분석 24

[악성코드 분석] ‘Spider Ransomware’ 감염 주의

‘Spider Ransomware’ 감염 주의 1. 개요 지난 보고서에서 알아보았던 ‘Oni’ 랜섬웨어는 일본을 대상으로 활동했던 랜섬웨어다. 국내뿐만 아니라, 세계적으로 2017년 악성코드 비율에서 높은 부분을 차지했던 악성코드는 랜섬웨어를 꼽을 수 있다. 이번 보고서에서는 발칸 반도의 특정 국가들을 대상으로 삼아 새로이 등장한 ‘Spider’ 랜섬웨어에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 enc.exe 파일크기 29,184 byte 진단명 Ransom/W32.FileSpider.29184 악성동작 파일 암호화 구분 내용 파일명 dec.exe 파일크기 222,208 byte 진단명 Ransom/W32.FileSpider.222208 악성동작 프로세스 모니터링 ..

[악성코드 분석] ‘Cryp70n1c Army Ransomware’ 감염 주의

‘PDF 파일로 위장한 Ransomware’ 감염 주의 1. 개요 일반적으로 악성코드는 사용자에게 감염을 성공적으로 하기 위해서, 사용자가 호기심을 가질만한 내용으로 파일이름을 변경하거나 이미 보편적으로 사용되고 있는 소프트웨어로 위장하여 유포한다. 랜섬웨어 또한 악성코드의 한 종류로써 위와 같은 방법을 사용하여 사용자의 파일을 인질로 삼아 금전을 요구한다. 일반적인 악성코드에 비하여 감염 시 정상적으로 PC에 있는 파일을 사용 할 수 없기 때문에 피해가 크다. 그렇기 때문에 보편적으로 사용되고 있는 소프트웨어라도 설치하거나 다운로드 시 주의를 요한다. 이번 보고서에서는 다른 랜섬웨어들에 비하여 완성도가 많이 떨어지긴 하지만 PDF 파일로 위장하여 파일을 암호화하는 랜섬웨어에 대하여 간략하게 알아보도록 ..

[악성코드 분석] 일본 기업을 표적으로 하는 Oni 랜섬웨어 주의

일본 기업을 표적으로 하는 Oni 랜섬웨어 유포 주의 1. 개요 최근, ‘NotPetya’ 과 ‘Bad Rabbit’ 등과 같이 기업을 표적으로 하는 랜섬웨어가 기승을 부리고 있다. 이번에는 일본 기업을 표적으로 하는 ‘Oni’라는 랜섬웨어가 등장해 사용자의 주의를 요하고 있다. 해당 랜섬웨어는 일본어로 쓰여진 랜섬노트가 특징이다. 파일을 암호화 한 후 확장자를 ‘. oni’로 변경하기 때문에 해당 랜섬웨어는 ‘Oni’로 명명 되었다. 이번 분석 보고서에서는 ‘Oni’ 랜섬웨어 유포 사례를 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 Oni.exe 파일크기 99,840 byte 진단명 Ransom/W32.Oni.99840 악성 동작 파일 암호화 2-2. 유포 경로해당 랜섬웨어는..

[악성코드 분석] 워드 문서 DDE 취약점을 이용한 악성코드 유포 주의

워드 문서 DDE 취약점을 이용한 악성코드 유포 주의 1. 개요 최근 ‘DDE’ 취약점을 이용한 악성코드가 유포되어 사용자들의 주의가 요구되고 있다. 이전에는 악성코드를 실행시키기 위해 MS Office의 매크로 기능 및 'JS', 'VBS' 등의 스크립트언어를 이용하였으나, 최근에는 ‘DDE’ 기능을 활용해 실행시키고 있다. DDE란 ‘Dynamic Data Exchange’의 약어로 윈도우 응용 프로그램간의 동일한 데이터를 공유하도록 허용하는 방법 중 하나이다. 해당 기능은 워드뿐만 아니라 엑셀, 비쥬얼 베이직 등 다양한 응용프로그램에서 사용되고 있다. 이 기능은 다른 프로세스를 실행시킬 수 있으며 이 기능을 악용하여 악성코드를 다운로드 받거나, 실행시키기 때문에 문제가 된다. 또한 응용 프로그램을 ..

[악성코드 분석] 유럽을 상대로 한 ‘BadRabbit Ransomware’ 감염 주의

[주의] 이번엔 유럽을 상대로 한 ‘BadRabbit Ransomware’ 감염 주의 1. 개요 최근, 한국어 시스템을 노린 새로운 랜섬웨어 ‘Magniber Ransomware(=MyRansom)’ 가 발견 된 지 얼마 지나지 않은데 이어서 이번엔 유럽국가를 상대로 공격을 시도한 ‘BadRabbit Ransomware’ 가 새롭게 발견 되었다. 현재까지 피해가 확인 된 국가는 우크라이나, 러시아, 터키, 독일, 불가리아 등이다. ‘BadRabbit Ransomware’ 에 감염이 되면 대상이 되는 파일을 암호화 할 뿐 아니라, 정상적으로 PC를 사용하지 못하도록 MBR영역까지 수정하기 때문에 국내 사용자도 각별한 주의가 필요하다. 이번 보고서에서는 ‘Adobe Flash Player’ 설치 파일로 위장..

