안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2017년 09월 26일부터 올크라이(AllCry)라는 이름의 랜섬웨어가 국내에 다수 전파되고 있어 각별한 주의가 필요합니다. 한국의 특정 ① 웹하드 설치 프로그램, ② 잠재적으로 불필요한 프로그램 (PUP:Potentially Unwanted Program) 등을 변조해 사용자 몰래 유포된 상태입니다. 따라서 해당 웹하드 프로그램의 서비스를 이용하고 있거나 불필요한 제휴/스폰서 프로그램이 설치된 경우 올크라이 랜섬웨어에 노출될 위험이 있습니다. 올크라이 랜섬웨어는 닷넷(.NET) 프로그래밍 기반으로 제작되어 있으며, 분석 및 탐지 회피 등을 위해 ".NET Reactor" 코드 프로텍터로 Packing 된 상태입니다. [그림 1] 올크라이 랜..

악성코드 분석 리포트 2017. 9. 30. 16:39

Ransomware or Wiper? RedBoot Encrypts Files but also Modifies Partition Table 실행 될 경우 컴퓨터의 파일들을 암호화 시키고, 시스템 드라이브의 MBR을 바꿔치기 하고, 특정 방식으로 파티션 테이블을 수정하는 새로운 bootlocker 랜섬웨어가 발견 되었습니다. 이 랜섬웨어는 RedBoot이라 명명 되었습니다. 이 랜섬웨어는 MBR과 파티션 테이블을 복구시키기 위한 key를 입력하는 방법을 제공하지 않고 있어, 이 개발자가 부팅이 가능한 복호화를 제공하지 않는다 가정했을 때 이는 와이퍼 악성코드일 가능성이 높습니다. RedBoot의 암호화 프로세스 컴파일 된 AutoIT 실행파일인 RedBoot 랜섬웨어가 실행 되면, 이는 런처가 실행 된 경..

국내외 보안동향 2017. 9. 27. 11:05

안녕하세요. 이스트시큐리티입니다.지난 7월 정보보호의 달을 맞아 ‘이스트시큐리티와 함께 하는 랜섬웨어 바로알기 캠페인’이 진행되었습니다. 2017년, 랜섬웨어 공격의 현주소는 어떨까요?신종, 변종 등 다양한 랜섬웨어가 확산되어 전 세계적으로 피해가 급증하고 있다는 것은 모두 잘 알고 계시는 사실일 텐데요. 랜섬웨어 공격자들은 사용자 PC에 대한 지능적이고 다양한 공격방법으로 지속적인 공격 시도를 하고 있기 때문에, 지금은 랜섬웨어 위협 비상사태라고 해도 과언이 아닙니다. 진화하는 랜섬웨어 위협에 맞서, 우리는 충분히 대비하고 있을까요? ‘이스트시큐리티와 함께 하는 랜섬웨어 바로알기 캠페인’으로 랜섬웨어에 관한 우리의 보안인식은 얼마만큼 와 있는 지 살펴보도록 하겠습니다. 1) PC보안 현황 - 상대적으로..

전문가 기고 2017. 9. 25. 08:30

안녕하세요. 이스트시큐리티입니다. 과거 다양한 변종으로 전세계에 악명을 떨친 ‘Trojan.Ransom.LockyCrypt(이하 Locky 랜섬웨어)’가 다시 등장하였습니다. 이 Locky 랜섬웨어는 파일 암호화 간 ‘diablo6’ 확장자로 변경하는 점이 특징입니다. 본 분석 보고서에서는 Locky 랜섬웨어를 상세 분석 하고자 합니다. 이번 Locky 랜섬웨어는 불특정 다수를 대상으로 한 스팸 메일에서 유포되었습니다. 메일은 ‘Files attached. Thanks’, 즉 ‘파일을 첨부하였다. 고맙다’의 내용을 담고 있습니다. 이는 메일을 받은 이들의 호기심을 자극하여 첨부된 파일을 실행하도록 하는 의도로 보여집니다. 첨부된 압축 파일 안에 있는 ‘E 2017-08-09 (672).vbs‘는 Lock..

