Sodinokibi ransomware can now encrypt open and locked files Sodinokibi(REvil) 랜섬웨어가 다른 프로세스가 오픈한 후 잠금 상태인 파일을 암호화할 수 있는 새로운 기능을 추가했습니다. 데이터베이스나 메일 서버와 같은 일부 애플리케이션은 자신이 오픈한 파일을 잠가 다른 프로그램이 수정할 수 없도록 합니다. 이로써 두 프로세스가 동시에 한 파일에 데이터를 써서 데이터가 손상되는 것을 예방합니다. 이러한 이유로, 많은 랜섬웨어가 컴퓨터를 암호화하기 전 데이터베이스 서버, 메일 서버를 포함한 파일을 잠그는 애플리케이션을 종료하려 시도합니다. Sodinokibi, 파일을 잠그는 프로세스 자동으로 종료시켜 많은 랜섬웨어가 파일을 잠그는 것으로 알려진 애플리..

국내외 보안동향 2020. 5. 11. 10:16

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 유포중이던 Sodinokibi 랜섬웨어에 특이점이 발견되었습니다. 기존 Sodinokibi 랜섬웨어와 비교하면 이번에 확인된 Sodinokibi 역시 대동소이합니다. 일단 해당 Sodinokibi에 감염되면, 사용자PC에 저장된 특정 확장자 파일을 암호화하고 파일 확장자명을 기존 파일명 뒤에 일괄적으로 x35g0t03으로 붙여서 변경합니다. 또한 'Your files are encrypted !!!'라는 메시지를 포함한 푸른색 노이즈 이미지를 바탕화면으로 설정하는 동시에 x35g0t03-README-PLEASE라는 랜섬노트 파일을 띄웁니다. [그림 1] Sodinokibi에 감염되어 바탕화면 변경 및 랜섬노트 실행된 PC 화면 ※ 소디노키비(Sodin..

악성코드 분석 리포트 2020. 3. 3. 17:26

안녕하세요?이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 특정 글로벌 물류 회사를 사칭해 Sodinokibi 랜섬웨어를 유포하는 악성 이메일 공격이 확인되고 있습니다. [그림 1] 글로벌 물류 회사를 사칭한 악성 이메일 악성 이메일에는 요청한 물품이 세관 신고서에 배송 주소를 식별할 수 없기 때문에 배송할 수 없다며 첨부된 세관 서류를 수정해 줄 것을 요구하고 있습니다. 메일 본문 내용은 어색한 표현들이 있긴 하나 매끄러운 편이며, 사칭한 글로벌 물류 회사의 이미지를 사용해 해당 회사에서 실제로 발송된 것처럼 사용자를 속이려 시도했습니다. 하지만 사용자가 메일에 첨부되어 있는 '세관 서류.zip' 압축파일을 해제하면, 'DHL 세관 신고서.doc.exe'라는 MS Word 문서파일을 위장한 실행 ..

악성코드 분석 리포트 2019. 9. 25. 10:42

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 입사지원서를 위장한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의가 필요합니다. 악성 메일은 이력서와 포트폴리오를 위장하여 사용자에게 악성코드를 유포합니다. 주된 악성행위로 정보 탈취를 수행하고 소디노키비 랜섬웨어를 다운로드 합니다. 수집되는 정보로는 브라우저 기록 정보, 시스템 정보 등이 있습니다. 또한 가상화폐 지갑 수집 대상에 있어 사용자에게 2차 피해를 입힐 수 있습니다. 따라서, 기업 담당자들은 출처가 불분명한 이메일 첨부파일 실행을 지양하여야 하며 사용중인 백신 업데이트의 최신화와 정기점검을 습관화 하여야 합니다. [그림 1] ‘입사지원서'로 위장한 악성 메일 [그림 2] 시스템 정보 수집 코드 일부 현..

