GandCrab operators are shutting down their operations 2018년 초 처음 등장하여 지속적으로 발전을 거듭해온 갠드크랩(GandCrab) 랜섬웨어의 운영자들이, 갠드크랩 운영을 중단할 것이라 밝혔습니다. 사이버 보안 회사인 LMNTRIX는 2018년 초 새로운 서비스형 랜섬웨어인 GandCrab을 발견했습니다. 이는 다크웹의 러시안 해킹 커뮤니티에서 홍보되고 있었으며, RIG 및 GrandSoft 익스플로잇 키트를 사용해 악성코드를 배포했습니다. 약 1년이 넘는 기간 동안 갠드크랩 운영자들은 수많은 기능을 갖춘 여러 갠드크랩 버전을 공개했지만, 이제는 운영을 중단하고 협력자들에게 랜섬웨어 배포를 중단할 것을 요청했습니다. 2018년 10월, Cybaze Z-Lab..

국내외 보안동향 2019. 6. 3. 16:26

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 05월 31일), 사용자의 이메일 주소가 스팸하우스 블랙리스트에 올라갔다는 내용의 피싱 메일이 유포되고 있습니다. 스팸하우스는 스팸과 피싱, 맬웨어, 봇넷 등 관련 사이버 위협을 추적하고, 실시간으로 위협 및 평판 차단 목록을 제공하는 국제 비영리 단체입니다. 또한 ESRC에서는 이번에 포착된 피싱 메일은 신종 랜섬웨어 'Sodinokibi'를 감염자 PC에 다운로드하고 실행시키며, 리플라이 오퍼레이터 그룹이 유포한 것으로 확인되었습니다. [그림 1] 스팸하우스 블랙리스트 피싱 메일 화면 금일 발견된 피싱 메일은 다양한 문구의 메일 제목으로 유포되었으며, 사용자의 메일이 스팸처리되었다는 내용을 담고 있습니다. [그림 2] 다양한..

악성코드 분석 리포트 2019. 5. 31. 14:08

Hackers are scanning for MySQL servers to deploy GandCrab ransomware 중국 해킹 그룹이 사용자 기기를 갠드크랩(GandCrab) 랜섬웨어에 감염시키기 위해 인터넷에서 MySQL 데이터베이스를 실행 중인 윈도우 서버를 스캐닝 중인 것으로 나타났습니다. Sophos의 수석 연구원인 Andrew Brandt는 허니팟 로그에서 이러한 새로운 공격을 발했습니다. 해커들, 얻을 것이 많은 노출된 MySQL DB 노려 해커들은 인터넷에서 접근 가능한 SQL 명령을 허용하는 MySQL 데이터베이스를 스캔한 후, 서버가 윈도우 환경에서 실행되는지 확인합니다. 그런 다음, 악성 SQL 명령을 사용하여 노출된 서버에 갠드크랩 랜섬웨어를 실행시키는 악성 파일을 심습니다. ..

국내외 보안동향 2019. 5. 28. 13:40

Shade Ransomware Expands to U.S. Targets 러시아 사용자들을 노리는 것으로 알려진 Shade 랜섬웨어가 미국, 일본을 포함한 새로운 지역을 노리는 것으로 최근 여러 캠페인에서 발견되었습니다. 카스퍼스키랩 연구소가 2014년 후반에 처음으로 발견한 이 랜섬웨어는 러시아 사용자들만을 노리는 것으로 알려졌었습니다. 하지만 최근 발견된 사이버 공격에서 Shade 랜섬웨어는 러시아가 아닌 다른 국가의 사용자를 노리고 있었습니다. Palo Alto Networks Unit 42그룹의 연구원인 Brad Duncan은 Shade 랜섬웨어에 영향을 받은 상위 국가 5곳은 러시아나 구 소련 국가가 아니라고 밝혔습니다. 그러면서 Shade 랜섬웨어에 영향을 받은 상위 TOP 5 국가는 미국, ..

