안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 어제(4/29) 알약 행위기반 차단기능으로 수집된 신종 랜섬웨어 'Sodinokibi'가 발견되었습니다. Sodinokibi 랜섬웨어는 국내 URL을 통해 랜섬웨어를 감염시키며, 불특정 다수에게 대량으로 유포 중인 상태로 사용자들의 각별한 주의가 필요합니다. 이번에 발견된 신규 랜섬웨어는 Powershell 이용한 샘플도 발견되었습니다. 해당 악성코드는 사용자 PC의 파일을 .(영문숫자랜덤) 확장자로 파일을 암호화합니다. [그림 1] .(영문숫자랜덤) 확장자로 암호화된 파일 해당 랜섬웨어에 감염되면 아래와 같은 랜섬 노트를 사용자 PC에 생성하며 “Hello, dear friend” 또는 “Welcome. Again”으로 시작하는 문구와 함께 ..

악성코드 분석 리포트 2019. 4. 30. 14:53

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 2019년 4월 19일, ESRC에서는 비너스락커(Venus Locker) 그룹으로 추정되는 입사지원서를 위장한 갠드크랩 v5.2 유포 정황을 포착하였습니다. [그림 1] 입사지원서를 위장한 악성 메일 이미지 최근 채용 시즌을 맞아 지속적으로 입사지원서 사칭 메일이 다양한 지원자 이름으로 유포되고 있습니다. 이번 악성 메일도 최근 2주간 발견된 입사지원서 사칭 메일과 동일하게 .egg 확장자의 알집 파일이 첨부되어 있었습니다. 메일 제목은 ‘성유리입니다.’라는 지원자가 보낸 메일처럼 작성하였고, 메일 내용 또한 간단하게 ‘안녕하세요! 공고 보고 연락 드려요’라고 작성되어 있습니다. 첨부된 압축 파일을 해제하면 DOC, JPG 확장자로 위장한 악..

악성코드 분석 리포트 2019. 4. 22. 11:02

RobbinHood Ransomware Claims It's Protecting Your Privacy 현재 활동 중인 새로운 랜섬웨어 RobbinHood가 발견되었습니다. 이 랜섬웨어는 네트워크 전체를 노리며 접근 가능한 모든 컴퓨터를 암호화시킵니다. 이후 감염된 컴퓨터 한 대 또는 감염된 네트워크 전체의 암호화를 해제하는 조건으로 비트코인을 요구합니다. 현재 이 랜섬웨어에 대해 알려진 사실은 많지 않으며, RobbinHood의 샘플 또한 발견되지 않았습니다. 하지만 피해자들로부터 랜섬노트 및 암호화된 파일을 얻어, 이 랜섬웨어가 어떻게 작동하는지 추측할 수 있었습니다. 특이한 점은, 피해자의 프라이버시를 중요하게 생각하여 돈을 지불한 피해자가 누구인지 공개하지 않을 것이라고 강조한다는 점입니다. Ro..

국내외 보안동향 2019. 4. 15. 10:04

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 최근 비너스락커 그룹이 '이미지 저작권 위반'의 내용이 담긴 악성 메일로 GandCrab v5.2 랜섬웨어를 유포하고 있어, 이용자들의 주의를 당부드립니다. 이번에 발견된 메일에는 개인 작가의 이미지를 무단으로 사용해 저작권을 위반했다는 내용이 담겨 있으며, 이미지 확인을 위해 첨부 파일(.egg) 실행을 유도합니다. [그림 1] '이미지 저작권 위반 안내'가 담긴 악성 메일 첨부 파일 '원본이미지.egg'에는 실제 이미지와 문서로 위장한 파일이 아래와 같이 들어있습니다. (메일 첨부파일마다 조금씩 상이할 수 있습니다.)- 원본이미지.jpg(긴공백).exe [그림 2] 첨부파일 '원본이미지.egg' 이용자가 이미지를 보기 위해 jpg 파일로 위..

