안녕하세요? 이스트시큐리티입니다. 최근 노스캐롤라이 주 잭슨빌에 위치한 수도사업소에 랜섬웨어 공격이 발생하여 시스템 운영이 마비되었습니다. 이 공격에 사용된 악성코드는 Ryuk 랜섬웨어로 밝혀졌습니다. 해당 랜섬웨어는 올해 초 유포되었던 Hermes 랜섬웨어의 변종으로 많은 유사성을 가집니다. 따라서, 본 보고서에서는 Ryuk 랜섬웨어의 악성 행위와 이를 예방하기 위한 방법에 대해 적고자 합니다. 악성코드 상세 분석 1. 프로세스 인젝션 사용자로부터 감염 사실을 은폐하기 위해 실행 중인 프로세스 중 임의로 선택하여 파일 암호화를 수행하는 코드를 인젝션합니다. 이 과정에서 ‘csrss.exe’, ‘explorer.exe’, ‘lsaas.exe’는 제외됩니다. 이는 시스템 안정성과 인젝션을 통한 탐지를 우회..

악성코드 분석 리포트 2018. 10. 23. 17:57

Locky 랜섬웨어에 대하여 알아보자! Locky 랜섬웨어란? Locky 랜섬웨어는 파일들을 암호화 한 후 .locky 확장자 명으로 바꿔 Locky 랜섬웨어라 명명되었습니다. Locky 랜섬웨어는 2월 중순에 처음 등장하였으며, 국내에서도 활개를 치고 있습니다. 주로 이메일 첨부파일 형태로 유포되며 초반에는 악성 매크로가 포함된 워드 문서로 유포되었지만, 최근에는 JS파일을 위장하여 유포되고 있는 경우가 훨씬 더 많이 발견되고 있습니다. 해당 JS 파일을 클릭하게 되면, 공격자가 미리 설정해 둔 사이트에 접속하여 Locky 랜섬웨어를 내려받고 실행시킵니다. Locky 랜섬웨어는 로컬 파일뿐만 아니라 네트워크 공유 폴더의 파일들도 RSA-2014, AES-128 알고리즘으로 암호화 하며, 암호화 한 파일..

안전한 PC&모바일 세상/PC&모바일 TIP 2016. 4. 5. 09:32

직접 실행시켜야 하는 랜섬웨어, LeChiffreLeChiffre, Ransomware Ran Manually 이미지 출처(https://blog.malwarebytes.org/intelligence/2016/01/draft-lechiffre-a-manually-run-ransomware/) 최근 인도 뭄바이에서 큰 피해를 입혔던 LeChiffre 랜섬웨어에 대한 분석이 있었습니다. 여타 대부분의 랜섬웨어 종류들과 달리, LeChiffre 랜섬웨어는 사용자 기기를 자동으로 감염시키지 않으며 감염된 시스템 내에서 수동으로 실행되어야 합니다. 공격자들은 자동으로 네트워크를 검색하여 취약한 원격 데스크탑을 공격, 원격 로그인한 뒤 직접 LeChiffre를 실행시킵니다. 파일 암호화 및 복호화 이 악성코드를 실..

국내외 보안동향 2016. 1. 25. 17:53

안전한 인터넷환경을 위한 프로젝트(?)라는 내용과 함께 크립토월 4.0 재등장CryptoWall 4.0 returns to the wild, posing as good guy 악명 높은 CryptoWall 랜섬웨어 패밀리가 돌아왔습니다. 이들은 데이터를 보호하기 위한 안티 바이러스 솔루션이 “적절한지” 테스트해보겠다는 이유를 들어 파일을 암호화 시킵니다. CryptoWall은 다음과 같이 말합니다."CryptoWall 프로젝트는 악의적이지 않으며, 사람들이나 그들의 데이터에게 해를 입히기 위해 만들어진 것이 아니다. 이 프로젝트는 정보 보안 분야에 교훈을 주고, 안티바이러스 제품들이 적절히 데이터를 보호하는지 증명해내기 위해 실시되었다. 모두 함께 더욱 좋은, 안전한 인터넷 환경을 만들기 위함이다." 악..

국내외 보안동향 2015. 11. 6. 17:12