Sigrun Ransomware Author Decrypting Russian Victims for Free Sigrun 랜섬웨어는 일반적으로 피해자들에게 랜섬머니로 약 $2,500 상당의 비트코인이나 Dash를 요구하지만 러시아 피해자들에게는 무료로 복호화를 지원해 주는 것으로 확인되었습니다. 러시아의 랜섬웨어 개발자들이 러시아 시민들을 공격 대상에서 제외하는 것은 꽤 흔히 일어나는 일입니다. 한 연구원은 미국의 피해자 및 러시아의 피해자가 악성코드 제작자에게 이메일을 보내 받은 답장을 공개했습니다. Sigrun은 랜섬웨어가 실행될 때 키보드 레이아웃을 탐지해 러시아 피해자들을 감염시키는 것을 피하려 시도합니다. 러시아어 레이아웃을 발견할 경우, 컴퓨터를 더 이상 암호화 하지 않고 자기 자신을 삭제합니..

국내외 보안동향 2018. 6. 5. 11:28

최근 Bondat 웜 변종이 발견되었습니다. Bondat 웜은 이동식 디스크를 통해 유포되며, 감염 PC를 좀비 PC로 만들 뿐만 아니라 브라우저 시작 페이지 변경, 모네로 채굴 하는 등 악성행위를 합니다. 또한 최근에는 GandCarb3 유포기능이 추가되었습니다. Bondat 웜은 2013년에 처음 발견되었습니다. Bondat 웜은 이동식 디스크를 이용하여 전파되며, 정보수집, 자가복제, 명령 실행, 좀비 PC 등의 다양한 기능을 포함하고 있습니다. 가장 최초의 Bondat 웜은 주로 사용자 브라우저의 시작 페이지를 변경하여 불법적인 이득을 취했습니다. 그리고 가상화폐가 이슈화 됨에 따라, 감염 PC의 자원을 이용하여 모네로를 채굴하기 시작하였습니다. 하지만 최근에 발견된 Bondat 웜에는 기존의 악..

국내외 보안동향 2018. 5. 29. 17:32

안녕하세요? 이스트시큐리티입니다. 올해 초 외국에서 스팸 메일과 익스플로잇 킷을 통해 ‘Trojan.Ransom.GandCrab’(이하 GandCrab 랜섬웨어)이 처음 등장하였으며, 최근 국내에서도 GandCrab 변종들이 다수 발견되고 있습니다. GandCrab 랜섬웨어는 파일 암호화 기능을 수행하며, 암호화된 파일 뒤에 ‘.CRAB’ 확장자를 추가하는 점이 특징입니다. 따라서 본 보고서에서는 GandCrab 랜섬웨어를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 중복 실행 방지중복 실행 방지를 위해 뮤텍스 값을 ‘Global\pc_group=(소속 그룹)&ransom_id=(사용자 ID)’으로 생성합니다. 만일 동일한 프로세스가 실행 중인 경우 종료합니다. pc_group과 ransom_id ..

악성코드 분석 리포트 2018. 5. 23. 09:55

New Bip Dharma Ransomware Variant Released 금일, 한 연구원이 Crysis/Dharma 랜섬웨어의 새로운 변종으로 보이는 악성코드를 Id-Ransomware 사이트에 업로드했습니다. 이후 또 다른 연구원이 이것이 새로운 Dharma 변종인지 알아보기 위해 몇가지 샘플들을 찾았습니다. 이 새로운 버전은 파일을 암호화한 후 .Bip 확장자를 붙입니다. 이 변종이 현재 배포 되고 있는 중인지는 확인하지 못했으나, 과거의 Dharma 랜섬웨어는 보통 원격 데스크탑 서비스를 해킹해 수동으로 설치 되었습니다. Bip 랜섬웨어 변종이 설치 되면, 이는 데이터 파일을 찾아 암호화 하기 위해 컴퓨터를 스캔할 것입니다. 파일을 암호화 후 .id-[id].[email].bip와 같은 형식으..

