였습니다. 이스트시큐리티에서는 이미 이러한 사회적 불안을 이용한 코로나 바이러스를 악용하는 악성코드에 대해 주의를 당부한 적이 있습니다. (▶ 지속적으로 발견되고 있는 '코로나 바이러스' 관심사를 악용하는 악성코드) 하지만 코로나 바이러스(coronavirus)를 키워드로 한 악성코드 공격이 지속적으로 증가하고 있어 다시 한번 당부를 드립니다. 이번에 발견된 공격은 "Information on Travelers from Wuhan China to India" 파일명으로 유포되었습니다. Wuhan China는 코로나바이러스의 또 다른 이름으로, 국내에서는 중국우한폐렴 이라고도 불리웁니다. [그..

악성코드 분석 리포트 2020. 2. 20. 14:19