Beware of GermanWiper – the ransomware that is not ransomware 데이터 와이퍼 악성코드가 피해자의 중요한 파일을 삭제하고, 피해자들에게 파일 복구를 위한 랜섬머니를 요구하고 있습니다. 하지만, 이 랜섬웨어 캠페인은 거짓이며 운영자들은 데이터를 복구해줄 의도가 없는 것으로 나타났습니다. 지난주, 독일어 사용 지역에 확산된 한 랜섬웨어 캠페인이 감염시킨 모든 엔드포인트의 데이터를 삭제한다는 제보가 잇따랐습니다. 하지만, 이 랜섬웨어의 공격을 받은 지역은 독일어 사용 지역만이 아니었습니다. GermanWiper란? 보통 와이퍼(wiper) 멀웨어는 사용자의 데이터를 훼손하는 악성코드로 유명한데, 이번에 발견된 와이퍼 멀웨어의 경우 독일어 사용지역에서 주로 발견되어..

국내외 보안동향 2019. 8. 6. 17:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 어제(4/29) 알약 행위기반 차단기능으로 수집된 신종 랜섬웨어 'Sodinokibi'가 발견되었습니다. Sodinokibi 랜섬웨어는 국내 URL을 통해 랜섬웨어를 감염시키며, 불특정 다수에게 대량으로 유포 중인 상태로 사용자들의 각별한 주의가 필요합니다. 이번에 발견된 신규 랜섬웨어는 Powershell 이용한 샘플도 발견되었습니다. 해당 악성코드는 사용자 PC의 파일을 .(영문숫자랜덤) 확장자로 파일을 암호화합니다. [그림 1] .(영문숫자랜덤) 확장자로 암호화된 파일 해당 랜섬웨어에 감염되면 아래와 같은 랜섬 노트를 사용자 PC에 생성하며 “Hello, dear friend” 또는 “Welcome. Again”으로 시작하는 문구와 함께 ..

악성코드 분석 리포트 2019. 4. 30. 14:53

APAC Windows Servers Targeted by a New InfoStealer and Cryptomining Campaign CheckPoint의 보고에 의하면, 아시아 태평양 지역의 Windows 서버를 대상으로 한 공격수가 급증하고 있다고 합니다. 연구원들은 감염된 장비에 대한 다른 기술적인 세부사항뿐만 아니라 Windows 사용자의 로그인 자격 증명을 업로드하는 데 효과적인 툴에 기초한 새로운 악성 프로그램 캠페인을 발견했습니다. CheckPoint가 분석한 배치 파일에는 공격자가 보안 툴에 의한 검출을 피할 수 있도록 도와주는 "Regsvr32" 프록시 실행 프로그램, 파워쉘 다운로드 크래들(cradle)이 있습니다. 사용자 데이터의 도용은 Mimikatz를 통해 이루어지고 FTP 서..

국내외 보안동향 2019. 3. 6. 16:49

New PowerShell-based Backdoor points to MuddyWater Trend Micro의 연구원들이 MuddyWater APT 그룹이 사용한 악성코드와 매우 유사한 PowerShell 기반의 백도어를 발견했습니다. 첫 번째 MuddyWater 캠페인은 2017년 말 발견 되었으며, 이 때 Palo Alto Networks의 연구원들은 중동에서 일어난 수상한 공격들을 조사하고 있었습니다. 전문가들은 사우디 아라비아, 이라크, 이스라엘, 아랍 에미리트, 그루지야, 인도, 파키스탄, 터키 및 미국의 기관들을 노렸으며 2017년 2월~10월 사이에 이루어진 공격의 범인을 찾는데 혼란을 겪어, 이 캠페인을 ‘MuddyWater’라 명명했습니다. 공격자들은 1단계 PowerShell 기반 ..

국내외 보안동향 2018. 12. 3. 10:04

Windows Task Scheduler Zero Day Exploited by Malware 악성코드 개발자들이 윈도우의 작업 스케쥴러 제로데이 익스플로잇을 악용하기 시작했습니다. 이는 해당 취약점의 PoC 코드가 온라인에 공개된지 이틀 만입니다. SandboxEscaper라는 보안 연구원은 8월 27일 윈도우 작업 스케쥴러가 사용하는 ALPC 인터페이스에 존재하는 보안 버그를 악용하는 소스코드를 발표했습니다. 구체적으로, 문제는 SchRpcSetSecurity API 기능에 존재합니다. 이는 사용자의 권한을 확인하지 않아 C:\Windows\Task의 파일 쓰기 권한을 허용합니다. 이 취약점은 윈도우 버전 7~10에 영향을 미치며, 공격자가 모든 권한을 SYSTEM 계정 수준으로 상승시켜 모든 접근권..

국내외 보안동향 2018. 9. 6. 16:40

4월 21일, 익명의 해커가 Weblogic 역직렬화 취약점을 이용하여 중국 기업의 서버들에 Greystars 랜섬웨어를 감염시켰으며, 서버 중의 중요 문서를 암호화 한 후 0.08비트코인을 요구하였습니다. 현재까지 이미 백여대가 넘는 서버들이 해당 공격에 영향을 받은 것으로 확인되었습니다. "파일리스" 공격방식을 이용, 공격 페이로드는 Gist에 호스팅 Greystars 랜섬웨어는 최근 몇년 동안의 공격에서 줄곧 "파일리스" 공격방식을 사용하였습니다. 이번 공격 역시 파일리스 공격 방식을 이용하였습니다. 해커는 Weblogic 역직렬화 취약점을 이용하여 서버를 공격하고, Gist에 호스팅 되어있던 첫번째 페이로드를 감염 시킨 서버로 내려받고 실행시킵니다. 첫번째 페이로드는 Gist에 업로드 되어있는 악..

국내외 보안동향 2018. 4. 27. 15:40

2017년 3월, FIN7조직의 존재가 밝혀진 이후, 이 조직은 수개월동안 별 다른 활동을 하지 않았습니다. 하지만 최근, 이 APT 조직의 활동이 다시 개시되었습니다. FIN7 조직은 주로 세계 금융기구를 타겟으로 하며, 최근에는 그 공격목표를 소매 기업으로까지 확장하였습니다. 해당 조직은 주로 PE 파일이 아닌 파일을 이용하여 공격을 진행합니다. 이번 공격 중에서, 해당 APT 조직이 사용한 공격 주로 js스크립트와 powershell 스크립트를 이용하였으며, 이러한 방법은 일반적인 보안제품들을 우회할 수 있습니다. 해당 APT 조직의 개요는 다음과 같습니다. 공격목표 : 금융기구, 소매 기업공격목적 : 기밀탈취, 금전적 이득공격방식 : 피싱 메일사용하는 취약점 : 없음통신방법 : https영향받는 ..

국내외 보안동향 2017. 11. 8. 13:55

US Government website was hosting a JavaScript downloader delivering Cerber ransomware 보안 연구원들이 지난 주 미국 정부 웹사이트가 Cerber 랜섬웨어를 배포하는데 사용 된 JavaScript를 호스팅한 것을 발견했습니다. 연구원들은 “미 정부의 웹사이트에서 호스팅 된 JavaScript 멀웨어는 C&C 서버에 연결하는 powershell을 실행했다.”고 밝혔습니다. 이 웹사이트는 난독화 된 PowerShell을 포함한 JavaScript가 들어있는 .zip 압축 파일을 호스팅 했습니다. 이 PowerShell은 Cerber 실행파일인 gif 파일을 다운로드 합니다. 이 다운로더는 지난 수요일 발견 되었으며, 몇 시간 내에 악성 코드..

국내외 보안동향 2017. 9. 5. 10:14