New Avaddon Ransomware launches in massive smiley spam campaign 새로운 Avaddon 랜섬웨어가 스마일, 윙크 이모티콘이 포함된 전 세계 사용자들을 노리는 대규모 스팸 캠페인을 통해 Avvaddon 랜섬웨어가 배포되고 있는 것으로 나타났습니다. Avaddon은 이달 초 활동을 시작했으며, 해커와 악성코드 배포자를 적극적으로 모집해 다양한 방법으로 랜섬웨어를 확산시키고 있습니다. Avaddon 랜섬웨어는 지난 2월 Nemty 랜섬웨어의 러브레터 캠페인을 연상시키는 스팸 캠페인을 통해 배포되고 있습니다. 내 사진이 마음에 드시나요? 이메일은 "Your new photo?" 또는 "Do you like my photo?"와 같은 제목을 사용하고, 메일 내용에는..

국내외 보안동향 2020. 6. 9. 09:28

Kupidon is the latest ransomware targeting your data 기업 네트워크뿐 아니라 개인 사용자의 데이터도 노리는 새로운 랜섬웨어인 Kupidon이 발견되었습니다. 지난 5월 9일 MalwareHunterTeam이 처음으로 발견한 이 랜섬웨어는 ID-Ransomware 서비스에 처음 등록된 후 급격히 확산되기 시작했습니다. 아직까지 이 랜섬웨어의 샘플은 발견되지 않은 상태이지만 피해자의 증언 및 업로드된 파일을 기반으로 일반적인 정보를 알아낼 수 있었습니다. 이 랜섬웨어는 개인 및 기업 유저를 모두 공격하며 노출된 RDP 서버를 통해 공격하는 것으로 보입니다. 공격자는 일단 접근 권한을 얻는데 성공하면 피해자 컴퓨터의 파일을 수동으로 암호화합니다. 파일을 암호화한 후 파..

국내외 보안동향 2020. 6. 8. 14:30

DoppelPaymer Ransomware Sells Victims' Data on Darknet if Not Paid DoppelPaymer 랜섬웨어가 피해자가 돈을 지불하지 않을 경우 훔친 파일을 판매하거나 공개하겠다고 선언했습니다. 최근 여러 랜섬웨어 운영자들이 피해자의 기기를 암호화하기 전 파일을 훔치는 전략을 사용하고 있습니다. 이는 피해자가 랜섬머니를 지불하지 않을 경우 해당 데이터를 공개하거나 판매하겠다며 협박하는 형식입니다. 이 새로운 전략은 2019년 11월 Maze 랜섬웨어가 Allied Universal을 공격 후 랜섬머니를 받을 수 없게 되자 훔친 파일을 공개함으로써 시작되었습니다. 그 이후 Sodinokibi/REvil 랜섬웨어 또한 훔친 데이터를 게시했으며, Nemty 랜섬웨어는..

국내외 보안동향 2020. 2. 5. 10:03

Lilocked Ransomware Actively Targeting Servers and Web Sites 서버를 공격하고, 저장된 데이터를 암호화하는 새로운 랜섬웨어가 발견되었습니다. 이 랜섬웨어를 두고 개발자들은 Lilu로, 연구원들은 Lilocked라 이름 붙였습니다. 확인된 감염 서버들은 모두 웹사이트로 구글 검색 결과에 암호화된 파일이 노출되고 있습니다. 이 랜섬웨어는 지난 7월 26일 보안 연구원인 Michael Gillespie가 ID Ransomware 사이트에 올라온 샘플을 확인하면서 발견되었습니다. 또 다른 보안 연구원인 Benkow는 해당 랜섬웨어를 발견하고 트위터에 공개했습니다. 구글에서는 이 랜섬웨어로 암호화되고 ".lilocked" 확장자가 붙은 파일이 있는 웹 서버에 대한 검..

