본문 바로가기

비트코인

벌새::Analysis 2017. 7. 22. 18:02 한국인(Korean)이 개발하고 있는 Jigsaw 랜섬웨어(.korea) 정보 (2017.7.22) 2017년 7월 중순경 한국어(Korean)를 모국어로 사용하는 것으로 추정되는 사람이 Jigsaw 랜섬웨어(Ransomware)를 한국어 버전으로 개발하고 있던 파일이 발견되었다는 소식이 있었습니다. 한국인이 제작한 것으로 추정되는 ‘직소 랜섬웨어 변종’ 발견 (2017.7.20) Jigsaw 랜섬웨어는 2016년 상반기에 최초 발견되어 현재까지 다양한 변종이 발견되고 있으며 간혹 영어(English) 버전이 아닌 특정 언어로 수정되어 유포되고 있는 것으로 알려져 있습니다. 이번에 발견된 Jigsaw 랜섬웨어 한국어 버전(SHA-1 : 101451bb44567c75205106e64f78ebcd26c6716c - Microsoft : Ransom:MSIL/JigsawLocker.A)은 WindowsApp..
벌새::Security 2017. 6. 10. 21:12 Erebus 랜섬웨어 피해를 당한 국내 웹 호스팅 업체 소식 (2017.6.10) 파일을 암호화하여 금전을 요구하는 수많은 랜섬웨어(Ransomware) 중에서는 잠시 나타났다가 사라지는 경우도 있지만 RaaS(Ransomware-as-a-Service) 형태로 조직적으로 활동하는 범죄 산업으로 장기간 운영되는 경우도 있습니다. 그런데 2017년 6월 10일 새벽 1시경에 국내 웹 호스팅 (주)인터넷나야나 업체가 Erebus Ransomware 공격으로 인하여 일부 서버가 피해를 당해 웹 사이트가 연결되지 않는 피해를 당했다는 공지가 올라왔습니다. 10만원, 싼맛에 복호화 하렴 Erebus 랜섬웨어 (2017.2.20) Erebus Ransomware 관련 정보를 찾아보면 2016년 하반기 또는 2017년 2월 초부터 등장하여 다양한 변종이 발견되고 있었으며 당시에는 저렴한 랜섬웨어로..
벌새::Security 2016. 12. 23. 11:45 Cerber 랜섬웨어(Red 버전) 암호화 파일 복구 방법 (2016.12.23) 국내에서 가장 많은 피해를 유발하고 있는 Cerber 랜섬웨어(Ransomware) 중 Cerber 4.x / 5.x 버전의 경우 비트코인(Bitcoin) 지불이 이루어지지 않는 경우 파일 복구 방법이 전혀 공개되어 있지 않은 상태입니다. 파일 암호화 후 변경되는 바탕 화면 배경 기준으로 녹색(Green) 메시지를 표시하는 Cerber 5.0.1 버전까지는 암호화 시작 과정에서 다음과 같은 기능이 수행됩니다. Windows 운영 체제에서 제공하는 볼륨 섀도 복사본(Volume Shadow Copy) 서비스를 통해 시스템 복원을 할 수 없도록 WMI 명령줄 유틸리티를 통해 "C:\Windows\System32\wbem\WMIC.exe shadowcopy delete" 명령어가 수행됩니다. 이를 통해 Cer..
벌새::Analysis 2016. 10. 2. 16:34 랜덤(Random) 확장명으로 변신한 Cerber 랜섬웨어 소식 (2016.10.2) 2016년 3월 초 처음 등장한 Cerber 랜섬웨어(Ransomware)는 파일 암호화 완료 후 텍스트 음성 변환(TTS) 기능을 활용하여 여성 목소리로 암호화 시실을 출력하는 특징을 가지고 있습니다. 특히 장기간 활발하게 유포가 이루어짐에 따라 마이크로소프트(Microsoft)에서는 2016년 7월 정기 보안 업데이트를 통해 Microsoft Windows 악성 소프트웨어 제거 도구(MSRT)에서 Win32/Cerber 진단명으로 제거를 시작하였습니다. 우선 기존에 유포된 Cerber 랜섬웨어는 총 3종의 암호화된 파일 패턴을 가지고 있었으며, 스팸 메일에 첨부된 스크립트 파일 또는 웹사이트 접속 시 취약점(Exploit)을 통해 자동 감염이 이루어지는 방식을 전파되고 있습니다. 2016년 3월 초 ..
