Underestimating the FONIX – Ransomware as a Service could be an error FONIX는 비교적 새로운 서비스형 랜섬웨어입니다. 운영자는 랜섬웨어를 운영하기 전에는 바이너리 크립터/패커를 전문으로 개발했습니다. FONIX 서비스형 랜섬웨어 운영자들은 다양한 사이버 범죄 포럼에서 여러 제품을 광고했습니다. FONIX는 지난 2020년 7월 처음으로 등장했으며 다행히도 감염 수는 적은 편입니다. 전문가들은 이 랜섬웨어의 제작자들이 제휴 파트너들에게 수수료를 요구하지 않고 제휴 네트워크의 랜섬 중 일부만 챙겨간다는 점을 지적했습니다. 하지만 보안 업체와 당국에서 FONIX RaaS를 과소평가할 경우 이는 빠르게 확산될 수 있을 것이라 예상했습니다. “FONIX는..

국내외 보안동향 2020. 10. 12. 14:00

GandCrab ransomware distributor arrested in Belarus 지난주 벨라루스의 내무부 장관이 GandCrab 랜섬웨어를 배포한 31살 남성을 체포했다고 밝혔습니다. 그의 이름은 공개되지 않았지만 벨라루스 남동부의 작은 도시인 고멜의 러시아와 우크라이나 국경 근처에서 체포되었습니다. 당국은 해당 남성에 대해 전과는 없으나 GandCrab 랜섬웨어의 파트너가 되기 위해 해킹 포럼에 가입한 이력이 있다고 밝혔습니다. 그는 웹 패널 액세스 권한을 렌트해 설정을 조정하여 GandCrab의 커스텀 버전을 만들고 부비트랩화된 파일을 첨부한 이메일 스팸을 통해 다른 인터넷 사용자들에게 배포했습니다. 이 메일을 오픈한 피해자들은 랜섬웨어에 감염되어 파일이 암호화되어 파일을 복구하기 위해서..

국내외 보안동향 2020. 8. 4. 10:12

REvil ransomware scans victim's network for Point of Sale systems 시만텍 연구원들이 REvil 랜섬웨어 운영자가 피해자 네트워크에서 PoS 시스템을 탐색하기 시작했다고 밝혔습니다. Sodinokibi로도 알려진 REvil은 서비스형 랜섬웨어(RaaS)로 익스플로잇, 노출된 원격 데스크톱 서비스, 스팸, 해킹된 MSP 등을 통해 기업 네트워크를 해킹하는 것으로 알려져 있습니다. 운영자는 타깃 네트워크에 접근한 후 측면 이동을 통해 확산되며 서버와 워크스테이션의 데이터를 훔친 후 도메인 컨트롤러에 대한 관리자 접근 권한을 얻어 네트워크 상의 모든 기기를 암호화합니다. 시만텍이 관찰한 한 캠페인에서 REvil의 제휴 파트너는 상용 Cobalt Strike 침..

국내외 보안동향 2020. 6. 24. 14:00

Thanos ransomware auto-spreads to Windows devices, evades security 연구원이 공개한 안티 랜섬웨어 회피 기술인 RIPlace 및 다양한 고급 기능을 사용하고 있는 첫 번째 랜섬웨어인 Thanos가 발견되어 주의가 필요합니다. Thanos는 2019년 10월 개인 배포를 시작했지만 2020년 1월 피해자가 Quimera 랜섬웨어에 대한 도움을 요청하기 전까지는 활발히 활동하지 않았습니다. 시간이 지남에 따라 이 랜섬웨어에 대한 도움을 요청하는 사용자들이 점점 늘어나기 시작했으며 이 랜섬웨어는 결국 Hakbit으로 식별되었습니다. Recorded Future의 새로운 보고서에 따르면, 이 랜섬웨어의 이름은 Thanos이며 지난 2월부터 러시안 해킹 포럼에서..

국내외 보안동향 2020. 6. 11. 09:57

REvil Ransomware found buyer for Trump data, now targeting Madonna Sodinokibi 해커 그룹이 미 대통령 도널드 트럼프와 관련된 정보가 포함된 문서의 구매자가 나타났으며, 가수 마돈나와 관련된 정보 경매를 준비 중이라고 주장했습니다. 이들은 다수의 유명 인사를 고객으로 보유한 로펌 GSMLaw(Grubman Shire Meiselas & Sacks) 네트워크를 해킹해 가치 있다고 판단되는 모든 자료를 탈취하고 데이터 암호화 작업을 수행했습니다. Sodinokibi 그룹은 해당 기업과 협상 후 가장 무해하다고 판단되는 도널드 트럼프 관련 정보가 포함된 아카이브를 공개했습니다. 여기에는 160개 이상의 이메일이 포함됩니다. 또한 수집한 고객 데이터의 ..

국내외 보안동향 2020. 5. 20. 18:00

LockBit ransomware self-spreads to quickly encrypt 225 systems LockBit 랜섬웨어가 단 몇 시간 만에 기업 네트워크를 해킹하고 수 백대 기기에 랜섬웨어를 배포한 것으로 나타났습니다. 2019년 9월 시작된 LockBit은 비교적 새로운 서비스형 랜섬웨어(RaaS)입니다. 개발자는 지불 사이트와 악성코드 개발을 담당하고, 협력자들은 이 서비스에 가입해 랜섬웨어를 배포합니다. 이 서비스를 통해 LockBit 개발자는 랜섬머니의 약 25~40%를, 배포를 맡은 협력자는 60~75%를 가져갑니다. 단 3시간 만에 기업 네트워크 암호화해 이 사건 대응을 담당한 McAfee Labs와 Northwave는 공동으로 보고서를 발표했습니다. 보고서에는 LockBit ..

국내외 보안동향 2020. 5. 6. 08:53

New Buran ransomware-as-a-service tempts criminals with discount licenses VegaLocker 랜섬웨어 변종이 새로운 서비스형 랜섬웨어(RaaS)인 Buran을 위한 기반을 제공하고 있습니다. Buran은 가격 할인을 통해 범죄자들을 끌어들이고 있습니다. McAfee의 연구원에 따르면, Buran 랜섬웨어는 2019년 처음 발견된 이후, 현재는 REVil, Phobos와 함께 RaaS 랭킹에 진입했습니다. 러시아 포럼에서 처음으로 공개된 Buran의 운영자들은 범죄자 고객들과 개인적 친분을 쌓는데 중점을 둔 것으로 보입니다. Buran 서비스형 랜섬웨어(RaaS) 운영자들은 대게 랜섬머니 수익의 25%를 요구하는데, 일반적으로 랜섬머니의 30~40..

국내외 보안동향 2019. 11. 12. 15:32

안녕하세요. 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 금일(2019.08.20) 비너스락커(VenusLocker) 조직이 입사지원서를 사칭한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의를 당부드립니다. [그림 1] 입사지원서를 사칭한 이력서 악성메일 이번에 발견된 악성 메일은 지난 8/12에 확인된 악성메일과 동일한 내용을 담고 있으며, 문장 내에 마침표가 없고 7z로 압축된 악성파일을 첨부하고 있다는 점까지 동일합니다. ▶ 비너스락커 조직(VenusLocker) 기존보다 진화된 형태로 Sodinokibi 랜섬웨어 유포중! (2019. 08. 12) 해당 메일을 받은 수신자가 입사지원을 위한 이력서로 착각하여 압축파일을 해제하면 2개의 실행파일을 다운로드할 수 있으며, ..

악성코드 분석 리포트 2019. 8. 20. 18:12