잉카인터넷 시큐리티대응센터 블로그

Rotor 랜섬웨어 변종 감염 주의 1. 개요 최근 Rotor 또는 RotorCrypt라고 불리는 랜섬웨어의 변종이 나타나 유포되고 있다. 기존의 Rotor 랜섬웨어는 공격자와 접촉할 수 있는 이메일 주소를 암호화 파일 확장자로 사용해왔다. 하지만 이번에 유포된 변종은 파일 확장자를 바꾸지 않은 채 암호화를 진행하여 사용자가 감염 사실을 알아차리기 어렵게 한다. 이번 보고서에서는 Rotor 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 71,168 bytes 진단명 Ransom/W32.Rotor.71168 악성 동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반적인 형태의 랜섬웨어로 정확한 유포 경로는 밝혀지지..

PainLocker Ransomware 감염 주의 1. 개요 최근 PainLocker Ransomware가 유포되어 피해가 발생하고 있다. 이 랜섬웨어는 아주 짧은 랜섬노트를 가지고 있지만, 사용자의 시스템을 암호화하고 금전을 요구한다는 점에서 랜섬웨어의 기본적인 역할을 수행하고 있다. 또한 데이터베이스 관련 프로세스를 종료한 후 암호화하기 때문에 이와 관련된 사용자는 특별히 주의가 필요하다. 이번 보고서에서는 PainLocker 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 31,232 bytes 진단명 Ransom/W32.PainLocker.64000 악성 동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반..

RedEye 랜섬웨어 감염 주의 1. 개요 음산한 소리와 함께 공포감을 조성하며 실행되는 ‘RedEye’ 랜섬웨어는 감염된 시스템의 복구나 대응을 저지하기 위해 여러가지 기능을 수행한다. 대표적으로 시스템 복원 무력화, 작업관리자 및 레지스트리 편집기 비활성화, 드라이브 숨김 기능이 있으며, 감염된 파일의 경우 확장자를 ‘.RedEye’로 변경한다. 랜섬노트에는 복호화를 빌미로 가상화폐를 요구하는 내용이 담겨 있고 4일 이내 지급하지 않을 시 MBR을 변조하여 시스템을 파괴한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 RedEye.exe 파일크기 36,713,984 bytes 진단명 Ransom/W32.FileCryptor.36713984 악성 동작 데이터 파괴 2-2. 유포 경로 해당 랜..

2018년 5월 악성코드 통계 악성코드 Top20 2018년 05월(05월 01일 ~ 05월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많은 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Virus(바이러스) 유형이며 총 523,319건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Virus/W32.Ramnit.B Virus 523,319 건 2위 Backdoor/W32.Orcus.9216 Backdoor 31,700 건 3위 Trojan/W32.BitCoinMiner.1578496 Trojan 11,758 건 4위 Trojan/W32.Agent.534016.BS Troj..

공격자와 실시간 채팅 가능한 CryptOn Ransomware 유포 주의 1. 개요 최근 CryptOn이라는 랜섬웨어가 국내를 대상으로 퍼져나가고 있다. 해당 랜섬웨어는 다른 랜섬웨어와 마찬가지로 감염자의 파일을 암호화하며 금전을 요구하지만, 공격자와 직접 실시간 채팅을 할 수 있다는 점에서 특별하다. 이번 보고서에서는 CryptOn 랜섬웨어의 악성 동작에 대해 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 299,520 byte 진단명 Ransom/W32.CryptOn.299520 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 일반적인 형태의 랜섬웨어로 정확한 유포 경로는 밝혀지지 않았다. 2-3. 실행 과정 CryptOn 랜섬웨어 ..

