Black Kingdom ransomware hacks networks with Pulse VPN flaws Black Kingdom 랜섬웨어 운영자들이 패치되지 않은 Purse Secure VPN 소프트웨어를 사용하거나 네트워크에 대한 초기 접근 권한을 획득 가능한 기업을 공격하고 있는 것으로 나타났습니다. 이 악성코드는 허니팟에 걸려들어 연구원들이 이를 분석하고 공격자가 사용하는 전술을 문서화할 수 있었습니다. 랜섬웨어의 전술 이 랜섬웨어는 2019년 4월 패치된 Purse Secure VPN의 구 버전에 존재하는 치명적인 취약점인 CVE-2019-11510을 악용합니다. 여러 기업에서는 익스플로잇이 공개된 이후에도 소프트웨어 업데이트를 진행하지 않아 미 정부에서 여러 차례 경고를 받았습니다. 이에 ..

국내외 보안동향 2020. 6. 15. 09:06

Thanos ransomware auto-spreads to Windows devices, evades security 연구원이 공개한 안티 랜섬웨어 회피 기술인 RIPlace 및 다양한 고급 기능을 사용하고 있는 첫 번째 랜섬웨어인 Thanos가 발견되어 주의가 필요합니다. Thanos는 2019년 10월 개인 배포를 시작했지만 2020년 1월 피해자가 Quimera 랜섬웨어에 대한 도움을 요청하기 전까지는 활발히 활동하지 않았습니다. 시간이 지남에 따라 이 랜섬웨어에 대한 도움을 요청하는 사용자들이 점점 늘어나기 시작했으며 이 랜섬웨어는 결국 Hakbit으로 식별되었습니다. Recorded Future의 새로운 보고서에 따르면, 이 랜섬웨어의 이름은 Thanos이며 지난 2월부터 러시안 해킹 포럼에서..

국내외 보안동향 2020. 6. 11. 09:57

Large scale Snake Ransomware campaign targets healthcare, more Snake 랜섬웨어 운영자들이 전 세계적인 사이버 공격 캠페인을 통해 지난 몇 주 동안 수많은 기업과 의료기관을 공격한 것으로 나타났습니다. 지난 1월, 새로운 Snake 랜섬웨어가 기업 네트워크를 노린다는 소식 이후로 별다른 소식이 없었으며, 실제 공격이 거의 발생하지 않았습니다. 하지만 이 랜섬웨어의 운영자들은 5월 4일부터 전 세계의 조직을 노리는 대규모 캠페인을 실행했습니다. 랜섬웨어 식별 사이트인 ID 랜섬웨어(ID Ransomware)에는 5월 4일부터 Snake 랜섬웨어 등록 건수가 크게 증가했습니다. 보안 기자인 Brian Krebs에 따르면, 유럽 최대 규모 의료 서비스 제공 ..

국내외 보안동향 2020. 5. 7. 09:06

LockBit ransomware self-spreads to quickly encrypt 225 systems LockBit 랜섬웨어가 단 몇 시간 만에 기업 네트워크를 해킹하고 수 백대 기기에 랜섬웨어를 배포한 것으로 나타났습니다. 2019년 9월 시작된 LockBit은 비교적 새로운 서비스형 랜섬웨어(RaaS)입니다. 개발자는 지불 사이트와 악성코드 개발을 담당하고, 협력자들은 이 서비스에 가입해 랜섬웨어를 배포합니다. 이 서비스를 통해 LockBit 개발자는 랜섬머니의 약 25~40%를, 배포를 맡은 협력자는 60~75%를 가져갑니다. 단 3시간 만에 기업 네트워크 암호화해 이 사건 대응을 담당한 McAfee Labs와 Northwave는 공동으로 보고서를 발표했습니다. 보고서에는 LockBit ..

