안녕하세요? 이스트시큐리티 ESRC 입니다. 2020년 1분기, 알약을 통해 총 185,105건의 랜섬웨어 공격이 차단된 것으로 확인되었습니다. 이번 통계는 개인 사용자를 대상으로 무료 제공하는 공개용 알약의 ‘랜섬웨어 행위 기반 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많을 것으로 예상됩니다. 통계에 따르면, 2020년 1분기 알약을 통해 차단된 랜섬웨어 공격은 총 185,105건으로, 이를 일간 기준으로 환산하면 일 평균 약 2,057건의 랜섬웨어 공격이 차단된 것으로 볼 수 있습니다. ESRC는 1분기 랜섬웨어 주요 동향으로 랜섬웨어 공격자들의 '코로나 키워드 활용' 및 기존 ‘Sodinokibi&Nemty 랜섬웨어의 건재’를 꼽았습니다. 2..

전문가 기고 2020. 4. 7. 13:42

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 유포중이던 Sodinokibi 랜섬웨어에 특이점이 발견되었습니다. 기존 Sodinokibi 랜섬웨어와 비교하면 이번에 확인된 Sodinokibi 역시 대동소이합니다. 일단 해당 Sodinokibi에 감염되면, 사용자PC에 저장된 특정 확장자 파일을 암호화하고 파일 확장자명을 기존 파일명 뒤에 일괄적으로 x35g0t03으로 붙여서 변경합니다. 또한 'Your files are encrypted !!!'라는 메시지를 포함한 푸른색 노이즈 이미지를 바탕화면으로 설정하는 동시에 x35g0t03-README-PLEASE라는 랜섬노트 파일을 띄웁니다. [그림 1] Sodinokibi에 감염되어 바탕화면 변경 및 랜섬노트 실행된 PC 화면 ※ 소디노키비(Sodin..

악성코드 분석 리포트 2020. 3. 3. 17:26

VPN warning: REvil ransomware targets unpatched Pulse Secure VPN servers REvil(Sodinokibi) 랜섬웨어 운영자들이 대규모 조직을 협박하기 위한 발판을 마련하고, 안티바이러스를 비활성화하기 위해 패치되지 않은 Pulse Secure VPN 서버를 공격하기 시작했습니다. 한 보안 연구원은 Pulse Secure VPN을 사용하는 조직들에 ‘Big Game’ 랜섬웨어 공격에 피해를 입고 싶지 않다면 당장 패치를 적용해야 한다고 경고했습니다. 공격자들은 Shodan.io IoT 검색 엔진을 통해 취약한 VPN 서버를 쉽게 찾아낼 수 있는 것으로 나타났습니다. 영국의 보안 연구원인 Kevin Beaumont는 REvil 랜섬웨어를 ‘Big gam..

국내외 보안동향 2020. 1. 7. 09:44

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 3분기, 알약을 통해 총 22만 9564건의 랜섬웨어 공격이 차단된 것으로 확인되었습니다. 이번 통계는 일반 사용자를 대상으로 제공하는 공개용 알약의 ‘랜섬웨어 행위기반 차단 기능’을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격은 더욱 많은 것으로 예상됩니다. 통계에 따르면 2019년 3분기에 알약을 통해 차단된 랜섬웨어 공격은 총 22만 9564건으로, 이를 일간 기준으로 환산하면 일평균 약 2,496건의 랜섬웨어 공격이 차단된 것으로 볼 수 있습니다. 시큐리티대응센터(이하 ESRC)는 이번 3분기 주요 랜섬웨어 공격동향으로 3가지를 꼽았습니다. 먼저 2019년 2분기에 첫 등장했던 소디노키비(Sod..