한국어로 쓰여진 RansomAES Ransomware 주의 1. 개요 최근, 유창한 한국어로 작성 된 랜섬웨어가 또 다시 발견되었다. 해당 랜섬웨어는 일반적인 랜섬웨어들과 같이 대상이 되는 파일들을 암호화하고 금전을 요구하고 있다는 점에서는 같지만, 금전을 요구하는 이메일 주소가 국내에서 자주 사용되는 도메인으로 구성되어 있다는 점에서 국내 사용자들의 주의가 필요할 것으로 보여진다. 이번 보고서에서는 한국어로 쓰여진 'RansomAES Ransomware' 에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 19,456 byte 진단명 Ransom/W32.RansomAES.19456 악성동작 파일 암호화 2-2. 유포 경로 해당 랜섬웨어는 ..

BlackHeart Ransomware 주의 1. 개요 본 보고서에서 다루게 될 ‘BlackHeart Ransomware’ 는 주요 목적인 파일 암호화를 성공적으로 하기 위해, 정상적으로 사용되는 프로그램을 패키지로 묶어 함께 배포하고 있다. 함께 배포되는 정상프로그램은 원격 접속 프로그램으로 해당 랜섬웨어가 실행될 때 함께 실행되어, 사용자의 이목을 끄는 역할로 보여진다. 이번 보고서에서는 ‘BlackHeart Ransomware’ 는 어떤 동작을 수행하는지 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 2,102,784 byte 진단명 Trojan/W32.HackTool.2102784 악성동작 악성파일 드롭 구분 내용 파일명 BLAC..

진화하는 GandCrab 랜섬웨어, 초기 버전부터 변화과정 1. 개요 최근 입사지원서나 교통범칙금으로 위장한 랜섬웨어가 대규모로 유포 되어 이용자들의 피해가 속출하고 있다. 악성 URL 링크를 첨부하고 악성 압축파일을 내려 받도록 유도하는 방식이다. 내려 받은 악성파일에는 자바스크립트(*.js) 파일이 포함되어 있으며, 이 파일을 실행하면 자동으로 랜섬웨어가 사용자 PC에 설치된다. 이 랜섬웨어는 갠드크랩(GandCrab) 이며, 2018년 2월 처음 발견된 후 버전업을 통해 유포 방식부터 감염 방식까지 진화 중 이다. 이번 보고서에는 GandCrab 랜섬웨어의 초기 버전부터 3.0버전까지의 변화된 내용에 대해서 간략하게 알아보고자 한다. 2. 분석 정보 2-1. GandCrab 랜섬웨어의 변화 구분 특..

새롭게 발견된 ‘Spartacus’ 랜섬웨어 감염 주의 1. 개요 최근, ‘Spartacus’ 라는 이름의 새로운 랜섬웨어가 발견되었다. 해외 한 보안사이트에 의하면 "Spartacus 랜섬웨어의 코드가 Satyr, Blackheart 랜섬웨어와 거의 동일하다” 고 언급하고 있다. ‘Spartacus’ 랜섬웨어는 실행 시 확장자 ‘.Spartacus’를 제외한 모든 확장자를 대상으로 암호화를 시도하며, 별도의 통신은 하지 않고 복호화를 빌미로 가상화폐를 요구한다. 이번 보고서에서는 새롭게 발견된 ‘Spartacus’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명SF.exe파일크기96,768 byte진단명Ransom/W32.Spartacus.96768악성동작파일 암호화..

네트워크 전파 기능이 추가된 Satan 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 Satan 랜섬웨어는 비전문가도 쉽게 제작할 수 있는 서비스형 랜섬웨어(Ransomware as a Service)이다. 서비스형 랜섬웨어란 요청에 따라 제작 또는 배포된 랜섬웨어를 의미한다. 이번 Satan 랜섬웨어는 파일 암호화뿐만 아니라 이터널 블루(EternalBlue)를 통해 네트워크 전파 기능을 수행하고 있어 각별한 주의가 필요하다.이번 보고서에는 네트워크 전파 기능이 추가된 Satan 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명sts.exe파일크기30,208byte진단명Ransom/W32.Satan.30208악성동작파일 암호화 2-2. 동작 방식이번 Satan..