TACHYON 1339

[랜섬웨어 분석]9월 랜섬웨어 동향 및 GandCrab V5.0.1 랜섬웨어

9월 랜섬웨어 동향 및 GandCrab V5.0.1 랜섬웨어 1. 9월 랜섬웨어 동향 2018년 09월(09월 01일 ~ 09월 30일) 한 달 간 국내 랜섬웨어 동향을 조사한 결과, 지속적으로 버전업 된 GandCrab 랜섬웨어 5.0 버전과 5.0.1 버전이 등장했다. 또한 홈페이지 제작업체 ‘아이 웹’ 이 랜섬웨어에 피해를 받아 지난해 있었던 나야나 랜섬웨어 사태를 떠오르게 했다. 해외에서는 영국 브리스틀 공항이 랜섬웨어에 피해를 받아 직원들과 승객들이 혼란을 겪는 일이 있었다. 이번 보고서에서는 9월 국내/외 랜섬웨어 피해 사례 및 신/변종 랜섬웨어와 GandCrab v5.0.1 에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내/외 랜섬웨어 피해 사례 아이웹 랜섬웨어 피해 사례 추석 연휴 기..

[랜섬웨어 분석]무료 복구 툴이 개발된 CryptoNar 랜섬웨어

무료 복구 툴이 개발된 CryptoNar 랜섬웨어 1. 개요 최근 발견 된 'CryptoNar' 랜섬웨어는 'CryptoJoker' 랜섬웨어의 변종으로 알려져 있다. 변종으로 보여지는 이유로 파일 암호화 시, 정상 파일의 확장자를 비교하여 각기 다른 두 종류의 확장자를 추가로 덧붙이는데 비교하는 대상 확장자의 기준이 동일하기 때문인것으로 보여진다. 이번 보고서에서는 ‘CryptoNar’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 512,512 bytes 진단명 Ransom/W32.CryptoNar 악성동작 파일 암호화 2-2. 유포 경로 정확한 유포 경로는 밝혀지지 않았지만, 일반적인 랜섬웨어와 같이 이메일 또는 변조된 웹 ..

[랜섬웨어 분석]8월 랜섬웨어 동향 및 Ryuk 랜섬웨어

8월 랜섬웨어 동향 및 Ryuk 랜섬웨어 1. 8월 랜섬웨어 동향 2018년 08월(08월 01일 ~ 08월 31일) 한 달 간 랜섬웨어 동향을 조사한 결과, 지난달과 마찬가지로 국내에서는 GandCrab 랜섬웨어가 왕성한 활동을 보였다. 해외에서는 PGA(미국 프로 골프 협회)나 TSMC(대만 반도체 업체)등 랜섬웨어 피해를 입은 사례들이 나타났다. 8월, 신종 및 변종 랜섬웨어에 대해 알아보고, 신종 랜섬웨어인 Ryuk 랜섬웨어에 대해 좀 더 자세히 알아보고자 한다. 1-1. 국내외 랜섬웨어 피해 사례 GandCrab 랜섬웨어 피해사례 8월 초 국내 한 보안업체를 겨냥하여 보복성 메시지를 포함했던 GandCrab 랜섬웨어는 지속적으로 버전 업 되어 최근에는 4.4 버전까지 등장했다. 유포방식도 지속적..

[랜섬웨어 분석]복호화 키를 저장하는 ‘Termite’ 랜섬웨어 감염 주의

복호화 키를 저장하는 ‘Termite’ 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 ‘Termite’ 랜섬웨어는 파일을 암호화하고 랜섬노트를 통해 중국의 특정 블로그 주소를 안내한다. 현재까지 정확한 유포 경로는 밝혀지지 않았으며, 랜섬웨어 버전에 따라 암호화한 파일에 ‘.aaaaaa’, ‘.Xiak’ 등의 문자열을 덧붙여 확장자를 변경한다. 추가적으로 복호화 키를 레지스트리에 저장하기 때문에 해당 키를 사용하여 복구를 시도해 볼 수 있다. 이번 보고서에서는 최근 발견된 ‘Termite’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 599,040 bytes 진단명 Ransom/W32.Termite.1957888 악성..

[월간동향]2018년 8월 악성코드 통계

2018년 8월 악성코드 통계 악성코드 Top20 2018년 08월(08월 01일 ~ 08월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많은 피해를 준 악성코드 현황을 조사하였으며, [표 1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 42,583건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Trojan/W32.HackTool.14848.N Trojan 42,583 건 2위 Backdoor/W32.Orcus.9216 Backdoor 6,221 건 3위 Virus/W32.Virut.Gen Virus 4,291 건 4위 Suspicious/X97M.Obfus.Gen Suspicious 3,3..

