본문 바로가기

랜섬웨어

벌새::Analysis 2017. 5. 13. 18:59 PDF 문서를 이용한 Locky 랜섬웨어 유포 주의 (2017.5.13) 2017년 4월 20일경부터 한동안 활동이 없던 Locky 랜섬웨어(Ransomware) 활동이 시작되었으며, 특히 기존과 다른 PDF 문서가 첨부된 스팸(Spam) 메일을 통해 유포가 이루어졌으며 최근 Jaff 랜섬웨어도 동일한 방법을 활용하기에 감염 방식에 대해 살펴보도록 하겠습니다. 2016년 2월 중순경 : .locky 2016년 6월 말 : ----.zepto 2016년 9월 말 : ----.odin 2016년 10월 24일 : ----.shit 2016년 10월 25일 : ----.thor 2016년 11월 22일 : ----.aesir 2016년 11월 24일 : ----.zzzzz 2016년 12월 6일 : --------.osiris 2016년 2월경부터 등장한 Locky 랜섬웨어는 20..
벌새::Analysis 2017. 4. 11. 19:42 국내에서 제작되어 공개된 RensenWare 랜섬웨어 정보 (2017.4.11) 최근 디시인사이드 커뮤니티에 본인이 제작한 RensenWare 랜섬웨어(Ransomware)에 감염되었다는 게시글이 올라왔는데 어떤 이유로 해외에서 RensenWare 랜섬웨어 정보가 공유되는 일이 있었습니다. 내가 만든 랜섬웨어에 내가 감염됐다 (2017.4.6) 특히 2015년경부터 급격하게 증가하기 시작한 랜섬웨어(Ransomware)로 인하여 감시가 심한 상태에서 호기심 또는 교육 목적으로 제작되어 소스가 공개되어 악용되는 일이 있기에 더욱 이슈가 된 것 같습니다. 련선웨어 해제 툴 만들었다 (2017.4.7) 제작자의 의도와는 다르게 해외에서 정보가 공유됨에 따라 제작자는 RensenWare 랜섬웨어에 대한 해제툴을 GitHub에 공개한 상태이며, 국내 보안 업체에 관련 정보를 제공하여 피해가 ..
벌새::Analysis 2017. 4. 9. 20:47 한글 메시지를 생성하는 Sage 2.2 랜섬웨어 감염 주의 (2017.4.9) 2016년 12월 중순경부터 보안 패치가 제대로 적용되지 않은 PC 환경에서 웹 사이트 방문 과정에서 악성 스크립트에 노출될 경우 취약점(Exploit)을 통해 자동 감염되는 Sage 랜섬웨어(Ransomware)가 유포되기 시작하였습니다. 초기에 유포된 Sage 랜섬웨어는 다음과 같이 암호화 대상 파일을 특정 위치로 복사한 후 암호화를 진행하는 특징을 가지고 있었습니다. C 드라이브의 경우 : (원본 파일명).(원본 확장명) → %Temp%\0.tmp / 1.tmp / 2.tmp / 3.tmp → (원본 파일명).(원본 확장명).sage D 드라이브의 경우 : (원본 파일명).(원본 확장명) → D:\0.tmp / 1.tmp / 2.tmp / 3.tmp → (원본 파일명).(원본 확장명).sage 위와..
벌새::Analysis 2017. 3. 24. 19:20 암호화된 파일이 삭제되지 않는 CryptoShield 2.0 랜섬웨어 주의 (2017.3.24) 2017년 2월경에 보안 패치가 제대로 이루어지지 않은 PC 환경에서 웹 사이트 접속 과정에서 취약점(Exploit)을 통해 CryptoShield 2.0 랜섬웨어(Ransomware)에 감염되어 문서, 사진, 음악 등의 개인 파일이 암호화될 수 있었습니다. 그런데 특이한 점은 암호화된 파일이 다음과 같이 비정상적인 확장명으로 변경됨으로 인하여 Windows 운영 체제에서 파일을 인식하지 못하는 문제가 발생합니다. 한글 파일명 : (원본 파일명).(Random).[R_SP@INDIA.COM].ID[(Random)].CRYPTOSHIELD. 영문 파일명 : (Random 파일명).(Random).[R_SP@INDIA.COM].ID[(Random)].CRYPTOSHIELD. 예를 들어 암호화된 파일의 맨 뒷..
