잉카인터넷 시큐리티대응센터 블로그

새로 등장한 Corona Ransomware 감염 주의 최근 코로나 19 바이러스 이슈를 활용한 공격이 발견되고 있는 가운데, 자기자신을 “Corona” 라고 명시하고 있는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 “Hakbit” 랜섬웨어의 변종으로 알려져 있으며, 실행 시 사용자의 파일을 암호화하고 있어 주의가 필요하다. 이번 보고서에서는 “Corona” 랜섬웨어의 대해 간략하게 알아보고자 한다. “Corona” 랜섬웨어가 실행 되면, 원활한 악성 동작을 수행하기 위해 아래 [표 1] 목록을 대상으로 서비스 종료, 서비스 비활성화 및 프로세스를 종료한다. 추가적으로 정상적인 복구를 무력화하기 위해 볼륨 섀도우 복사본을 삭제한다. 이후 아래 [표 2]의 암호화 대상 목록과 비교하여, 조건에 일치하는 사용자..

피싱 메일로 유포된 Dharma Ransomware 분석 보고서 수 년 동안 다양한 변종으로 발견된 “Dharma” 랜섬웨어는, 최근 이탈리아어로 작성된 피싱메일을 통해 유포 사례가 발견되고 있다. 해당 피싱 메일에는 악성링크가 포함되어 있으며, 링크를 클릭하게 되면 악성 파일이 자동으로 다운로드 되고 내부 스크립트 파일을 통해 랜섬웨어가 추가 다운로드 후 실행된다. “Dharma” 랜섬웨어는 볼륨 섀도우 복사본 삭제 및 사용자의 중요한 파일을 암호화하고 있어 사용자의 주의가 필요하다. 이번 보고서에서는 “.ROGER” 확장자를 사용하는 “Dharma” 랜섬웨어의 대해 간략하게 알아보고자 한다. 피싱 메일에 포함된 악성 링크를 클릭하게 되면 “New documento 2.zip” 파일이 다운로드 되고, ..

악성코드 분석보고서 1. 2월 랜섬웨어 동향 2020년 2월(2월 01일 ~ 2월 29일) 한 달간 랜섬웨어 동향을 조사한 결과, 국내에서는 코로나바이러스 이슈를 이용한 CXK_NMSL 랜섬웨어가 엑셀 아이콘으로 위장하여 다수 유포되었다. 해외에서는 크로아티아 최대 규모 주유소 체인인 INA가 Clop 랜섬웨어 공격을 받았으며, 호주 Toll 그룹이 랜섬웨어 공격으로 마비된 사건이 있었다. 이번 보고서에서는 2월 국내/외 랜섬웨어 소식 및 신/변종 랜섬웨어와 2월 등장한 DeathHiddenTear 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 소식 코로나바이러스 이슈를 이용한 랜섬웨어 유포 사례 코로나바이러스 이슈를 이용한 랜섬웨어가 발견되었다. 이번 랜섬웨어는 CXK-NM..

1. 악성코드 통계 악성코드 Top20 2020년2월(2월 1일 ~ 2월 29일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 72,158 건이 탐지되었다. 악성코드 유형 비율 2월 한달 간 탐지된 악성코드를 유형별로 비교하였을 때 Trojan(트로잔)이 72%로 가장 높은 비중을 차지하였고, Exploit(익스플로잇)과 Worm(웜)이 각각 20%와 3%, Backdoor(백도어)와 Downloader(다운로더)가 각각 2%, 1%씩으로 그 뒤를 따랐다. 악성코드 진단 수 전월 비교 2월에는 악성코드 유..

윈도우 업데이트를 가장한 랜섬웨어 감염 주의 최근 윈도우 업데이트로 위장한 랜섬웨어가 등장하였다. 해당 랜섬웨어는 .tmp 확장자인 척 임시파일로 위장하여 배포되었으며, C2서버에 연결하여 악성코드를 다운로드 한다. 감염 동작이 수행되면, 가짜 윈도우 업데이트 진행 화면을 띄워 사용자가 암호화 동작을 알아채지 못하도록 하기 때문에 주의가 요구된다. 이번 보고서에서는 윈도우 업데이트를 가장한 랜섬웨어의 동작에 대해 알아보고자 한다. 해당 랜섬웨어는 C2 서버에 연결하여 public key와 id 정보가 있는 “bowsakkdestx.txt”와 가짜 윈도우 업데이트 설치 파일 인 “updatewin.exe” 파일을 다운로드 한다. 다운로드 된 “updatewin.exe” 을 실행시키고, 그 뒤에서 감염동작을..