악성코드 분석 리포트 2019. 4. 11. 14:49

안녕하세요? 이스트시큐리티입니다. 2019년 1분기 알약을 통해, 총 32만 506건의 랜섬웨어 공격이 차단된 것으로 확인되었습니다. 이번 통계는 공개용 알약의 ‘랜섬웨어 행위기반 사전 차단 기능’을 통해 차단된 공격수를 기준으로 집계되었습니다. 통계에 따르면 2019년 1분기에는 알약을 통해 랜섬웨어 공격이 총 32만 506건 차단되었으며, 이를 일간 기준으로 환산하면 일평균 약 3,561건의 랜섬웨어 공격이 차단된 것입니다. 이는 일반 사용자를 대상으로 제공하는 공개용 알약의 랜섬웨어 행위기반 차단 기능을 통해 차단된 공격만을 집계한 결과로, 패턴 기반 공격까지 포함하면 전체 공격수는 더욱 많다고 볼 수 있겠습니다. 이번 1분기 역시 갠드크랩(GandCrab) 랜섬웨어가 업데이트를 거듭하며 지속적으로..

전문가 기고 2019. 4. 10. 10:00

New Xwo Web Scanner Helps MongoLock Ransomware Find Victims 알려진 악성코드 패밀리 2개의 코드와 인프라가 Xwo라는 웹 스캐너를 이용하여 악성 행위를 한 것으로 밝혀졌습니다. MongoLock 랜섬웨어 운영자들은 Xwo를 악용하여 인터넷을 통해 접근 가능한 보호되지 않은 웹 서비스를 찾았습니다. MongoLock은 보호되지 않은 MongoDB 데이터베이스를 서버로부터 삭제하고, 복구를 위해서는 랜섬머니를 지불하라고 요구합니다. Xwo는 정찰 활동을 위해 고안된 파이썬 기반의 봇 스캐너입니다. C&C 서버로부터 받은 IP 범위를 기반으로, 이 유틸리티는 서비스의 디폴트 패스워드를 탐색하고 결과를 반환합니다. Xwo 웹 스캐너는 악성 툴은 아니지만 다른 악성 ..

국내외 보안동향 2019. 4. 5. 10:30

vxCrypter Is the First Ransomware to Delete Duplicate Files 피해자의 데이터를 암호화할 뿐 아니라, 중복 파일을 삭제해 컴퓨터를 깔끔하게 정리하는 최초의 랜섬웨어인 vxCryptor가 발견되었습니다. 지난주 발견된 이 새로운 랜섬웨어는 현재 개발 단계인 것으로 보입니다. 이는 .NET 기반의 랜섬웨어이며, 아직까지 완성된 적이 없는 'vxLock'라는 오래된 랜섬웨어를 기반으로 만들어졌습니다. ※ vxLock 랜섬웨어란? AES + RSA 알고리즘을 이용하여 사용자 데이터를 암호화하는 랜섬웨어로 vxCrypt로도 불린다. 암호화가 완료되면 .vxLock 확장자가 추가되며, 아직 개발 중인 랜섬웨어이다. 이 랜섬웨어를 발견한 연구원은, 이 랜섬웨어를 처음 테스..

국내외 보안동향 2019. 4. 2. 11:02

안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC) 입니다. 금일(2019년 03월 28일) 오전, ESRC에서는 대한민국 국세청을 사칭한 악성 이메일을 포착하였습니다. 국세청을 사칭한 만큼, 기업 회계 담당자들의 각별한 주의가 필요합니다. 금일 악성 메일을 유포한 이 조직은 기존 '[비너스락커] 랜섬웨어 유포 조직'과 유사한 방식으로 악성메일을 유포하였습니다. ESRC에서는 이전에 한국어를 어눌하게 사용하여 지마켓, 한국은행, 헌법 재판소를 위장해 갠드크랩을 유포하던 조직이 이젠 기존에 갠드크랩을 유포하던 비너스락커 조직을 모방하여 갠드크랩을 유포하고 있다고 추정하고 있습니다. 공격자는 대한민국 국세청을 영문으로 직역한 National Tax Service of South Korea 이름의 발신자 명..

악성코드 분석 리포트 2019. 3. 28. 11:16