전문가 기고 2019. 10. 10. 09:55

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 특정 글로벌 물류 회사를 사칭해 Sodinokibi 랜섬웨어를 유포하는 악성 이메일 공격이 확인되고 있습니다. [그림 1] 글로벌 물류 회사를 사칭한 악성 이메일 악성 이메일에는 요청한 물품이 세관 신고서에 배송 주소를 식별할 수 없기 때문에 배송할 수 없다며 첨부된 세관 서류를 수정해 줄 것을 요구하고 있습니다. 메일 본문 내용은 어색한 표현들이 있긴 하나 매끄러운 편이며, 사칭한 글로벌 물류 회사의 이미지를 사용해 해당 회사에서 실제로 발송된 것처럼 사용자를 속이려 시도했습니다. 하지만 사용자가 메일에 첨부되어 있는 '세관 서류.zip' 압축파일을 해제하면, 'DHL 세관 신고서.doc.exe'라는 MS Word 문서파일을 위장한 실행 ..

악성코드 분석 리포트 2019. 9. 25. 10:42

Sodinokibi Ransomware Spreads via Fake Forums on Hacked Sites 공격자들이 악성코드 배포 방식으로 해킹된 사이트의 콘텐츠 위에 가짜 Q&A 포럼을 오버레이하는 새로운 배포 방식을 생각해 냈습니다. Sodinokibi 랜섬웨어 배포자는 워드프레스 사이트 다수를 해킹하여 원래 사이트의 콘텐츠 위에 가짜 Q&A 포럼 포스트를 표시하는 JavaScript를 주입하고 있는 것으로 나타났습니다. 가짜 포스트에는 사이트 관리자의 답변이 달려있는데, 여기에는 랜섬웨어 인스톨러로 연결되는 링크가 포함되어 있었습니다. 이 가짜 포럼 포스트는 관리자가 제공한 답변 및 링크가 진짜처럼 보이게 하기 위해 사용자가 방문한 페이지 내용과 관련된 정보를 포함했습니다. 그러나, 다운로드한..

국내외 보안동향 2019. 9. 3. 10:41

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 지난주 금요일(8/23)부터 특정기관을 타깃으로 하는 시중은행 사칭 악성 이메일 공격이 확인되고 있습니다.해당 이메일의 첨부파일을 실행하면 Sodinokibi 랜섬웨어에 감염되므로 주의가 필요합니다. 공격자는 한국의 시중은행을 사칭한 메일로 타깃을 노렸으며, '우리_은행.zip', '지불-세부-사항.zip' 등의 압축파일이 첨부되어 있습니다. 실제 공격에 사용된 이메일 화면을 보면, 국내 특정 은행명과 이미지로 이용자들을 현혹하고 있어, 실제 사례를 기억하여 유사한 위협에 노출되지 않도록 해야합니다. [그림 1] 우리은행을 사칭하여 공격자가 특정 타깃에게 발송한 악성 이메일 작성되어 있는 이메일 본문 내용은 다음과 같습니다. 온라인 은행 알림이것..

악성코드 분석 리포트 2019. 8. 26. 10:24

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 유포되는 Sodinokibi 랜섬웨어 에 한가지 큰 변화가 생겼습니다.랜섬웨어에 감염되었을때 바뀌는 바탕화면 이미지와 랜섬노트에 기존 영어 메시지 외에 한국어 메시지와 중국어 메시지가 추가되었다는 부분입니다. 이달 초인 2019년 8월 5일에 유포된 Sodinokibi 랜섬웨어를 보면 감염시 변경되는 바탕화면 이미지와 랜섬노트 메시지에 영어로 작성된 내용만 있다는 것을 확인할 수 있습니다. [그림 1] 2019년 8월 5일에 유포된 Sodinokibi 랜섬웨어에 감염된 바탕화면 이미지 [그림 2] 2019년 8월 5일에 유포된 Sodinokibi 랜섬웨어의 랜섬노트 그러나, 8월 21일에 유포된 Sodinokibi 랜섬웨어를 살펴보면 랜섬노..

악성코드 분석 리포트 2019. 8. 21. 17:19