안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 해외 성인광고 서버를 통해 Fallout Exploit Kit이 유포 되어 최신 보안업데이트가 제대로 이루어지지 않은 PC에서 해당 웹사이트를 방문 할 시 “갠드크랩(GandCrab) v5.0.3 랜섬웨어 악성코드”에 감염 될 수 있는 내용이 쓰렛인사이드(Threat Inside)를 통해 확인 되어 주의를 당부 드립니다. [그림 1] 성인광고 페이지 이미지 이번에 발견 된 멀버타이징에 사용 된 Fallout Exploit Kit은 사용자의 브라우저 프로필을 검사하여 조건에 부합 할 경우 악성 콘텐츠로 연결하게 됩니다. 조건에 맞는 사용자에게는 302 리다이렉션을 통해 광고 페이지가 아닌 Fallout Exploit Kit 랜딩 페이지로 접..

악성코드 분석 리포트 2018. 10. 25. 15:37

히든비어(Hidden Beer) 랜섬웨어가 국내로 유입된 것이 확인되었습니다. ※ 관련글보기 ▶ 한국에서 제작된 것으로 추정되는 Blacklistcp 랜섬웨어 등장▶ KimcilWare 랜섬웨어의 새로운 타깃이 된 Magento▶ 오픈소스 '교육용' 코드를 악용하는 Magic 랜섬웨어 발견 히든비어(Hidden Beer)는 교육용 목적으로 만든 오픈소스 프로젝트 히든티어(Hidden Tear)기반으로 제작된 랜섬웨어로, 원본 소스가 2015년 GitHub에 게시된 이후 교육용 목적으로 만들어진 이 오픈소스 제작툴을 공격자들이 다양한 형태로 커스터마이징하여 사용되고 있습니다. 히든티어 기반 랜섬웨어는 2018년 현재까지도 제작 및 유포되고 있는 상황입니다. [그림 1] 히든비어(Hidden Beer) 랜섬..

악성코드 분석 리포트 2018. 10. 25. 09:00

안녕하세요? 이스트시큐리티입니다. 최근 노스캐롤라이 주 잭슨빌에 위치한 수도사업소에 랜섬웨어 공격이 발생하여 시스템 운영이 마비되었습니다. 이 공격에 사용된 악성코드는 Ryuk 랜섬웨어로 밝혀졌습니다. 해당 랜섬웨어는 올해 초 유포되었던 Hermes 랜섬웨어의 변종으로 많은 유사성을 가집니다. 따라서, 본 보고서에서는 Ryuk 랜섬웨어의 악성 행위와 이를 예방하기 위한 방법에 대해 적고자 합니다. 악성코드 상세 분석 1. 프로세스 인젝션 사용자로부터 감염 사실을 은폐하기 위해 실행 중인 프로세스 중 임의로 선택하여 파일 암호화를 수행하는 코드를 인젝션합니다. 이 과정에서 ‘csrss.exe’, ‘explorer.exe’, ‘lsaas.exe’는 제외됩니다. 이는 시스템 안정성과 인젝션을 통한 탐지를 우회..

악성코드 분석 리포트 2018. 10. 23. 17:57

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 한국어로 된 이미지로 사용자 PC화면을 변경하는 크라켄 랜섬웨어 (KrakenCryptor) v.2.0.6과 v2.0.7이 발견되어 이용자들의 주의를 당부드립니다. ‘KrakenCryptor’ 랜섬웨어는 기존과 다르게 악성코드 분석을 방해하기 위해서 문자열들을 암호화하여 난독화를 시킵니다. 또한 사용자 PC 언어설정이 아르메니아(AM), 아제르바이잔(AZ), 벨라루스(BY) 등 17개 국가로 설정이 되어있는 경우 암호화를 진행하지 않습니다. 다음은 암호화 환경을 확인하는 화면입니다. [그림 1] 암호화 환경 확인 화면 ‘KrakenCryptor’ 랜섬웨어는 400여개의 확장자를 대상으로 암호화를 진행합니다. 다음은 암호화 대상 확장자 목록..