[랜섬웨어 분석]‘Desu’ 랜섬웨어 감염 주의

‘Desu’ 랜섬웨어 감염 주의 1. 개요 본 보고서에서 다루게 될 ‘Desu’ 랜섬웨어는 특정 확장자 파일을 암호화하고 MBR을 변조하여 운영체제의 정상적인 부팅을 방해한다. 현재까지 정확한 유포 경로는 밝혀지지 않았으며, 암호화한 파일은 ‘.desu’ 라는 문자열을 덧붙여 확장자를 변경한다. 또한, 드라이버 전체를 대상으로 암호화를 진행하기 때문에 감염 시 피해가 클 것으로 예상한다. 이번 보고서에서는 ‘Desu’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 260,608 byte 진단명 Ransom/W32.Desu.260608 악성동작 파일 암호화 2-2. 실행 과정 Desu’ 랜섬웨어는 MBR 변조 후 연결된 논리 드라..

[랜섬웨어 분석]보복성 메시지 포함, 국내 한 보안업체 겨냥한 GandCrab V4.3

보복성 메시지 포함, 국내 한 보안업체 겨냥한 GandCrab V4.3 1. 개요 올해 1월에 첫 등장했던 GandCrab 랜섬웨어가 8월 현재까지도 활동하며, 좀처럼 수그러들지 않고 있다. 최근 등장한 GandCrab V4.3 에서는 국내 한 보안업체를 겨냥한 보복성 메시지를 포함하고 있다. 지난 7월 이 보안업체가 GandCrab V4.1.2 에 대한 암호화 차단방법 (Kill-Switch) 을 배포한데 따른 보복조치인 것으로 보인다. 이번 보고서에는 GandCrab V4.3 랜섬웨어의 변화된 내용에 대해서 간략하게 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 [임의의 파일명].exe 파일크기 131,584 byte 진단명 Ransom/W32.GandCrab.131584.B..

[월간동향]2018년 7월 악성코드 통계

2018년 7월 악성코드 통계 악성코드 Top20 2018년7월(7월 1일 ~ 7월 31일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan(트로잔) 유형이며 총 105,901 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Trojan/W32.Agent.534016.BS Trojan 105,901 건 2위 Virus/W32.Sality.D Virus 10,463 건 3위 Virus/W32.Neshta Virus 8,766 건 4위 Suspicious/PDF.CVE-2018-5018 Suspicious 7,431 건 5위 ..

[월간동향]2018년 6월 악성코드 통계

2018년 6월 악성코드 통계 악성코드 Top20 2018년6월(6월 1일 ~ 6월 30일) 한 달간 잉카인터넷 대응팀은 사용자에게 가장 많이 피해를 준 악성코드 현황을 조사하였으며, [표 1-1]은 가장 많이 탐지된 악성코드를 탐지 건수 기준으로 정리한 악성코드 Top20이다. 가장 많이 탐지된 악성코드는 Trojan (트로잔) 유형이며 총 361,644 건이 탐지되었다. 순위 진단명 유형 탐지 건수 1위 Trojan/W32.Agent.534016.BS Trojan 361,644 건 2위 Virus/W32.Ramnit.B Virus 281,863 건 3위 Backdoor/W32.Orcus.9216 Backdoor 201,362 건 4위 Virus/W32.Virut.Gen Virus 4,729 건 5위 ..

[악성코드 분석]POS 시스템을 노린 악성코드

POS 시스템을 노린 악성코드 1. 개요 최근 판매시점관리시스템(POS)에 악성코드가 감염되어 먹통이 되는 사건이 발생하였다. 6월 29일 한 POS 기업은 ‘윈도우 XP 시스템 연결 끊김 증상 긴급복구 방법 및 권고사항 안내’ 란 제목의 글을 게시했다. 공지 내용은 윈도우 XP 기반의 특정 POS 시스템에서 인터넷 연결이 안 되는 증상이 발생되고 있다는 내용이었다. 해당 증상은 윈도우 XP의 보안취약성을 악용한 TCP/IP 설정 및 윈도우 서비스의 인터넷 연결 관련 항목에 악영향을 주어 인터넷 연결이 끊어지는 증상이 발생되는 것으로 확인됐다고 밝혔다. 이번 블로그에서는 해당 사건에 쓰였던 악성코드 중에서 이전 ‘WannaCryptor Ransomware’ 에서 쓰였던 EternalBlue, Double..