Shadow Volume Copies는 윈도우 시스템이 사용하는 과정 중 자동으로 파일 복사본을 생성해 놓은 일종의 서비스입니다. 랜섬웨어의 공격원리는 다음과 같습니다. 우선, 파일 복사본을 생성한 후, 해당 복사본을 암호화 한 후 원본 파일을 삭제합니다. 그 후 새로 생성된 파일 복사본들은 Windows에 의해 "in use"로 판단되어 자동으로 메모리에 백업됩니다. 이러한 문서 자신들은 보이지 않으며, 시스템 메모리에 자동으로 할당된 메모리 공간에 일정시간 저장됩니다. 대부분의 랜섬웨어들은 모두 shadow volume copies를 삭제하여 하드웨어 복구 프로그램이 암호화 된 파일들의 원본 복사본 및 암호화 되지 않은 문서를 찾는 것을 방지합니다. 하지만, 카스퍼스키는 최근 Bad Rabbit 랜섬..

국내외 보안동향 2017. 10. 31. 16:51

Bad Rabbit Ransomware Outbreak Also Used NSA Exploit 러시아와 우크라이나를 큰 혼란에 빠지게 한 Bad Rabbit 랜섬웨어 사건이 발생한지 이틀 후, 보안 연구원들은 계속해서 해당 멀웨어에 대해 연구를 진행하고 있습니다. 초기에는 SMB 프로토콜을 사용하는 커스텀 스캐닝 매커니즘을 사용해 초기 피해자로부터 근처 컴퓨터로 배포되는 것으로 추측 되었으나, 금일 새로이 발표 된 보고서에 의하면 Bad Rabbit은 배포 프로세스를 강화하기 위해 수정 된 버전의 NSA 익스플로잇을 이용한 것으로 나타났습니다. NSA가 개발하고 온라인에 유출 된 사이버 무기를 글로벌 랜섬웨어가 악용한 것은 올해만 세 번째입니다. WannaCry가 NSA 사이버 무기를 사용한 첫 번째 랜..

국내외 보안동향 2017. 10. 27. 16:06

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. Adobe Flash Player파일로 위장한 'Bad Rabbit'이라 불리는 랜섬웨어가 유포되었습니다. 최근 러시아, 우크라이나와 같은 동유럽의 일부 국가에서 감염이 확인된 상태이며 추가적으로 국내로 유입될 가능성도 있으므로 이용자들의 각별한 주의를 당부드립니다. hxxp://1dnscontrol.com/index.phphxxp://1dnscontrol.com/flash_install.php[표 1] 유포지로 알려진 사이트 'Bad Rabbit’ 랜섬웨어는 파일과 디스크를 암호화하여 감염된 사용자에게 비트코인 결제를 요구합니다. 다음은 Bad Rabbit의 전체 흐름도입니다. [그림 1] Bad Rabbit의 전체 흐름도 Dropper - ..

악성코드 분석 리포트 2017. 10. 25. 11:03