본문 바로가기

랜섬웨어

벌새::Analysis 2016. 6. 22. 14:31 랜덤(Random) 확장명으로 암호화되는 CryptXXX 랜섬웨어 유포 주의 (2016.6.22) 2016년 4월경부터 취약점(Exploit)을 이용한 CryptXXX 랜섬웨어(Ransomware) 유포 행위가 활발하게 이루어지고 있으며, 최근 국내에서도 뽐뿌 커뮤니티의 Google AdSense 광고 배너를 통해 많은 피해를 유발한 적이 있습니다. 뽐뿌 커뮤니티를 통한 CryptXXX 랜섬웨어(.crypz) 유포 소식 (2016.6.7) 그런데 ".crypt → .cryp1 → .cryptz" 파일 확장명으로 변하던 CryptXXX 랜섬웨어가 랜덤(Random) 확장명으로 파일 암호화를 수행하는 변종이 발견되었습니다. "C:\Windows\SysWOW64\rundll32.exe" "C:\Users\%UserName%\AppData\Local\Temp\rad24cd3.tmp.dll" MS1 이번 역시..
벌새::Software 2016. 6. 21. 13:04 AhnLab V3 백신의 디코이(Decoy) 파일 변경 탐지 방식의 랜섬웨어(Ransomware) 차단 기능 (2016.6.21) 파일 암호화를 통해 금전을 요구하는 랜섬웨어(Ransomware) 피해가 증가함에 따라 안랩(AhnLab) 보안 업체에서는 과거 AhnLab V3 365 Clinic 제품에 랜섬웨어 차단 기능을 추가하였던 적이 있었습니다. 랜섬웨어 차단 기능이 추가된 AhnLab V3 365 Clinic 업데이트 소식 (2015.12.23) 하지만 추가된 랜섬웨어 차단 기능이 특정 환경에서 블루스크린(BSoD) 발생 등의 문제를 유발함에 따라 금새 기능을 제거한 것으로 기억되며, 이후 AhnLab V3 보안 제품에서는 휴지통 영역에 디코이(Decoy) 파일을 추가하는 방식으로 변경되었습니다. 랜섬웨어 차단 알림 기능이 추가된 알약(ALYac) 무료 백신 (2015.12.23) 대표적인 디코이(Decoy) 파일을 활용하는..
벌새::Analysis 2016. 6. 18. 18:33 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) 2016년 초에 특정 이글루스(Egloos) 블로그를 악용하여 AutoHotkey로 제작된 악성코드 유포 활동이 이루어지고 있는 부분에 대해 살펴본 적이 있었습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 당시 분석글에서는 어떤 경로로 이글루스 블로그에 포함된 PNG 악성 파일을 체크하는지 확인하지 못하였는데, 최근 유포 행위의 시작점을 발견하여 추가적으로 살펴보도록 하겠습니다. 2015년 7월 6일경 특정 토렌트(Torrent) 파일 공유 사이트에 게시된 한글 2014 정품 프로그램을 배포하는 시드(Seed) 파일이 배포되기 시작하였습니다. 다운로드된 한글2014.zip 압축 파일 내부에는 성인 광고가 포함된 그림 파일 하나 외에는 ..
벌새::Analysis 2016. 6. 15. 20:20 파일 암호화(.Z81928819)와 Lock Screen 기능을 가진 GhostCrypt 랜섬웨어 정보 파일 암호화를 통해 금전을 요구하는 랜섬웨어(Ransomware) 중에서는 파일 암호화 후 금전을 지불하지 않을 경우에는 Windows 사용을 하지 못하도록 방해하는 Lock Screen 방식이 포함되어 있는 경우가 있습니다. "파일 암호화 + 화면 잠금" 기능이 포함된 FAKBEM Team 랜섬웨어 주의 (2016.1.15) 고액을 요구하는 Lock Screen 방식의 7ev3n 랜섬웨어 정보 (2016.5.7) 대표적인 Lock Screen 기능이 포함된 랜섬웨어를 소개한 적이 있으며, 이번에는 2016년 2월 중순경에 유포되었던 것으로 추정되는 GhostCrypt 랜섬웨어(SHA-1 : 87a791241de2360ae39917d2238cbf70d4092569 - Microsoft : Ransom:M..