국내외 보안동향 2018. 5. 18. 14:40

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 과거에 보고된 바 있었던 CryptON(크립트온) 랜섬웨어 변종이 최근 다시 발견되고 있어 사용자들의 주의를 당부드립니다. 해당 랜섬웨어에 구글 지메일 계정(account-gmail.net)으로 위장한 도메일을 통해 유포되고 있으며, 감염되면 %appdata% 폴더 아래에 “사용자 계정” 이름으로 폴더를 생성하고, “사용자계정_body.exe” 이름의 악성코드를 드롭하는 특징이 있습니다. [그림 1] 사용자계정_body.exe 파일 생성 암호화 대상을 확인하기 전 러시아어를 사용하는 환경인지 확인을 합니다. 러시아어 환경의 기기에서는 암호화를 진행하지 않고, 프로세스를 종료합니다. (RU - 러시아, KZ - 카자흐스탄, BY - 벨라루스, ..

악성코드 분석 리포트 2018. 5. 15. 18:37

안녕하세요? 이스트시큐리티 위협인텔리전스 전문조직인 시큐리티대응센터(이하 ESRC)입니다. 2018년 05월 14일 한국의 유명 택배회사의 배송팀으로 위장된 이메일로 '갠드크랩(GandCrab) 랜섬웨어 변종'이 유포되고 있어 이용자분들의 각별한 주의가 요망됩니다. 동일한 공격자는 2016년 말부터 2017년까지 비너스락커(VenusLocker) 랜섬웨어를 유포했고, 초기에 매크로 기능을 이용한 방식을 사용한 바 있습니다. 그 이후에 바로가기(.LNK) 파일과 랜섬웨어 메인 실행파일(.EXE)을 연결하는 수법을 주로 많이 사용했고, 일부 악성문서에서는 중국식 폰트(DengXian)가 사용된 바 있습니다. 아래는 실제 유포에 사용된 이메일의 화면으로 유창한 한국어로 작성되어 있으며, 마치 실제 택배 배송관..

악성코드 분석 리포트 2018. 5. 15. 08:47

GANDCRAB RANSOMWARE FOUND HIDING ON LEGITIMATE WEBSITES GandCrab 랜섬웨어가 지속적으로 확산 되고 있으며, 변화하는 사이버 환경에 적응하고 있습니다. 최근에는 대규모의 스팸 캠페인으로 돌아왔습니다. GandCrab의 페이로드가 해킹 된 합법적인 사이트에 숨어있는 것이 발견 되었습니다. 분석 결과, 해당 웹사이트는 업데이트 되지 않은 소프트웨어로 인한 취약점으로 가득했습니다. 이 캠페인을 분석하고 보고서를 발행한 연구원들은 아래와 같이 밝혔습니다. “많은 중소기업들이 웹 프레임워크의 새로운 취약점에 대해 알지 못하며, 알고 있더라도 소프트웨어를 제때 업데이트 할 수 있는 전문 기술과 시간이 부족합니다.” “하지만 공격자들은 이러한 취약점을 빠르게 악용하고 ..

국내외 보안동향 2018. 5. 14. 15:15

안녕하세요? 이스트시큐리티 위협인텔리전스 전문조직인 시큐리티대응센터 (이하 ESRC)입니다. 마치 한국의 유명 취업전문 웹 사이트의 채용 공고와 지원문의로 교묘하게 위장된 갠드크랩 (GandCrab) 랜섬웨어(Ransomware) 이메일이 국내에 급속도로 전파되고 있으며, 실제 감염 피해 보고까지 속출하고 있어 기업의 채용 및 인사담당자들의 각별한 주의가 요망됩니다. 이 공격자(해커)는 2016년 말부터 한국의 특정기관 및 기업, 고유 커뮤니티에 속한 개인들을 상대로 약 1년 넘게 랜섬웨어 유포를 수행하고 있습니다. 그런 가운데 며칠 전부터 국내 취업전문 웹 사이트의 채용정보에 기재된 기업 내 인사담당자의 이메일로 집중 공격을 수행하고 있어 피해가 연이어 보고되고 있는 실정입니다. 이전에는 주로 이메일에..

악성코드 분석 리포트 2018. 5. 11. 10:05