국내외 보안동향 2020. 5. 6. 08:53

WannaRen新型病毒勒索0.05个比特币，已有大量网友中招 새로운 랜섬웨어인 'WannaRen' 랜섬웨어가 유포되고 있습니다. 이 랜섬웨어는 윈도우 시스템의 대부분 파일들을 암호화 하며, 암호화 후 확장자를 .WannaRen으로 변경합니다. 암호화 후에는 0.05비트코인을 랜섬머니로 요구하며, 사용자 PC암호화 후 팝업창을 띄워 랜섬노트와 함께 랜섬머니 지불방식을 알려줍니다. 랜섬노트는 중국어 번체자로 작성되어 있으며, 이메일 주소는 WannaRenemal@goat.si 입니다. 공격자는 랜섬머니 지불기한을 정해놓았는데, "만약 3일 내 랜섬머니를 지불하지 않으면 랜섬머니는 2배로 증가하며, 일주일 내 랜섬머니를 지불하지 않으면 파일은 영원히 복구할 수 없다"고 사용자를 협박합니다. 현재까지 각종 커뮤니티..

국내외 보안동향 2020. 4. 10. 08:07

안녕하세요. ESRC(시큐리티 대응센터)입니다. 금일(19일), 국내 코로나 19(코로나 바이러스) 확진자가 급증하였습니다. 이스트시큐리티에서는 이미 이러한 사회적 불안을 이용한 코로나 바이러스를 악용하는 악성코드에 대해 주의를 당부한 적이 있습니다. (▶ 지속적으로 발견되고 있는 '코로나 바이러스' 관심사를 악용하는 악성코드) 하지만 코로나 바이러스(coronavirus)를 키워드로 한 악성코드 공격이 지속적으로 증가하고 있어 다시 한번 당부를 드립니다. 이번에 발견된 공격은 "Information on Travelers from Wuhan China to India" 파일명으로 유포되었습니다. Wuhan China는 코로나바이러스의 또 다른 이름으로, 국내에서는 중국우한폐렴 이라고도 불리웁니다. [그..

악성코드 분석 리포트 2020. 2. 20. 14:19

New FuxSocy Ransomware Impersonates the Notorious Cerber 현재는 활동을 중단했지만 악명 높았던 Cerber 랜섬웨어와 매우 유사하게 행동하는 새로운 랜섬웨어인 FuxSocy가 발견되었습니다. MalwareHunterTeam이 발견한 이 랜섬웨어는 Mr. Robot TV 시리즈의 FSociety 해킹 그룹에서 따온 이름인 ‘FuxSocy Encryptor’를 사용하고 있었습니다. 다른 랜섬웨어처럼, FuxSocy 또한 사용자의 파일을 암호화한 후 복호화 툴을 주는 대가로 랜섬 머니를 요구합니다. 이 랜섬웨어의 흥미로운 점은 외부를 Cerber 랜섬웨어와 매우 유사하게 디자인했다는 것입니다. 또한 해당 랜섬웨어의 내부 중 일부분도 차용하였습니다. Cerber와의 ..

국내외 보안동향 2019. 10. 29. 09:08

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 랜섬웨어 수가 급증하면서 파일을 암호화 하는 대신 파일의 데이터를 삭제하는 악성코드 유형이 발견되었습니다.‘GermanWiper’라 불리는 이 악성코드는 대부분 랜섬웨어와 동일한 증상을 보입니다. 제외 확장자 및 문자열이 존재하고 복호화를 위한 랜섬노트를 생성하거나 바탕화면도 변경합니다. 하지만 파일 암호화 대신 파일의 데이터를 ‘0’으로 덮어 씌운다는 점에서 기존 랜섬웨어와 차이점이 있다. 데이터가 파괴된 파일은 랜섬웨어와 마찬가지로 임의의 확장자가 추가됩니다. 따라서 본 보고서에서는 파일 암호화를 위장한 ‘Trojan.Ransom.Filecoder’에 대해 상세 분석하고자 합니다. 악성코드 상세 분석 1. 프로세스 인젝션공격자는 ..

악성코드 분석 리포트 2019. 8. 26. 13:00