벌새::Security 2016. 6. 11. 22:08 Malwarebytes Anti-Malware 보안 제품의 무식한 진단 정책 사례 하우리(Hauri) 보안 업체에서는 CryptXXX, Locky 랜섬웨어(Ransomware) 피해가 급증함에 따라 랜섬웨어 예방툴(RansomProtector)을 제작하여 감염되지 않도록 악성코드를 속이는 방법을 제공하고 있습니다. 임시 폴더(%Temp%)에 생성된 svchost.exe 파일의 정체 (2016.6.9) 그런데 국내외에서 인기를 모으고 있는 Malwarebytes Anti-Malware 보안 제품이 랜섬웨어 예방툴(RansomProtector)이 생성한 svchost.exe 파일을 Trojan.Agent.Gen 진단명으로 진단한다는 정보가 있어서 확인해 보았습니다. 실제로 랜섬웨어 예방툴(RansomProtector)이 생성한 임시 폴더(%Temp%)에 생성된 svchost.exe 파일을..
벌새::Software 2016. 6. 9. 23:53 임시 폴더(%Temp%)에 생성된 svchost.exe 파일의 정체 (2016.6.9) 바이러스 제로 시즌 2 보안 카페 회원 중에서 임시 폴더(%Temp%)에 생성된 svchost.exe 파일이 랜섬웨어(Ransomware)와 관련된 파일이 아닌가 의심하는 글이 올라와서 확인을 해보았습니다. 생성된 "C:\Users\%UserName%\AppData\Local\Temp\svchost.exe" 파일의 특이점을 살펴보면 숨김(H) / 읽기 전용(R) 속성값을 가지고 있으며 28 바이트(Bytes)의 사실상 실행되어도 아무런 기능을 하지 않을 가능성이 있습니다. 특히 읽기 전용(R) 속성값으로 인하여 의심스러운 svchost.exe 파일을 VirusTotal에 업로드도 이루어지지 않기에 더욱 의심을 한 것 같습니다. 하지만 바이러스 제로 시즌 2 보안 카페 매니저님이 해당 파일이 하우리(Hau..
벌새::Analysis 2016. 6. 7. 20:12 뽐뿌 커뮤니티를 통한 CryptXXX 랜섬웨어(.crypz) 유포 소식 (2016.6.7) 하우리(Hauri) 보안 업체에서는 2016년 6월 3일(금) ~ 2016년 6월 7일(화)까지 뽐뿌 커뮤니티 접속하여 특정 광고 배너에 노출될 경우 CryptXXX 랜섬웨어(Ransomware)에 자동 감염되는 보안 사고가 발생하였다고 밝히고 있습니다. [2016년 6월 7일] 랜섬웨어 이슈 관련해 안내드립니다. 실제 뽐뿌 접속자 중 보안 업데이트가 제대로 이루어지지 않은 Adobe Flash Player, Windows, 웹 브라우저 사용자 중 백신에 의한 차단이 이루어지지 않았을 경우 문서, 사진, 음악, 동영상, 압축 등의 중요 파일이 .crypz 파일 확장명으로 암호화가 이루어지는 피해가 발생한 사례가 올라오고 있습니다. 한국형 랜섬웨어(Ransomware) Crypt0L0cker 악성코드 감염..
벌새::Analysis 2016. 6. 6. 13:02 VBS 스크립트 첨부 파일을 통한 Cerber 랜섬웨어 유포 주의 (2016.6.6) 최근 피싱(Phishing) 메일의 93%가 랜섬웨어(Ransomware) 유포에 활용되고 있다는 분석이 공개되면서 실제 2016년 3월경부터 블로그를 통해 공개되는 스팸(Spam) 메일 첨부 파일을 관련된 유포 사례가 랜섬웨어 위주로 작성되고 있습니다. Q1 2016 Sees 93% of Phishing Emails Contain Ransomware (2016.6.4) 이런 와중에 VBS 스크립트 첨부 파일을 통해 Cerber 랜섬웨어 유포가 확인되어 간단하게 살펴보도록 하겠습니다. 메일 제목 : RE: contact 첨부 파일 : CONTRACT_185579100_contact.zip 특별한 메일 내용이 포함되어 있지 않은 계약 관련 연락처 정보가 첨부된 것으로 구성된 ZIP 압축 파일 내에는 con..

티스토리툴바