Sodinokibi Ransomware crew chooses Monero for ransom payments Sodinokibi 랜섬웨어 배후에 있는 공격자들이 랜섬머니로 비트코인 대신 모네로 가상화폐를 요구하고 있는 것으로 나타났습니다. 법 집행 기관의 조사를 더욱 어렵도록 만들기 위함인 것으로 보입니다. 이들은 더 이상 랜섬머니를 비트코인으로 받지 않을 예정입니다. 모네로를 지불하기 위해 Tor 익명 네트워크를 사용하면 자금의 흔적을 추적하고 익명 공격자의 신상을 밝혀내기가 불가능해집니다. 모네로 가상화폐 체계의 모든 거래는 CryptoNote 애플리케이션 계층 프로토콜과 이 프로토콜에 구현된 난독화로 인해 익명으로 이루어집니다. “더 이상 랜섬머니로 BTC를 받지 않음을 알려드립니다. 피해자와 파..

국내외 보안동향 2020. 4. 14. 09:22

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 유포중이던 Sodinokibi 랜섬웨어에 특이점이 발견되었습니다. 기존 Sodinokibi 랜섬웨어와 비교하면 이번에 확인된 Sodinokibi 역시 대동소이합니다. 일단 해당 Sodinokibi에 감염되면, 사용자PC에 저장된 특정 확장자 파일을 암호화하고 파일 확장자명을 기존 파일명 뒤에 일괄적으로 x35g0t03으로 붙여서 변경합니다. 또한 'Your files are encrypted !!!'라는 메시지를 포함한 푸른색 노이즈 이미지를 바탕화면으로 설정하는 동시에 x35g0t03-README-PLEASE라는 랜섬노트 파일을 띄웁니다. [그림 1] Sodinokibi에 감염되어 바탕화면 변경 및 랜섬노트 실행된 PC 화면 ※ 소디노키비(Sodin..

악성코드 분석 리포트 2020. 3. 3. 17:26

안녕하세요 ESRC 입니다. 최근 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종이 자주 발견되고 있어 사용자들의 주의가 필요합니다. 랜섬웨어의 커스텀 변종이란, 기존 랜섬웨어 랜섬노트의 텍스트 일부를 해커가 임의로 수정한 버전을 말합니다. 소디노키비(Sodinokibi) 랜섬웨어의 커스텀 변종은 기존 소디노키비(Sodinokibi) 랜섬웨어 변종들과 동일한 특징을 갖고 있지만, 일부 랜섬노트의 파일명과 내용을 일부 변경하였습니다. [그림1] 기존 Sodinokibi 랜섬웨어 랜섬노트 [그림2] Sodinokibi 랜섬웨어 커스텀 변종 랜섬노트 이런 랜섬웨어 커스텀 변종들의 경우 주로 특정 타겟에 맞춰 커스터마이징 하는 특징을 갖고 있습니다. 일례로, 연말에 유포된 소디노키비(Sodinokibi)..

악성코드 분석 리포트 2020. 1. 14. 13:14

VPN warning: REvil ransomware targets unpatched Pulse Secure VPN servers REvil(Sodinokibi) 랜섬웨어 운영자들이 대규모 조직을 협박하기 위한 발판을 마련하고, 안티바이러스를 비활성화하기 위해 패치되지 않은 Pulse Secure VPN 서버를 공격하기 시작했습니다. 한 보안 연구원은 Pulse Secure VPN을 사용하는 조직들에 ‘Big Game’ 랜섬웨어 공격에 피해를 입고 싶지 않다면 당장 패치를 적용해야 한다고 경고했습니다. 공격자들은 Shodan.io IoT 검색 엔진을 통해 취약한 VPN 서버를 쉽게 찾아낼 수 있는 것으로 나타났습니다. 영국의 보안 연구원인 Kevin Beaumont는 REvil 랜섬웨어를 ‘Big gam..

국내외 보안동향 2020. 1. 7. 09:44

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 3분기, 알약을 통해 총 22만 9564건의 랜섬웨어 공격이 차단된 것으로 확인되었습니다. 이번 통계는 일반 사용자를 대상으로 제공하는 공개용 알약의 ‘랜섬웨어 행위기반 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많은 것으로 예상됩니다. 통계에 따르면 2019년 3분기에 알약을 통해 차단된 랜섬웨어 공격은 총 22만 9564건으로, 이를 일간 기준으로 환산하면 일평균 약 2,496건의 랜섬웨어 공격이 차단된 것으로 볼 수 있습니다. 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 3가지를 꼽았습니다. 먼저 2019년 2분기에 첫 등장했던 소디노키비(Sod..

전문가 기고 2019. 10. 10. 09:55

안녕하세요. 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 금일(2019.08.20) 비너스락커(VenusLocker) 조직이 입사지원서를 사칭한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의를 당부드립니다. [그림 1] 입사지원서를 사칭한 이력서 악성메일 이번에 발견된 악성 메일은 지난 8/12에 확인된 악성메일과 동일한 내용을 담고 있으며, 문장 내에 마침표가 없고 7z로 압축된 악성파일을 첨부하고 있다는 점까지 동일합니다. ▶ 비너스락커 조직(VenusLocker) 기존보다 진화된 형태로 Sodinokibi 랜섬웨어 유포중! (2019. 08. 12) 해당 메일을 받은 수신자가 입사지원을 위한 이력서로 착각하여 압축파일을 해제하면 2개의 실행파일을 다운로드할 수 있으며, ..

악성코드 분석 리포트 2019. 8. 20. 18:12

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019.08.12) 비너스락커(VenusLocker) 조직이 입사지원서를 사칭한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의를 당부드립니다. 비너스락커 조직은 과거에는 구글 지메일이나 실제 호스팅을 구축해서 메일을 보냈는데, 최근에는 KT 등 한국 아이피에서 발송하고 있습니다. [그림 1] 입사지원서'로 위장한 악성 메일 이번에 발견된 악성 메일은 8/5일 발견된 입사지원서 사칭 메일과 비슷한 내용으로 유창한 한글 표기법으로 작성되었으며, 실제 입사지원서 메일 제목 양식처럼 "회사명_직무(이름)"으로 작성되었습니다. 이메일 본문을 살펴보면 마침표를 안 쓰는 특성을 확인할 수 있습니다. 또한 메일에 첨부된 압축 파일은..

악성코드 분석 리포트 2019. 8. 12. 13:29

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019.08.05) 중소기업을 타깃으로 입사지원서를 사칭한 악성 메일이 유포된 정황이 포착되어 이용자들의 주의를 당부드립니다. ESRC 분석 결과, 비너스락커(VenusLocker) 조직이 다시 RaaS 기반의 소디노키비 랜섬웨어를 활용해 악성 메일을 유포하고 있는 것으로 밝혀졌습니다. 이번에 발견된 입사지원서 메일은 리플라이 오퍼레이터에 비해 유창한 한글 표기법을 사용하였으며, 실제 입사지원서 메일 제목 양식처럼 "회사명_직무(이름)"으로 작성되었습니다. [그림 1] '입사지원서'로 위장한 악성 메일 이메일 본문을 살펴보면 마침표를 안 쓰는 특성을 확인하실 수 있습니다. 메일에 첨부된 파일인 '이지운.7z'에는 hwp 파일로 위장한 악..

악성코드 분석 리포트 2019. 8. 5. 17:07