Genasom 랜섬웨어 감염 주의 최근 2월 중순, Genasom랜섬웨어가 등장하였다. 해당 랜섬웨어는 암호화하기 전 사용자의 PC를 복구할 수 없도록 볼륨 섀도우 복사본을 모두 삭제한 뒤 암호화 동작을 한다. 이는 사용자가 자동 저장되어있는Windows 볼륨 섀도운 복사본을 사용하지 못하게 하여 완전 감염을 시도하는 것이다. 따라서, 해당 랜섬웨어에 감염되면 큰 피해를 초래할 수 있어 주의가 필요하다. 이번 보고서에서는 Genasom 랜섬웨어의 동작에 대해 간략하게 알아보고자 한다. 해당 랜섬웨어는 모든 볼륨 섀도우 복사본을 삭제하고, Windows 오류 복구 알림을 비활성화한 뒤, 암호화를 수행한다. 그리고 %Desktop%에 랜섬노트를 생성하여 사용자에게 랜섬웨어 감염사실을 알린다. 사용자의 눈에 ..

견적 요청서로 위장한 Lokibot 악성코드 유포 주의 최근 국내 특정기업을 사칭해 견적 요청서로 위장한 스피어 피싱 메일이 발견되었다. 스피어 피싱은 특정한 개인이나 회사를 대상으로 공격을 시도하는데, 아래의 악성 메일처럼 정교한 내용으로 첨부된 대용량 악성 파일을 열람하도록 유도한다. 첨부 파일은 디스크 이미지 파일(.img) 형식으로 되어있으며 더블 클릭할 경우, 자동으로 마운트 되어 내부에 존재하는 실행파일(‘RFQ_UYK_1DED’, ‘kiriko_492B.exe’)을 볼 수 있다. 이를 견적서와 관련된 파일로 착각해 실행하면 ‘LokiBot’ 악성코드가 실행된다. 실행된 ‘Lokibot’ 악성코드는 웹브라우저, 메일, FTP 클라이언트 등 응용프로그램에 저장된 계정정보를 수집한 뒤, 데이터를 ..

RagnarLocker 랜섬웨어 감염 주의 “RagnarLocker”로 불리며 관리 서비스 제공업체(MSP)를 표적 공격하는 랜섬웨어가 발견되었다. 해당 랜섬웨어는 원격 모니터링 및 관리 소프트웨어(RMM)를 종료하며, 감염되면 문서 등의 중요한 파일은 사용할 수 없게 된다. 또한, 파일을 복구하기 위해서는 고액의 몸값을 지급해야 하므로 주의가 필요하다. 이번 보고서에서는 “RagnarLocker” 랜섬웨어의 대해 간략하게 알아보고자 한다. “RagnarLocker” 랜섬웨어 실행 시 [표 1]의 목록을 제외한 사용자의 모든 파일을 암호화한다. 서비스는 주로 원격 관리 소프트웨어와 복구 관련 서비스를 종료한다. 파일 암호화가 완료되면, 해당 파일의 끝에 “_RAGNAR_”라는 시그니처를 추가한다. 또한,..

정상 프로그램으로 위장한 Mailto Ransomware 분석 보고서 “Mailto” 랜섬웨어는 2019년 8월에 등장하였으며, 최근 해외기업을 대상으로 공격한 사례가 발견되고 있다. 해당 랜섬웨어는 “Netwalker”라는 이름으로도 명명되고 있으며, “Sticky Password”라는 정상 프로그램으로 위장하여 사용자가 랜섬웨어를 실행시키도록 유도하고 있다. 만약 랜섬웨어가 실행된다면 사용자 시스템의 파일들을 암호화한다. 이번 보고서에서는 “Mailto” 랜섬웨어의 대해 간략하게 알아보고자 한다. . “Mailto” 랜섬웨어 실행 시 [표 1]의 암호화 제외 대상과 비교하여, 조건에 일치하는 사용자의 모든 파일을 암호화한다. 파일 암호화 동작 후 파일의 확장자를 .mailto[].으로 변경하고, {I..

Nebo 랜섬웨어 감염 주의 1. 개요 최근 Nebo 랜섬웨어가 등장하였는데, 해당 랜섬웨어는 암호화하기 전에 암호화에 방해되는 여러 프로세스를 종료하고 암호화 동작을 수행한다. 그 후C&C 서버와 연결을 시도하지만, 현재 분석시점에서는 해당 원격지와 연결이 원활하지 않기 때문에 추가 악성동작은 파악이 되지 않고 있다. 이번 보고서에서는 Nebo 랜섬웨어의 동작에 대해 간략하게 알아보고자 한다. 2. 악성 동작 2-1. 실행과정 해당 랜섬웨어는 먼저, 암호화 작업에 방해가 되는 프로세스를 강제 종료한다. 그리고 특정 확장자에 대하여 파일 암호화를 수행한다. 마지막으로 모든 디렉토리 아래에 랜섬노트를 생성하여 사용자에게 랜섬웨어에 감염된 사실을 알린다. 그리고 C&C서버에 연결을 시도하지만 현 시점에는 연..