[악성코드 분석] 한국 겨냥한 ‘Magniber(=MyRansom) Ransomware’ 감염 주의

한국 겨냥한 ‘Magniber(=MyRansom) Ransomware’ 감염 주의 1. 개요 최근, 새로운 랜섬웨어 ‘Magniber Ransomware(=MyRansom)’ 가 유포되고 있다. 이 랜섬웨어는 Magnitude 와 악명높은 Cerber 랜섬웨어의 합성어로 Magnitude 익스플로잇킷을 이용하여 유포하는 Cerber의 변형된 랜섬웨어이다. 일반적인 랜섬웨어가 여러국가의 불특정 다수를 상대로 유포하여 감염 시키는 것과 달리, 해당 랜섬웨어는 국내 사용자들을 대상으로 암호화하는 동작을 보여주고 있어 사용자들의 각별한 주의가 요구되고 있다. 이번 보고서에서는 한국을 겨냥한 ‘Magniber Ransomware’ 에 대해서 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 ..

[악성코드 분석] ‘Onion3Cry Ransomware’ 감염 주의

‘Onion3Cry Ransomware’ 감염 주의 1. 개요 최근 몇 년 사이, 악성코드 제작자들은 악성코드 중에서도 사용자의 중요 파일을 인질로 삼아 금전을 요구하는 랜섬웨어를 수없이 많이 만들어 유포하고 있다. 과거에도 사용자의 PC를 정상적으로 사용할 수 없게 만드는 악성코드는 무수히 많았지만, 금전을 요구하였을 때 거래 추적이 가능했기 때문에 쉽게 금전을 요구하지 못했을 것으로 추측된다. 하지만 비트코인의 발전으로 거래추적이 어렵다는 점을 악용한 사이버 범죄가 기승을 부리고 있어, 이 문제가 해결되지 않는다면 랜섬웨어 또한, 끊임없이 제작되고 발견되어 피해는 계속해서 일어날 것으로 보인다. 이번 보고서에서는 여러 확장자를 암호화하는 ‘Onion3Cry Ransomware’ 에 대하여 간략하게 알..

[악성코드 분석] MBR영역을 변조하는 ‘RedBoot Ransomware’ 감염 주의

MBR영역을 변조하는 ‘RedBoot Ransomware’ 감염 주의 1. 개요 일반적인 랜섬웨어는 사용자 PC의 파일을 암호화하고 이를 인질로 삼아 복호화를 조건으로 금전을 요구한다. 이때, 사용자의 PC는 암호화된 파일을 여는 것 외에는 정상적으로 운영체제를 사용할 수 있었다. 하지만 최근 일반적인 랜섬웨어의 동작방식과는 다른 컴퓨터 하드디스크의 MBR 코드를 변조시켜 운영체제가 정상적으로부팅하는 것을 막는 랜섬웨어인 ‘RedBoot Ransomware’가 발견되었다. ‘RedBoot Ransomware’ 에 감염되면 파일 암호화만 진행할 뿐 아니라 정상적으로 PC를 사용하지 못하기 때문에 자칫 큰 피해로 이어질 수 있으므로 사용자의 주의가 필요하다. 이번 보고서에서 MBR영역을 변조시키는 ‘RedB..

[악성코드 분석] 'Crysis ransomware' 분석

Crysis ransomware 분석 1. 개요 사용자 PC에 있는 중요 파일을 암호화하고 인질로 삼는 랜섬웨어는 하루가 멀다 하고 계속해서 발견되고 있다. 공격자가 랜섬웨어로 하고자 하는 악행엔 여러가지가 있을 수 있겠지만, 대부분의 경우 비트코인을 요구하고 있다. 은행에서 사용하는 개인 계좌 정보와 달리 비트코인과 같은 온라인 가상화폐는 비트코인 주소만 있으면 거래가 이루어지기 때문에 신분을 감추고 이용할 수 있다는 점이 사이버 범죄에 악용되고 있는 것으로 보여진다. 따라서 연일 가상화폐 가치가 올라갈수록 이러한 문제가 해결되지 않는다면 랜섬웨어 또한 끊임없이 제작되고 발견 될 것으로 보여진다. 이번 보고서에서 다루는 ‘Crysis Ransomware’ 는 수없이 많은 랜섬웨어 중 하나로 계속해서 변..

[악성코드 분석] 'CryptoMix ransomware' 감염주의

CryptoMix ransomware(변종) 분석 1. 개요 랜섬웨어는 사용자 PC에 저장되어 있는 파일들을 암호화하여 이를 인질로 삼아 금전을 요구하는 악성 코드다. 최근 국내 기업에서도 랜섬웨어로 인한 피해 사례가 급증하고 있다. 랜섬웨어 제작자는 익명성을 보장해주는 비트코인 및 토르를 이용하여 추적을 어렵게 만들기 때문에 이를 악용한 사이버 범죄는 계속해서 늘어날 것으로 보여진다. 이번 보고서에서 다루는 ‘CryptoMix Ransomware’ 변종은 앞서 말한 랜섬웨어 중 하나로 최근에 발견되어 여러 확장자를 암호화한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 CryptoMix.exe (임의의 파일명) 파일크기 241,152 byte 진단명 Ransom/W32.CryptoMix.21..