Ransomware encrypts from virtual machines to evade antivirus Ragnar Locker 랜섬웨어가 피해자의 파일을 암호화하기 위해 윈도우 XP 가상 머신에 배치되어 호스트에 설치된 보안 소프트웨어의 탐지를 우회하고 있는 것으로 나타났습니다. Ragnar Locker는 2019년 12월 말 활동을 시작한 비교적 새로운 랜섬웨어로 주로 기업 네트워크를 노립니다. 이 랜섬웨어는 에너지 대기업인 EDP(Energias de Portugal)를 공격하여 암호화되지 않은 파일 10TB를 훔쳤다고 주장하며 랜섬머니로 1090만 달러를 요구한 것으로 유명합니다. Ragnar Locker는 네트워크에 배포될 때 탐지를 회피하기 위한 새로운 방법을 사용한 전적이 있습니다. 많..

국내외 보안동향 2020. 5. 25. 14:00

Netwalker ransomware actors go fileless to make attacks untraceable 공격자들이 흔적을 남기지 않고 피해자를 Netwalker 랜섬웨어에 감염 시키기 위해 파일리스 악성코드 기술인 반사 DLL 인젝션(Reflected DLL injection)을 사용해온 것으로 나타났습니다. DLL 인젝션(DLL injection) 이란? 다른 프로세스의 주소 공간 내에서 DLL을 강제로 로드시킴으로써 코드를 실행시키는 기술로 공격자는 임의적인 코드를 삽입하여 시스템 함수 후출을 후킹하거나 보통 방식으로 읽을 수 없는 패스워드 텍스트 박스의 내용을 읽을 수 있다. 반사 DLL 인젝션(Reflected DLL injection) 이란?DLL 인젝션(DLL injectio..

국내외 보안동향 2020. 5. 19. 14:00

ProLock Ransomware teams up with QakBot trojan for network access ProLock은 비교적 새로운 악성코드지만, 기업 및 지방 정부를 대상으로 파일 복호화에 엄청난 금액을 요구함으로써 빠르게 주목 받고 있습니다. 가장 최근 이 악성코드의 피해를 입은 기업은 ATM 제공 업체로 알려진 Diebold Nixdorf입니다. 공격은 암호화 단계 이전에 발각되었으며 시스템에 아무런 영향을 미치지 못했습니다. 하지만 기업 네트워크에는 영향을 미쳐 일부 시스템 장애가 있었습니다. 평균 가격 이 랜섬웨어 패밀리는 PwndLocker로 시작되었지만 지난 3월 파일을 무료로 복호화할 수 있었던 취약점를 수정한 후 ProLocker로 리브랜딩 되었습니다. BleepingCo..

국내외 보안동향 2020. 5. 15. 15:00

Ransomware now demands extra payment to delete stolen files 한 랜섬웨어 패밀리가 복호화 툴 값뿐만 아니라 공격 도중 훔친 파일을 공개하지 않고 삭제하기 위한 두 번째 랜섬머니를 요구하기 시작했습니다. 지난 수년 동안, 랜섬웨어 운영자들은 회사 네트워크를 암호화하기 전 데이터를 훔쳤다고 주장하며 랜섬머니를 지불하지 않을 경우 데이터를 공개하겠다고 협박해 왔습니다. 지난 2019년 11월 Maze 랜섬웨어 운영자는 실제로 훔친 파일을 공개했습니다. 그 이후로 Maze, Sodinokibi, DopplePaymer, Clop, Sekhmet, Nephilim, Mespinoza, Netwalker와 같은 거의 모든 랜섬웨어 패밀리에서 이 정책을 도입하였습니다. ..

국내외 보안동향 2020. 5. 14. 14:30

Sodinokibi ransomware can now encrypt open and locked files Sodinokibi(REvil) 랜섬웨어가 다른 프로세스가 오픈한 후 잠금 상태인 파일을 암호화할 수 있는 새로운 기능을 추가했습니다. 데이터베이스나 메일 서버와 같은 일부 애플리케이션은 자신이 오픈한 파일을 잠가 다른 프로그램이 수정할 수 없도록 합니다. 이로써 두 프로세스가 동시에 한 파일에 데이터를 써서 데이터가 손상되는 것을 예방합니다. 이러한 이유로, 많은 랜섬웨어가 컴퓨터를 암호화하기 전 데이터베이스 서버, 메일 서버를 포함한 파일을 잠그는 애플리케이션을 종료하려 시도합니다. Sodinokibi, 파일을 잠그는 프로세스 자동으로 종료시켜 많은 랜섬웨어가 파일을 잠그는 것으로 알려진 애플리..

국내외 보안동향 2020. 5. 11. 10:16

Large scale Snake Ransomware campaign targets healthcare, more Snake 랜섬웨어 운영자들이 전 세계적인 사이버 공격 캠페인을 통해 지난 몇 주 동안 수많은 기업과 의료기관을 공격한 것으로 나타났습니다. 지난 1월, 새로운 Snake 랜섬웨어가 기업 네트워크를 노린다는 소식 이후로 별다른 소식이 없었으며, 실제 공격이 거의 발생하지 않았습니다. 하지만 이 랜섬웨어의 운영자들은 5월 4일부터 전 세계의 조직을 노리는 대규모 캠페인을 실행했습니다. 랜섬웨어 식별 사이트인 ID 랜섬웨어(ID Ransomware)에는 5월 4일부터 Snake 랜섬웨어 등록 건수가 크게 증가했습니다. 보안 기자인 Brian Krebs에 따르면, 유럽 최대 규모 의료 서비스 제공 ..

국내외 보안동향 2020. 5. 7. 09:06

LockBit ransomware self-spreads to quickly encrypt 225 systems LockBit 랜섬웨어가 단 몇 시간 만에 기업 네트워크를 해킹하고 수 백대 기기에 랜섬웨어를 배포한 것으로 나타났습니다. 2019년 9월 시작된 LockBit은 비교적 새로운 서비스형 랜섬웨어(RaaS)입니다. 개발자는 지불 사이트와 악성코드 개발을 담당하고, 협력자들은 이 서비스에 가입해 랜섬웨어를 배포합니다. 이 서비스를 통해 LockBit 개발자는 랜섬머니의 약 25~40%를, 배포를 맡은 협력자는 60~75%를 가져갑니다. 단 3시간 만에 기업 네트워크 암호화해 이 사건 대응을 담당한 McAfee Labs와 Northwave는 공동으로 보고서를 발표했습니다. 보고서에는 LockBit ..

국내외 보안동향 2020. 5. 6. 08:53

안녕하세요. ESRC(시큐리티 대응센터)입니다. 최근 코로나 19 바이러스 감염증 확진자 수치가 계속 증가하고 있고, 대중들의 관심과 공포가 집중되고 있는 상황에서 코로나(Corona) 바이러스 이슈를 노리고 'Corona Ransomware'(이하 코로나 랜섬웨어) 라는 명칭을 사용하는 랜섬웨어가 등장하여 주의가 필요합니다. 해당 랜섬웨어는 완전히 새로운 형태는 아니며, 2019년 11월 경에 유포된 바 있는 Hakbit 랜섬웨어의 변종으로 추정됩니다. 실제로 이번에 발견된 코로나 랜섬웨어는 Hakbit 랜섬웨어와 동작방식에서 여러모로 유사한 부분이 확인됩니다. 또한 랜섬노트의 경우, 이번 코로나 랜섬웨어가 랜섬노트를 화면에 띄우는 방식을 비롯하여 요구하는 금액과 안내하는 비트코인 지불 사이트, 랜섬노..

악성코드 분석 리포트 2020. 3. 4. 07:30