국내외 보안동향 2019. 9. 9. 11:37

Sodinokibi Ransomware Spreads via Fake Forums on Hacked Sites 공격자들이 악성코드 배포 방식으로 해킹된 사이트의 콘텐츠 위에 가짜 Q&A 포럼을 오버레이하는 새로운 배포 방식을 생각해 냈습니다. Sodinokibi 랜섬웨어 배포자는 워드프레스 사이트 다수를 해킹하여 원래 사이트의 콘텐츠 위에 가짜 Q&A 포럼 포스트를 표시하는 JavaScript를 주입하고 있는 것으로 나타났습니다. 가짜 포스트에는 사이트 관리자의 답변이 달려있는데, 여기에는 랜섬웨어 인스톨러로 연결되는 링크가 포함되어 있었습니다. 이 가짜 포럼 포스트는 관리자가 제공한 답변 및 링크가 진짜처럼 보이게 하기 위해 사용자가 방문한 페이지 내용과 관련된 정보를 포함했습니다. 그러나, 다운로드한..

국내외 보안동향 2019. 9. 3. 10:41

New Nemty Ransomware May Spread via Compromised RDP Connections 러시아 대통령과 안티바이러스 소프트웨어를 언급하는 새로운 랜섬웨어가 발견되었습니다. 연구원들은 이를 Nemty라 명명했습니다. 해당 이름은 암호화 프로세스 후 파일에 추가되는 확장자에서 이름을 따왔으며, 발견된 샘플은 Nemty 랜섬웨어의 첫 번째 버전입니다. 요구하는 랜섬 머니 다른 파일 암호화 악성코드처럼, Nemty 랜섬웨어 또한 섀도우 복사본을 제거하여 피해자가 파일을 복구할 수 없게 만들어 버립니다. 피해자는 암호화된 데이터를 복구하기 위한 복호화 키가 공격자 손에 있으며, 랜섬머니를 지불하면 데이터를 복구할 수 있다는 메시지를 확인하게 됩니다. 랜섬웨어 테스트 결과 요구하는 랜섬머..

국내외 보안동향 2019. 8. 27. 11:26

New Mirai botnet hides C2 server in the Tor network to prevent takedowns 트렌드마이크로의 연구원들이 C&C 서버를 Tor 네트워크에 숨기는 새로운 미라이(Mirai) 봇넷을 발견했습니다. 이번에 발견된 변종은 봇넷 운영자의 익명성을 보호하고 법 집행 기관의 봇넷 붕괴 작업을 어렵게 하기 위한 조치로 보입니다. 연구원은 발견된 샘플이 익명성 보장을 위해 C&C 서버를 Tor 네트워크에 숨기고, 봇넷 붕괴 과정을 더욱 어렵게 하기 위해 커맨드 센터를 숨겼다고 전했습니다. 미라이 악성코드는 2016년 전문가인 MalwareMustDie가 IoT 기기들을 노린 대규모 공격에서 처음으로 발견했습니다. 미라이의 코드가 온라인에 유출되자 수많은 변종들이 생겨났..

국내외 보안동향 2019. 8. 2. 10:50

안녕하세요. 이스트시큐리티 시큐리티대응센터(ESRC)입니다. 금일(2019년 05월 15일) 오전 '입사지원 합니다'라는 입사 지원서를 사칭한 피싱 메일이 유포되고 있어 채용 담당자분들의 주의가 필요합니다. 이번에 포착된 피싱 메일은 어제 발견된 견적 요청 메일에서 제목과 내용만 약간 수정되었을 뿐, 전반적으로 비슷한 형태를 띠고 있습니다. [그림 1] 입사지원서를 사칭한 피싱 메일 화면 해당 메일에는 '(OOO)이력서.alz'라는 '(지원자명)이력서' 형태의 제목을 가진 압축 파일(alz)이 첨부되어 있습니다.(지원자명의 경우 피싱메일에 따라 상이할 수 있습니다.) 채용 담당자가 해당 메일을 입사 지원서 관련 파일로 착각하여 압축 해제하면, 다음과 같이 PDF 문서(.pdf)를 위장한 악성 실행 파일이..

악성코드 분석 리포트 2019. 5. 15. 14:36