악성코드 분석 리포트 2017. 9. 22. 13:14

US Government website was hosting a JavaScript downloader delivering Cerber ransomware 보안 연구원들이 지난 주 미국 정부 웹사이트가 Cerber 랜섬웨어를 배포하는데 사용 된 JavaScript를 호스팅한 것을 발견했습니다. 연구원들은 “미 정부의 웹사이트에서 호스팅 된 JavaScript 멀웨어는 C&C 서버에 연결하는 powershell을 실행했다.”고 밝혔습니다. 이 웹사이트는 난독화 된 PowerShell을 포함한 JavaScript가 들어있는 .zip 압축 파일을 호스팅 했습니다. 이 PowerShell은 Cerber 실행파일인 gif 파일을 다운로드 합니다. 이 다운로더는 지난 수요일 발견 되었으며, 몇 시간 내에 악성 코드..

국내외 보안동향 2017. 9. 5. 10:14

Easy-to-Use Apps Allow Anyone to Create Android Ransomware Within Seconds 최근 해커들이 안드로이드에서 동작할 수 있는 서비스형 랜섬웨어(RaaS: Ransomware-as-a-service)를 판매하기 시작했습니다. 이로써 별다른 기술이 없는 사용자들도 손쉽게 자신들만의 랜섬웨어를 제작하여 유포할 수 있게 되었습니다. 누구나 다운로드가 가능하고 손쉽게 자신의 기기를 이용해 안드로이드 랜섬웨어를 생성할 수 있는 이 새로운 안드로이드 앱 덕분에 최악의 경우 앞으로 몇 달 동안 랜섬웨어 위협이 급격히 증가할 수도 있게 되었습니다. 최근 보안연구원들은 중국에서 인기있는 소셜 네트워킹 메시징 서비스의 광고를 통해 방문한 해킹 포럼에서 누구나 트로이목마 개..

국내외 보안동향 2017. 8. 28. 15:53

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 해외에서 스테가노그래피(Steganography) 기술을 이용한 랜섬웨어 유포 수법이 등장했습니다. 스테가노그래피란 이미지 파일 등에 또 다른 데이터를 은밀히 숨기는 기술을 의미합니다. 이번에 발견된 랜섬웨어는 이메일에 'Windows 스크립트 파일(.wsf)' 형식의 악성 스크립트 파일을 첨부해 전파되었습니다. 해당 스크립트는 내부 명령어에 의해 3개의 URL 주소로 접속해 'arrival.jpg', 'X8IOl.jpg' 등의 이미지 파일을 다운로드합니다. 실제 해당 파일은 다음과 같은 이미지 화면을 보여줍니다. [그림 1] 이미지 파일로 위장한 스테가노그래피 기법의 악성파일 - image.***.co/mxRqXF/arrival.jpg-..

악성코드 분석 리포트 2017. 8. 21. 21:39

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 악명높은 Locky 랜섬웨어 변종이 이메일 첨부파일을 통해 국내외로 다수 전파되고 있습니다. 인터넷 이용자분들은 아래 내용을 숙지하여 유사한 보안위협에 노출되지 않도록 각별히 주의하시기 바랍니다. 이번 공격 수법도 기존 사례와 비슷하게 이메일에 ZIP 파일을 첨부했고, 압축 내부에 악성 비주얼 베이직 스크립트(VBS) 파일을 포함하고 있습니다. 이메일 제목과 첨부파일에는 'E 2017-08-09 (숫자).확장명' 형태를 띄고 있으며, 확장명은 'PDF', 'XLS', 'DOC', 'XLSX', 'DOCX', 'TIFF', 'JPG' 등 다양하게 사용되었습니다. [그림 1] 이메일 유포 화면 사례들 이번 Locky 랜섬웨어 유포에 사용된 대부분의..

악성코드 분석 리포트 2017. 8. 10. 15:42