벌새::Analysis 2016. 8. 29. 20:39 KMSpico 윈도우 정품 인증툴로 위장한 Domino 랜섬웨어 주의 2016년 4월경부터 윈도우(Windows) 정품 인증툴로 유명한 KMSpico 프로그램으로 위장한 Domino 랜섬웨어(Ransomware)가 유포되었던 것으로 확인되어 살펴보도록 하겠습니다. 일반적으로 KMSpico 윈도우 정품 인증툴의 경우 백신 프로그램에서 당연히 진단할 수 있다는 인식으로 인해 인터넷 상에서 다운로드 및 실행하는 과정에서 백신 실시간 감시 기능을 비활성화(OFF)한 상태로 진행하는 경우가 있기에 광범위하게 유포될 경우 피해를 입을 가능성이 높아질 것으로 생각됩니다. 우선 랜섬웨어(Ransomware) 기능이 포함되어 있지 않은 KMSpico 윈도우 정품 인증툴의 경우에는 신뢰된 인증 기관에서 검증할 수는 없는 @ByELDI 디지털 서명이 포함되어 있는 특징이 있습니다. 그런데 K..
벌새::Analysis 2016. 7. 16. 16:18 MS Word 문서로 유포되는 CryptXXX 랜섬웨어 변종 주의 (2016.7.16) 그 동안 CryptXXX 랜섬웨어(Ransomware)의 유포 방식은 대부분 Exploit Kit을 이용하여 보안 패치가 제대로 이루어지지 않은 PC가 특정 웹사이트 접속 시 자동 감염되는 방식으로 유포되고 있었습니다. Spam, Now With a Side of CryptXXX Ransomware! (2016.7.14) 그런데 최근 메일에 첨부된 MS Word 문서(.doc)에 포함된 매크로(Macro) 기능을 통해 CryptXXX 랜섬웨어가 유포되고 있다는 정보가 공개되어 살펴보도록 하겠습니다. 참고로 CryptXXX 랜섬웨어 감염으로 인해 암호화된 파일은 변종에 따라 파일명과 확장명이 ".crypt → .cryp1 → .cryptz → 확장명 랜덤(Random) → 파일명/확장명 변경없음 → 파일명..
벌새::Analysis 2016. 5. 9. 19:22 어린이 자선 단체에 기부한다는 CryptoMix 랜섬웨어 정보 (2016.5.9) 최근 기존에 사용되던 2종의 랜섬웨어(Ransomware) 메시지 파일명을 사용하는 CryptoMix 랜섬웨어에 감염되어 금전을 입금할 경우 수익금의 일부를 돈을 지불한 피해자의 이름으로 어린이를 위한 자선 단체에 기부한다는 정보가 있어서 살펴보도록 하겠습니다. Security Alert: New Ransomware Promises to Donate Earnings to Charity (2016.5.4) 해당 CryptoMix 랜섬웨어는 기존의 CryptFIle2, HydraCrypt 랜섬웨어의 변종으로 보이며, 보안 패치가 제대로 이루어지지 않은 상태로 악의적으로 조작된 웹사이트 접속 시 자동으로 감염되는 것으로 보입니다. 생성 파일 및 진단 정보 C:\Users\(로그인 계정명)\AppData\Roa..
벌새::Analysis 2016. 5. 7. 22:57 고액을 요구하는 Lock Screen 방식의 7ev3n 랜섬웨어 정보 (2016.5.7) 2016년 1월 20일경부터 해외에서 발견된 7ev3n 랜섬웨어(Ransomware)는 파일 암호화 후 Windows 재부팅을 강제로 진행한 후 Lock Screen 방식으로 PC 사용을 차단한 후 680만원 상당의 고액을 요구하는 사례가 있어서 살펴보도록 하겠습니다. 생성 파일 등록 정보 C:\Users\(로그인 계정명)\AppData\Local\bcd.bat :: 작업 스케줄러(uac) 등록 파일 C:\Users\(로그인 계정명)\AppData\Local\del.bat :: 드랍퍼(Dropper) 삭제 기능 C:\Users\(로그인 계정명)\AppData\Local\system.exe :: 시작 프로그램(System) 등록 파일, 메모리 상주 프로세스 C:\Users\(로그인 계정명)\AppData\..

티스토리툴바