벌새::Software 2017. 3. 3. 20:00 Dharma 랜섬웨어(Ransomware) 파일 복구툴 : Kaspersky RakhniDecryptor (2017.3.3) 2016년 11월경에 출현한 Dharma 랜섬웨어(Ransomware)는 기존의 CrySis 랜섬웨어의 변종으로 보안에 취약한 원격 데스크톱 프로토콜(Remote Desktop Protocol, RDP)을 통해 접근하여 파일 암호화를 통해 금전을 요구하는 것으로 알려져 있습니다. 그런데 최근에 Dharma 랜섬웨어(Ransomware)의 마스터 키가 유출되어 Kaspersky RakhniDecryptor 파일 복구툴(1.17.17.0 버전 기준)에 적용되었으며, 이를 통해 "(원본 파일명).(원본 확장명).[이메일 주소].dharma" 형태(※ 예시 : (원본 파일명).(원본 확장명).[tombit@india.com].dharma)로 암호화된 파일에 대한 복구가 가능하게 되었습니다. C:\Users\%U..
벌새::Software 2017. 2. 24. 19:46 CryptoMix 랜섬웨어(Ransomware) 복구툴 : Avast Decryption for CryptoMix (2017.2.24) Avast 보안 업체에서 2016년 3월경부터 최근까지 유포한 CryptoMix 랜섬웨어(Ransomware) 계열 중 오프라인(Offline) 방식으로 암호화된 파일을 무료로 복구할 수 있는 Avast Decryption for CryptoMix 복구툴을 공개하였습니다. CryptoMix 랜섬웨어 외에 CryptFile2 랜섬웨어, Zeta 랜섬웨어 변종이 존재하며 최근에는 CryptoShield 랜섬웨어까지 등장한 상태이며, 일반적으로 보안 업데이트가 제대로 이루어지지 않은 PC 환경에서 웹 사이트 접속 과정에서 취약점(Exploit)을 통해 자동 감염되는 방식으로 암호화가 진행됩니다. CryptoMix 랜섬웨어 계열은 파일 암호화 시 C&C 서버와의 통신을 통해 암호화 키를 교환하는 온라인(Onli..
벌새::Software 2017. 2. 15. 18:58 AppCheck 안티랜섬웨어 : 보호할 파일 확장명 설정의 중요성 체크멀(CheckMAL) 업체에서 제공하는 AppCheck 안티랜섬웨어 제품은 백신 프로그램에서 차단하지 못하는 랜섬웨어(Ransomware) 감염 시 문서, 사진 등의 파일 암호화 행위를 차단할 수 있습니다. 특히 행위 롤백 기능을 통해 랜섬웨어 행위 탐지 이전에 일부 암호화된 파일을 원본 파일로 복구해주는 기능이 포함되어 있으며, 해당 기능의 핵심 기능은 랜섬웨어 대피소를 통해 이루어지고 있습니다. 앱체크(AppCheck) 랜섬웨어 대피소 활용 방법 (2015.11.25) AppCheck 2.0.1.2 버전 기준으로 기본 추가된 46개의 보호할 파일 확장명(7z, ai, bmp, cer, crt, csv, der, doc, docx, dwg, eps, gif, hwp, jpeg, jpg, key, l..
벌새::Analysis 2017. 2. 2. 19:34 파일 암호화 후 바로 가기(.lnk) 파일을 생성하는 Spora 랜섬웨어 주의 (2017.2.2) 최근 해외에서 발견된 Spora 랜섬웨어(Ransomware)는 파일 암호화 후 특정 위치에 존재하는 폴더명으로 생성된 바로 가기(.lnk) 파일을 통해 재감염 및 다른 PC로 전파할 수 있는 기능이 포함되어 있기에 살펴보도록 하겠습니다. Spora 랜섬웨어의 대표적인 유포 방식은 메일 첨부 파일 또는 취약점(Exploit)을 이용하여 감염이 발생할 수 있습니다. 대표적인 취약점(Exploit) 감염 방식에서는 기존과 다르게 사용자가 변조된 웹 사이트 방문 시 가짜(Fake) Chrome 메시지 창을 생성하여 사용자로 하여금 Update 버튼 클릭을 통해 악성 파일을 다운로드하여 직접 실행하도록 유도하고 있습니다. 다운로드된 악성 파일(SHA-1 : e93a37a63e32bea5b05df63a48c9f8..

티스토리툴바