안녕하세요.이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019/10/29) 오전부터 경력직 입사지원서로 위장한 Nemty Revenge 2.0 랜섬웨어가 대량으로 유포중인 정황이 확인되었습니다. 유포중인 입사지원서 위장메일은 대부분 지원자 이름을 메일 제목으로 하고 있습니다. [그림 1] 입사지원자 이름으로 위장한 악성메일 1 [그림 2] 입사지원자 이름으로 위장한 악성메일 2 이 외에도 다양한 이름의 입사지원자 이름을 제목으로 사용한 메일이 유포되고 있습니다. 경력직 입사지원서로 위장한 악성메일 캠페인은 비너스락커(Venus)조직의 수행으로 추정되며, 최근에도 입사지원서를 위장하여 Nemty 랜섬웨어를 유포한 케이스가 존재합니다. 또한 바로 몇주전에는 '공정거래위원회'를 사칭하여 악성메일을 ..

악성코드 분석 리포트 2019. 10. 29. 15:09

Emsisoft released a free decryption tool for the STOP (Djvu) ransomware STOP (Djvu) 랜섬웨어는 변종이 160개 이상이나 되며 전 세계 수 십만 피해자를 감염시켰습니다. 전문가들은 피해자 수를 총 460,000명으로 추정했습니다. 이로써 이 랜섬웨어는 오늘날 가장 활동적이며 광범위하게 활동하는 랜섬웨어가 되었습니다. Emsisoft의 랜섬웨어 통계 보고서 2019년 2,3 분기 자료에 따르면 전 세계에서 접수 된 랜섬웨어 감염 신고 중 절반 이상이 Djvu 랜섬웨어였습니다. 이 복호화 툴은 최초로 랜섬웨어의 키스트림에 사이드 채널 공격을 가했습니다. “랜섬웨어의 키스트림에 사이드 채널 공격을 가해 STOP의 암호화를 깨트릴 것입니다. 우리가..

국내외 보안동향 2019. 10. 21. 16:49

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 갠드크랩 4.1 버전에서 사용된 이미지를 동일하게 사용한 랜섬웨어가 발견되었습니다. 이 이미지는 다음과 같이 러시아 대통령과 러시아 문구가 삽입되어 있습니다. Nemty 랜섬웨어는 주로 입사 지원서를 위장한 메일로 유포되며, 파일명에 긴 공백을 넣어 PDF 파일인 것처럼 위장해 사용자를 속이는 것이 특징입니다. [그림] 암호화 완료 화면 현재 알약에서는 해당 악성 코드를 ‘Trojan.Ransom.Nemty’ 탐지 명으로 진단하고 있으며, 관련 상세 분석보고서는 Threat Inside 웹서비스 구독을 통해 확인이 가능합니다.

악성코드 분석 리포트 2019. 10. 21. 15:40

보안 인식 변화와 함께 등장한 EDR 사이버 보안의 대상에 대한 인식이 변화했다. 신, 변종 악성코드, 랜섬웨어와 지능형 지속위협(APT) 공격의 범람과 함께, 공격자의 최종 목표인 엔드포인트의 보안 강화에 대한 요구가 많아졌다. 그 과정에서 전통적인 보안 솔루션의 한계를 극복하고 고도화된 엔드포인트 위협을 예측-예방-대응-탐지하는 ‘EDR(Endpoint Detection and Response)’이라는 개념이 등장했다. EDR, 그러나 왜 아직인가? 하지만 이미 시장에 많은 EDR 제품이 출시되어있음에도 기대했던 만큼 보안 이슈들이 해결되지는 않고 있어, 사용자들은 제품 선택에 애로사항을 겪고 있다. 기존 EDR 제품들은 △ 평판 분석의 한계, △ 드라이버 문제, △ 에이전트, 관리콘솔 중복, △ 과..

전문가 기고 2019. 10. 11. 17:32

Nemty Ransomware Decryptor Released, Recover Files for Free Nemty 랜섬웨어에 피해를 입은 사용자들이 기뻐할 만한 소식이 있습니다. 보안 연구원들이 무료로 파일을 복호화 할 수 있는 툴을 공개했습니다. Nemty 랜섬웨어는 2019년 8월부터 여러 배포 방법을 통해 유포된 랜섬웨어로, 많은 피해자들을 감염시키고 파일을 암호화했습니다. 보안 회사인 Tesorion의 연구원들은 Nemty 버전 1.4, 1.6용 복호화 툴을 개발했으며, 곧 1.5용 버전도 공개할 예정이라고 전했습니다. 복호화 툴은 현재 일부 파일 확장자만 지원하나 Tesorion 측은 지원 가능한 파일 유형을 매일 추가하고 있다고 밝혔습니다. 현재 지원하는 파일 유형은 아래와 같습니다:avi..

국내외 보안동향 2019. 10. 11. 09:25

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019/10/10) "전자상거래 위반행위 조사통지서"로 위장하여 Nemty 랜섬웨어가 유포되고 있는 정황이 포착되었습니다. ESRC 조사 결과, 비너스락커(VenusLocker) 조직의 소행으로 추정되며, 정부 공문 포맷 이미지를 이용해 현재 대량으로 유포되고 있어 사용자들의 각별한 주의가 필요합니다. [그림 1] "전자상거래 위반행위 조사통지서"로 위장한 악성 메일 [그림 2] 메일에 첨부된 공정거래위원회 통지서 상세 내용 이번에 발견된 스팸 캠페인은 한메일 계정을 통해 발송되었고, 이전에 유포된 적 있는 공정거래위원회를 사칭했습니다. 메일의 첨부파일은 7z 형식으로 압축되어 있었으며, 압축파일 내부에는 PDF 문서로 위장한 악성 EX..

악성코드 분석 리포트 2019. 10. 10. 13:16

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 3분기, 알약을 통해 총 22만 9564건의 랜섬웨어 공격이 차단된 것으로 확인되었습니다. 이번 통계는 일반 사용자를 대상으로 제공하는 공개용 알약의 ‘랜섬웨어 행위기반 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많은 것으로 예상됩니다. 통계에 따르면 2019년 3분기에 알약을 통해 차단된 랜섬웨어 공격은 총 22만 9564건으로, 이를 일간 기준으로 환산하면 일평균 약 2,496건의 랜섬웨어 공격이 차단된 것으로 볼 수 있습니다. 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 3가지를 꼽았습니다. 먼저 2019년 2분기에 첫 등장했던 소디노키비(Sod..

전문가 기고 2019. 10. 10. 09:55

HildaCrypt Ransomware Developer Releases Decryption Keys HildaCrypt 랜섬웨어 개발자가 개인 해독 키를 공개하기로 결정했습니다. 이 키가 있으면 HildaCrypt 랜섬웨어로 암호화된 파일을 무료로 해독할 수 있는 해독기를 만들 수 있습니다. [그림 1] HildaCrypt 랜섬웨어 복호화 키 보안 연구원인 Michael Gillespie는 해당 복호화 키를 받아 진위성을 확인한 후, 이를 이용하여 해독 툴을 만들어 공개했습니다. 키를 열람하거나 이를 이용하여 해독기를 만들고자 할 경우 아래의 링크에서 확인하실 수 있습니다. ※ Emsisoft Decryptor for HildaCrypt:https://www.emsisoft.com/ransomware-..

국내외 보안동향 2019. 10. 7. 09:26