악성코드 분석 리포트 2019. 9. 20. 13:52

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019.08.12) 비너스락커(VenusLocker) 조직이 입사지원서를 사칭한 악성 메일을 유포하고 있는 정황이 확인되어 이용자들의 각별한 주의를 당부드립니다. 비너스락커 조직은 과거에는 구글 지메일이나 실제 호스팅을 구축해서 메일을 보냈는데, 최근에는 KT 등 한국 아이피에서 발송하고 있습니다. [그림 1] 입사지원서'로 위장한 악성 메일 이번에 발견된 악성 메일은 8/5일 발견된 입사지원서 사칭 메일과 비슷한 내용으로 유창한 한글 표기법으로 작성되었으며, 실제 입사지원서 메일 제목 양식처럼 "회사명_직무(이름)"으로 작성되었습니다. 이메일 본문을 살펴보면 마침표를 안 쓰는 특성을 확인할 수 있습니다. 또한 메일에 첨부된 압축 파일은..

악성코드 분석 리포트 2019. 8. 12. 13:29

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019.08.05) 중소기업을 타깃으로 입사지원서를 사칭한 악성 메일이 유포된 정황이 포착되어 이용자들의 주의를 당부드립니다. ESRC 분석 결과, 비너스락커(VenusLocker) 조직이 다시 RaaS 기반의 소디노키비 랜섬웨어를 활용해 악성 메일을 유포하고 있는 것으로 밝혀졌습니다. 이번에 발견된 입사지원서 메일은 리플라이 오퍼레이터에 비해 유창한 한글 표기법을 사용하였으며, 실제 입사지원서 메일 제목 양식처럼 "회사명_직무(이름)"으로 작성되었습니다. [그림 1] '입사지원서'로 위장한 악성 메일 이메일 본문을 살펴보면 마침표를 안 쓰는 특성을 확인하실 수 있습니다. 메일에 첨부된 파일인 '이지운.7z'에는 hwp 파일로 위장한 악..

악성코드 분석 리포트 2019. 8. 5. 17:07

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 공정거래위원회를 사칭한 악성 메일로 소디노키비(Sodinokibi) 랜섬웨어가 유포되고 있어 이용자들의 주의를 당부드립니다. 이번에 발견된 공정거래위원회 사칭 악성메일은 '전자상거래에 대한 위반행위 조사통지서' 내용을 담고 있습니다. 또한 메일 본문 하단에 '붙임. 전산 및 비전산 자료 보존요청서 1부' 내용으로 첨부 파일 확인을 유도합니다. [그림 1] '전자상거래 위반행위 관련 조사통지서'로 위장한 악성 메일 실제 첨부파일 '전산 및 비전산자료 보존 요청서.egg'에는 2개의 PDF 파일로 위장한 악성 실행파일이 들어 있으며, 두 파일은 모두 긴 공백을 삽입하여 실행 파일(EXE)인 것을 속이려고 시도 하였습니다. [그림 2] PDF ..

악성코드 분석 리포트 2019. 7. 11. 09:53

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 6/12 오후부터 NH농협은행 보안팀에서 보낸 메일처럼 위장한 피싱메일이 시중에 대량으로 유포되고 있어 사용자 여러분의 주의가 필요합니다. 피싱메일 분석한 결과, 리플라이 오퍼레이터 그룹에서 유포한 것으로 확인되었으며, 기존의 '경찰청 소환장', '한국은행 교육', '지마켓 할인쿠폰', '헌법 재판소 소환장' 등 공공기관에서 보낸 것처럼 사용자를 속이던 방식에서 최근에는 금융회사를 사칭해 랜섬웨어를 유포하는 방향을 선호하는 것으로 보입니다. [그림 1] NH농협은행을 사칭한 피싱메일 시중에 유포되고 있는 피싱 메일은 NH농협 보안팀이 보낸 것으로 되어 있고 신뢰도를 높이기 위해 직원 이름 역시 사용하고 있습니다. 이 직원 이름은 실제 NH농협 ..

악성코드 분석 리포트 2019. 6. 14. 22:50