본문 바로가기

wscript.exe

벌새::Analysis 2017. 4. 1. 16:14 USB 드라이브로 전파 가능한 Bondat Worm 바이러스 주의 (2017.4.1) 최근 블로그를 통해 USB 드라이브에 존재하는 Drive.bat 파일을 삭제해도 지속적으로 재생성되는 문제에 대해 문의가 들어와서 관련 정보를 살펴보도록 하겠습니다. 1차적으로 제공받은 Drive.bat 배치 파일을 확인해보면 "\\Drive\453\vjjeuhhy.js" 파일이 추가적으로 존재할 것으로 추정되기에 관련 파일을 찾아서 보내달라고 요청하였습니다. 생성 폴더 / 파일 및 진단 정보 \\Drive :: 숨김(H) 폴더 속성 \\Drive\453 :: 숨김(H) 폴더 속성 \\Drive\453\vjjeuhhy.js :: Random 파일명 - SHA-1 : ca15eb44149114eb38a67bc43029f72db2aa2c3f - 알약(ALYac) : Trojan.Bondat.JS \\Driv..
벌새::Analysis 2016. 11. 3. 20:48 메일에 첨부된 Windows 스크립트 파일(.wsf) 실행 시 Locky 랜섬웨어(.thor) 감염 주의 (2016.11.3) 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내부에 포함된 Windows 스크립트 파일(.wsf)을 실행할 경우 악성 DLL 파일을 추가 다운로드하여 문서, 사진, 음악 등 개인 파일을 .thor 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 변종이 국내에서 발견되어 살펴보도록 하겠습니다. 2016년 2월 중순경 : (Random 파일명).locky 2016년 6월 말 : (Random 파일명). zepto 2016년 9월 말 : (Random 파일명).odin 2016년 10월 24일 : (Random 파일명).shit 2016년 10월 25일 : (Random 파일명).thor 2016년 2월 중순경 최초 유포가 확인된 Locky 랜섬웨어는 악성 EXE 파일 형태 또는 악성 ..
벌새::Analysis 2016. 7. 24. 14:59 바이너리(Binary)가 포함된 JavaScript 파일을 이용한 Locky 랜섬웨어 유포 (2016.7.24) 메일을 통해 감염을 유발하는 Locky 랜섬웨어(Ransomware)는 지금까지 첨부된 JavaScript 파일(.js), MS Word 문서(.doc / .docm), Windows 스크립트 파일(.wsf)을 실행 시 웹 서버에서 악성 파일을 다운로드하여 동작하는 구조였습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 그런데 최근에 첨부된 JavaScript 파일(SHA-1 : 153d4cc2da095967f8a60f3ae0f015ff40bbffd4 - 알약(ALYac) : Trojan.JS.Agent.MJE)의 경우에는 코드 내부에 바이너리(Binary) 코..
벌새::Analysis 2016. 7. 22. 14:02 바로 가기(.LNK) 파일을 이용한 Vault 랜섬웨어 감염 주의 (2016.7.22) 최근 하우리(Hauri) 보안 업체에서 메일 첨부 파일로 동봉된 바로 가기(.LNK) 파일을 실행할 경우 파일 암호화를 통해 금전을 요구하는 Vault 랜섬웨어(Ransomware)에 감염될 수 있다는 정보를 공개하였습니다. [보도자료] (주)하우리, 윈도우 바로가기 형태로 유포되는 신종 랜섬웨어 주의요망! (2016.7.20) 바로 가기(.LNK) 파일은 바탕 화면에 생성되는 특정 프로그램 실행을 위한 연결 고리로 실행 시 일반적으로 특정 파일을 실행할 수 있는 형태입니다. 그런데 이번 사례와 같이 메일 첨부 파일에 동봉된 문서 아이콘 형태의 바로 가기(.LNK) 파일(SHA-1 : f21d2636b1b30df708be5de427e3ddb500b3136d - BitDefender : Trojan.LNK..