국내외 보안동향 2019. 5. 27. 10:07

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 05월 22일), '헌법 재판소 전화', '헌법 재판소 청문 의제' 등의 제목으로 헌법 재판소를 사칭한 피싱 메일이 유포되고 있습니다. 이번에 포착된 피싱 메일은 신종 랜섬웨어 'Sodinokibi'를 감염자 PC에 다운로드하고 실행시키며, 리플라이 오퍼레이터 그룹이 유포한 것으로 확인되었습니다. [그림 1] 헌법 재판소를 사칭한 피싱 메일 화면 피싱 메일에는 '법원 서류.zip'라는 압축 파일(.zip)이 첨부되어 있습니다. 해당 메일을 받은 사용자가 법원 서류인 것으로 착각해 압축을 해제하면, '연락처 세부 정보.doc', '사건에 관한 서류.doc'라는 MS Word 문서(.doc)를 위장한 악성 링크 파일(.lnk)이 들..

악성코드 분석 리포트 2019. 5. 22. 15:57

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 PC 악성코드의 대부분은 랜섬웨어이며 복호화 대가로 암호화폐를 요구하고 있습니다. 이러한 흐름이 안드로이드에서도 빈번하게 나타나기 시작했습니다. 관련 앱은 기기 정보를 탈취하여 감염자를 구별하는 데 사용합니다. 외부 저장소의 폴더와 파일을 가리지 않고 저장된 모든 파일을 암호화합니다. 또한, 연락처도 암호화합니다. 이때 암호화에 사용되는 알고리즘은 AES이며 키값은 해커의 C&C를 통해서 얻어옵니다. 암호화폐를 이용하여 비용을 지불하면 복호화가 진행됩니다. 본 분석 보고서에서는 'Trojan.Android.Locker'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 게임 앱 위장해당 악성 앱의 아이콘은 전 세계적으로 인기를 끈 ..

악성코드 분석 리포트 2019. 5. 22. 11:17

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 구글 검색을 통해 새로운 갠드크랩 랜섬웨어가 유포되고 있는 정황이 발견되었습니다. 이번에 발견된 신종 갠드크랩 랜섬웨어는 "검색명_[랜덤숫자].zip" 형태이며, 사용자가 특정 단어를 구글 사이트를 통해 검색 시, 검색 결과 상단에 노출되어 다운로드 및 실행을 유도합니다. [그림 1] 구글 검색 상단에 위치한 갠드크랩 유포 사이트 만약 사용자가 특정 프로그램을 무료로 다운로드하기 위해 해당 사이트에 들어가면 다음과 같은 다운로드 페이지를 확인할 수 있습니다. [그림 2] 사용자의 클릭을 유도하는 갠드크랩 유포 사이트 해당 링크를 클릭하면 아래와 같이 "검색명_링크_[랜덤숫자].zip" 형태의 압축파일이 다운로드됩니다. [그림 3] ZIP ..

악성코드 분석 리포트 2019. 5. 22. 09:59

안녕하세요? 이스트시큐리티입니다. 최근 신종 ‘Sodinokibi’ 랜섬웨어가 발견되었습니다. 이번에 발견된 악성코드는 난독화된 자바스크립트가 Powershell을 실행하고 디코딩을 한 후 최종적으로 정상 프로세스에 랜섬웨어 파일을 주입하여 실행하는 형태입니다. 또한 로컬 시스템만 감염 시키는 것이 아니라 로컬과 연결된 네트워크 드라이브에 대해서도 암호화를 시도하고, C&C 서버에 사용자 정보를 전송합니다. 지속적인 변종이 등장할 가능성이 높은 만큼 사용자의 주의가 필요합니다. 따라서, 본 보고서에서는 Sodinokibi 랜섬웨어를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 랜섬웨어 드로퍼이 악성코드는 여러 중간 과정을 통해 최종 랜섬웨어 PE파일을 드롭합니다. 이 과정은 자바스크립트 실행, 파워..

악성코드 분석 리포트 2019. 5. 21. 10:23