악성코드 분석 리포트 2018. 10. 23. 17:32

안녕하세요 이스트시큐리티 입니다. 통계에 따르면 이번 3분기에는 알약을 통해 차단된 랜섬웨어 공격은 총 332,236건으로, 이를 월간, 일간 기준으로 환산 시 월평균 110,745건, 일평균 3,692건의 랜섬웨어 공격이 발생한 것으로 확인되었습니다. 특히 이번 통계는 일반 사용자를 대상으로 하는 공개용 알약에서 랜섬웨어 행위기반 차단 기능을 통해 차단된 공격 횟수만 집계하였기 때문에, 패턴 기반 공격까지 포함하면 전체 공격의 수는 더욱 많을 것으로 예상됩니다. 3분기 랜섬웨어 차단 횟수는 지난 2분기 대비 약 20% 감소한 것으로 나타났고, 특히 9월에는 10만여 건의 공격 차단이 발생해 2018년 2월 다음으로 랜섬웨어 유포가 적었던 달로 확인되었습니다. 하지만 3분기 랜섬웨어 유포 감소 추세는 전..

전문가 기고 2018. 10. 11. 13:41

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 갠드크랩(GandCrab)의 변종이 몇 일 동안 꾸준히 발견되고 있는 가운데 갠드크랩(GandCrab) v5.0.4가 또 한번 발견되었습니다. ▶ GandCrab v5 랜섬웨어, 랜덤 확장자와 HTML 랜섬노트를 사용하고 ALPC 작업 스케쥴러 익스플로잇 악용해▶ GandCrab 랜섬웨어 5.0.1, 5.0.2 변종 지속적으로 유포 중! 이번에 발견된 GandCrab v5.0.4은 실행된 후 자신이 위치한 파일 경로에 동일한 사람 얼굴 이미지 파일 두 개를 드롭합니다. 드롭된 이미지 파일은 실제로 하는 역할은 없으며, 이번 갠드크랩 랜섬웨어 변종이 공격 타겟으로 삼고 있는 인물로 추정됩니다. [그림 1] 드롭되는 이미지 드롭되는 이미지는 실제로..

악성코드 분석 리포트 2018. 10. 4. 17:41

갠드크랩(GandCrab) v5.0이 발견된지 몇 일 되지 않아 또 다시 갠드크랩(GandCrab) v5.0.1 및 v5.0.2가 발견되었습니다. GandCrab v5.0.1은 다른 정상 프로세스에 인젝션 되어 실행되는데, 특정 조건에 따라 인젝션 대상이 달라집니다. 예를 들어 Flag값이 1일 경우 ‘%System32%svchost.exe’, 2일 경우는 ‘%System32%wermgr.exe’를 대상으로 합니다. [그림 1] 조건에 따른 인젝션 대상 프로세스 다음은 CreatePorcessInternalW 함수로 ‘wermgr.exe’ 프로세스에 인젝션 하는 코드의 일부입니다. [그림 2] ‘wermgr.exe’ 인젝션 코드 일부 인젝션 완료 후에는 NtResumeThread 함수를 이용하여 인젝션한..

악성코드 분석 리포트 2018. 10. 1. 18:58

추석 연휴동안 갠드크랩(GandCrab) v5가 발견되어 사용자들의 주의가 필요합니다. 이번에 발견된 갠드크랩(GandCrab) v5가 기존의 갠드크랩(GandCrab) v4.x와 비교하였을 때 달라진 점은 .KRAB이 아닌 5자리의 랜덤한 확장명을 사용한다는 점과, HTML 형식의 한국어 랜섬노트를 생성한다는 점입니다. 그 외의 대부분 행위는 기존의 버전과 유사합니다. 이번 갠드크랩 v5는 보안연구원 nao_sec에 의해 Fallout 익스플로잇 키트를 호스팅하는 사이트로 이동시키는 멀버타이징을 통해 배포 되는 것이 발견되었습니다. 이 익스플로잇은 방문자 SW에 존재하는 취약점을 활용하기 때문에 피해자들은 암호화된 파일과 랜섬노트를 발견하기 전 까지는 감염 사실을 눈치채기가 어렵습니다. 또한 GandC..

악성코드 분석 리포트 2018. 9. 27. 18:22