벌새::Analysis 2016. 7. 14. 19:16 Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 스팸(Spam) 메일 방식을 이용하여 첨부된 JS 스크립트 파일을 실행할 경우 .locky 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 감염 방식은 2016년 3월경부터 지속적으로 확인되고 있었습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 특히 2016년 6월경 일시적으로 활동을 중지하였던 Locky 랜섬웨어는 다운로드되는 악성 파일에 대한 백신 진단 우회를 목적으로 XOR 암호화 방식까지 확인되고 있는 상태였습니다. 그런데 JS 스크립트 실행에 대한 경고가 높아짐에 따라 최근에는 Windows 스크립트 파일(.wsf) 형태로 변경되어 유포되고 있기에 전반적인 흐름을 살펴보도록 하겠습니다. 다양한 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내..
벌새::Analysis 2016. 5. 5. 18:29 네덜란드 언어로 작성된 메일을 통한 Locky 랜섬웨어 유포 주의 (2016.5.5) 2016년 3월경부터 대규모 스팸(Spam) 메일을 이용하여 .locky 확장명으로 파일 암호화를 수행하는 Locky 랜섬웨어(Ransomware)가 최근까지도 여전히 유사한 수법으로 유포되고 있습니다. A New Variant of Locky Leaking Out (2016.5.4) 특히 Locky 랜섬웨어는 변화된 통신 방식과 새로운 암호화 알고리즘이 적용되었다는 Fortinet 보안 업체의 분석이 공개된 상태입니다. 오늘 확인된 Locky 랜섬웨어 유포에서는 네덜란드(Netherlands) 유명 호스팅 업체에서 발송한 것으로 위장하여 첨부 파일을 다운로드하여 실행하도록 유도하는 사례가 있기에 살펴보도록 하겠습니다. 메일 제목 : Nieuwe factuur (met automatische incass..
벌새::Analysis 2016. 4. 2. 15:22 JS 스크립트가 포함된 RAR, ZIP 압축 파일을 통한 Locky 랜섬웨어 유포 정보 (2016.4.2) 앞서 소개한 최근 다양한 내용을 포함한 해외 스팸 메일에 첨부된 압축 파일을 통해 사용자가 JS 스크립트 파일을 실행할 경우 .locky 확장명으로 파일을 변경하여 암호화를 통한 금전을 요구하는 Locky 랜섬웨어(Ransomware) 감염에 대해 추가적인 메일 패턴을 살펴보도록 하겠습니다. 스팸 메일에 첨부된 JS 스크립트 파일을 통한 Locky 랜섬웨어 감염 주의 (2016.3.17) 한글 문서(HWP)도 암호화하는 Locky 랜섬웨어 유포 주의 (2016.3.25) 지속적으로 발견되는 JS 파일을 이용한 Locky 랜섬웨어 정보 (2016.3.30) 3월경에 폭발적으로 증가한 메일을 통한 유포 방식은 다소 소강 상태를 보이고 있지만 언제든지 유사한 방식으로 악성코드 유포가 이루어질 수 있으므로 주의..
벌새::Analysis 2016. 3. 8. 20:43 암호화 사실을 목소리로 알려주는 Cerber 랜섬웨어(Ransomware) 주의 (2016.3.8) 최근 해외에서 새롭게 발견된 Cerber 랜섬웨어(Ransomware)는 암호화 대상 파일을 (10자리 영문+숫자).cerber 파일 확장명으로 암호화하여 비트코인(Bitcoin) 가상 화폐를 입금하도록 요구하고 있습니다. 실제 감염자의 감염 과정은 웹사이트 접속 과정에서 취약점(Exploit)을 이용한 자동 감염 방식으로 진행된 것으로 보이며, 기존에 나온 랜섬웨어(Ransomware)와는 다르게 파일 암호화 후 여성 목소리로 암호화 사실을 전달합니다. 생성 폴더 / 파일 및 진단 정보 C:\Users\(로그인 계정명)\AppData\Roaming\{31F49A49-****-****-****-D918C1B87DEE}\dialer.exe :: 폴더명(랜덤한 GUID), 파일명(랜덤) - SHA-1 : 9..

티스토리툴바