안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 작년 하반기부터 활동중인 Mallox 랜섬웨어는 2022년 3월 랜섬웨어 패밀리들을 대상으로 진행된 통계에서 기업 타겟 랜섬웨어로 1위를 차지했습니다. 현재까지 국내에 감염된 사례는 보고된 적 없지만 봇넷, 네트워크 유포, 취약한 암호 등 다양한 방식을 통해 유포 중인 것으로 알려진 Mallox 랜섬웨어를 분석하고자 합니다. Mallox 랜섬웨어는 사용자 PC의 데이터를 암호화하여 금전을 요구하는 악성코드입니다. 시스템 언어가 러시아어, 카자흐어, 벨라루스어, 우크라이나어, 타타르어일 경우 암호화 작업 없이 프로세스를 종료하는 것과 사용자의 APR table에서 IP 주소와 관리 목적의 공유 폴더를 사용하여 랜섬웨어를 전파한다는 특징이 있..

악성코드 분석 리포트 2022. 5. 18. 09:00

Eternity malware kit offers stealer, miner, worm, ransomware tools 공격자들이 범죄자들이 원하는 공격에 따라 다양한 모듈로 커스텀이 가능한 악성코드 툴킷인 'Eternity Project' 서비스 형식으로 판매하기 시작했습니다. 해당 악성코드 툴킷은 모듈식이며 정보 스틸러, 코인 채굴기, 클리퍼, 랜섬웨어 프로그램, 웜 확산기를 포함하며 곧 DDoS(분산 서비스 거부) 봇도 포함될 수 있습니다. 또한 각각의 모듈을 별도로 구매하는 것도 가능합니다. 할 수 있으며 각각 별도로 구매합니다. 위 내용은 500명 이상의 회원이 있는 전용 Telegram 채널에서 홍보되고 있으며, 제작자는 여기에서 업데이트, 사용 지침에 대한 정보를 게시하고 기능을 개선하기 위..

국내외 보안동향 2022. 5. 13. 14:00

REvil ransomware returns: New malware sample confirms gang is back 러시아와 미국 사이의 긴장이 고조되고 있는 가운데, 악명 높은 REvil 랜섬웨어가 다시 활동을 재개했습니다. 새로운 버전은 새로운 인프라와 개선된 암호화기를 통해 표적화된 공격이 가능해졌습니다. 지난 10월 법 집행 기관이 REvil 랜섬웨어의 Tor 서버를 압수한 후 러시아의 법 집행 기관이 그룹의 멤버를 체포하여 활동을 중단했습니다. 하지만, 러시아는 우크라이나 침공 이후 미국이 REvil 그룹에 대한 협상 과정을 포기하고 관련된 통신 채널을 폐쇄했다고 밝힌 바 있습니다. 다시 살아난 REvil의 Tor 사이트 이후 얼마 지나지 않아, 기존 REvil의 Tor 인프라가 다시 작동하..

국내외 보안동향 2022. 5. 2. 09:00

Conti ransomware operations surge despite the recent leak Secureworks의 연구원들이 러시아에 기반을 둔 공격자인 Gold Ulrick으로 추적되는 Conti 랜섬웨어 그룹이 최근 내부 활동에 대한 데이터가 유출되었음에도 불구하고 여전히 계속해서 활동하고 있다고 밝혔습니다. 이 그룹의 활동은 2021년 정점을 찍었던 수준으로 되돌아갔습니다. 해당 그룹은 이들의 통신, 소스코드, 운영 세부 정보가 공개된 것에 대해 신속히 대응했습니다. Secureworks Conter Threat Unit(CTU)에서는 아래와 같이 밝혔습니다. "2022년 2월 Conti의 누출 사이트에 등록된 피해자의 수가 증가했습니다. 2월 27일, 트위터 계정 @ContiLeaks..

국내외 보안동향 2022. 4. 28. 14:00

Stormous ransomware gang claims to have hacked Coca-Cola Stormous 랜섬웨어 그룹이 그들의 유출 사이트에 글로벌 음료 회사인 Coca-Cola Company를 해킹했다고 발표했습니다. 이 해킹 그룹은 회사의 일부 서버를 해킹한 후 161GB에 달하는 데이터를 훔쳤다고 밝혔습니다. 이 해킹 그룹은 최근 텔레그램 채널 회원들에게 다음 타깃 회사를 선택하도록 요청하는 설문 조사를 진행했으며, 그 결과 코카콜라가 가장 많은 표를 받았습니다. 해당 해킹 그룹은 공지를 통해 아래와 같이 알렸습니다. “대규모 음료회사(코카콜라)가 투표로 선정되었기 때문에, 이들의 그들의 서버 중 일부를 해킹하고 161GB의 데이터를 훔쳤습니다.” “다크 웹의 우리 자체 웹사이트에 스..

국내외 보안동향 2022. 4. 27. 14:00

Quantum ransomware seen deployed in rapid network attacks 2021년 8월에 처음 발견된 Quantum 랜섬웨어 변종이 피해자에게 대응할 시간을 거의 주지 않는 신속한 공격을 수행하는 것으로 나타났습니다. 공격자는 IcedID 악성코드를 초기 액세스 벡터 중 하나로 사용하며, 공격은 원격 접근을 위해 Cobalt Strike를 배포하고, Quantum Locker를 통한 데이터 도난 및 암호화로 이어집니다. Quantum 랜섬웨어 공격을 분석한 DFIR 연구원은 해당 공격이 초기 감염에서 기기 암호화 완료까지 약 3시간 44분 걸렸다고 밝혔습니다. IcedID를 초기 액세스로 사용해 DFIR의 보고서에 따르면, 공격은 IcedID 악성코드를 타깃 시스템에 대한..

국내외 보안동향 2022. 4. 26. 14:00

Free decryptor released for Yanluowang ransomware victims Kaspersky가 Yanluowang 랜섬웨어의 암호화 알고리즘에서 취약점을 발견해 암호화된 파일을 복구할 수 있다고 밝혔습니다. 회사는 RannohDecryptor 유틸리티에 Yanluowang 랜섬웨어 변종에 암호화된 파일 해독 기능을 추가했습니다. "전문가들이 랜섬웨어를 분석한 결과, 알려진 평문 공격을 통해 피해자의 파일을 복호화할 수 있는 취약점을 발견했습니다.” 이 랜섬웨어 변종은 3GB보다 큰 파일과 3GB보다 작은 파일을 각각 다른 방식으로 암호화합니다. 큰 파일은 매 200MB마다 5MB만큼 부분적으로 암호화하고, 작은 파일은 처음부터 끝까지 완전히 암호화합니다. 이 때문에 "원본 파..

국내외 보안동향 2022. 4. 19. 09:00

Hive ransomware uses new 'IPfuscation' trick to hide payload 연구원들이 Hive 랜섬웨어가 IPv4 주소와 Cobalt Strike 비컨 다운로드로 이어지는 변환을 포함한 새로운 난독화 기술을 사용한다는 것을 발견했습니다. 코드 난독화는 공격자가 탐지를 피하기 위해 인간 또는 보안 소프트웨어가 코드의 악의적인 특성을 발견할 수 없도록 돕습니다. 난독화에는 장단점이 다른 여러 방법이 있지만, Hive 랜섬웨어 관련 사고를 대응한 결과 이들이 새롭고 은밀한 방법을 찾고 있음을 알 수 있었습니다. Sentinel Labs의 연구원들은 새로운 난독화 기술인 "IPfuscation"에 대한 보고를 공개했습니다. 이는 간단하지만 똑똑한 방법이 실제 악성코드를 배포하는..

국내외 보안동향 2022. 3. 31. 14:00