본문 바로가기

AppCheck 안티랜섬웨어

벌새::Analysis 2016. 7. 16. 16:18 MS Word 문서로 유포되는 CryptXXX 랜섬웨어 변종 주의 (2016.7.16) 그 동안 CryptXXX 랜섬웨어(Ransomware)의 유포 방식은 대부분 Exploit Kit을 이용하여 보안 패치가 제대로 이루어지지 않은 PC가 특정 웹사이트 접속 시 자동 감염되는 방식으로 유포되고 있었습니다. Spam, Now With a Side of CryptXXX Ransomware! (2016.7.14) 그런데 최근 메일에 첨부된 MS Word 문서(.doc)에 포함된 매크로(Macro) 기능을 통해 CryptXXX 랜섬웨어가 유포되고 있다는 정보가 공개되어 살펴보도록 하겠습니다. 참고로 CryptXXX 랜섬웨어 감염으로 인해 암호화된 파일은 변종에 따라 파일명과 확장명이 ".crypt → .cryp1 → .cryptz → 확장명 랜덤(Random) → 파일명/확장명 변경없음 → 파일명..
벌새::Analysis 2016. 7. 14. 19:16 Windows 스크립트 파일(.wsf)을 이용한 Locky 랜섬웨어(.zepto) 유포 주의 (2016.7.14) 스팸(Spam) 메일 방식을 이용하여 첨부된 JS 스크립트 파일을 실행할 경우 .locky 파일 확장명으로 암호화하는 Locky 랜섬웨어(Ransomware) 감염 방식은 2016년 3월경부터 지속적으로 확인되고 있었습니다. 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 특히 2016년 6월경 일시적으로 활동을 중지하였던 Locky 랜섬웨어는 다운로드되는 악성 파일에 대한 백신 진단 우회를 목적으로 XOR 암호화 방식까지 확인되고 있는 상태였습니다. 그런데 JS 스크립트 실행에 대한 경고가 높아짐에 따라 최근에는 Windows 스크립트 파일(.wsf) 형태로 변경되어 유포되고 있기에 전반적인 흐름을 살펴보도록 하겠습니다. 다양한 스팸(Spam) 메일에 첨부된 ZIP 압축 파일 내..
벌새::Analysis 2016. 7. 10. 13:04 파일명과 확장명을 변경하는 CryptXXX 랜섬웨어 변종 유포 (2016.7.10) 암호화된 파일을 다양한 패턴으로 변경하던 CryptXXX 랜섬웨어(Ransomware)가 2016년 7월 8일경부터 파일명과 확장명 모두를 랜덤(Random)하게 변경하는 변종을 유포하고 있는 것을 확인하였습니다. 랜덤(Random) 확장명으로 암호화되는 CryptXXX 랜섬웨어 유포 주의 (2016.6.22) 이전에 파일 확장명을 랜덤(Random)하게 변경하던 CryptXXX 랜섬웨어는 지금까지 ".crypt → .cryp1 → .cryptz → 확장명 랜덤(Random) → 파일명/확장명 변경없음" 패턴으로 변화되어 오고 있었으며 이번에 확인된 변종은 파일명과 확장명 모두가 무슨 파일인지 알 수 없도록 변경합니다. "C:\Windows\SysWOW64\rundll32.exe" "C:\User\%Us..
벌새::Analysis 2016. 6. 25. 16:06 자동 로그인 정보를 수집하는 MicroCop 랜섬웨어 정보 (2016.6.25) 최근 Trend Micro 보안 업체에서 공개한 MicroCop 랜섬웨어(Ransomware)는 감염된 PC 사용자가 48.48 BTC을 훔쳤으니 돈을 되돌려주면 암호화된 파일을 해제해주겠다는 협박 메시지를 표시하고 있다고 합니다. MIRCOP Crypto-Ransomware Channels Guy Fawkes, Claims To Be The Victim Instead (2016.6.24) 그런데 MicroCop 랜섬웨어는 감염 과정에서 사용자 PC에 저장된 웹 브라우저, FTP 로그인 정보를 수집하며, 암호화 대상 영역에 존재하는 폴더 내에 존재하는 하위 폴더의 파일들은 암호화 대신 자동 삭제하는 행위가 있기에 살펴보도록 하겠습니다. 우선 Trend Micro 보안 업체에서 밝힌 감염 방식은 메일에 첨..
벌새::Analysis 2016. 6. 23. 19:56 다시 활동을 시작한 Locky 랜섬웨어 유포 소식 (2016.6.23) 2016년 3월경부터 스팸(Spam) 메일에 첨부된 JS 스크립트 파일을 이용하여 활발하게 유포가 이루어졌던 Locky 랜섬웨어(Ransomware)는 2016년 5월을 끝으로 일시적으로 활동이 중지되었다는 소식이 있었습니다. It's Quiet...Too Quiet: Necurs Botnet Outage Crimps Dridex and Locky Distribution (2016.6.9) 그런데 한동안 잠잠하던 Locky 랜섬웨어가 Necurs 봇넷을 이용하여 다시 활동을 시작했다는 소식과 함께 실제 국내에서도 다수의 스팸(Spam) 메일을 통해 전파되고 있는 것이 확인되고 있습니다. Necurs Botnet Returns With Updated Locky Ransomware In Tow (2016.6..
벌새::Analysis 2016. 6. 22. 14:31 랜덤(Random) 확장명으로 암호화되는 CryptXXX 랜섬웨어 유포 주의 (2016.6.22) 2016년 4월경부터 취약점(Exploit)을 이용한 CryptXXX 랜섬웨어(Ransomware) 유포 행위가 활발하게 이루어지고 있으며, 최근 국내에서도 뽐뿌 커뮤니티의 Google AdSense 광고 배너를 통해 많은 피해를 유발한 적이 있습니다. 뽐뿌 커뮤니티를 통한 CryptXXX 랜섬웨어(.crypz) 유포 소식 (2016.6.7) 그런데 ".crypt → .cryp1 → .cryptz" 파일 확장명으로 변하던 CryptXXX 랜섬웨어가 랜덤(Random) 확장명으로 파일 암호화를 수행하는 변종이 발견되었습니다. "C:\Windows\SysWOW64\rundll32.exe" "C:\Users\%UserName%\AppData\Local\Temp\rad24cd3.tmp.dll" MS1 이번 역시..
벌새::Computer & IT 2016. 5. 4. 13:14 fltMgr.sys 관련 블루스크린 발생으로 무한 재부팅 발생 시 해결 방법 최근 AppCheck 안티랜섬웨어 제품이 업데이트(1.6.0.19 버전 ~ 1.6.0.20 버전)를 진행한 후 일부 환경에서 fltMgr.sys 관련 블루스크린(BSoD)이 발생하여 Windows 진입을 하지 못하고 무한 재부팅이 이루어지는 문제가 발생하였습니다.(※ Windows 10 운영 체제는 블루스크린 증상없이 무한 재부팅이 발생할 수 있습니다.) 해당 문제는 AppCheck 1.6.0.21 버전 업데이트를 통해 문제가 해결되었지만 무한 재부팅 증상이 발생하는 경우에는 자동 업데이트가 이루어지지 않는 문제로 고생하시는 분이 있는 것 같습니다. Windows 7 운영 체제에서는 Windows 부팅 시 안전 모드(F8)로 부팅하여 AppCheck 안티랜섬웨어 제품을 삭제한 후 정상 부팅을 진행하면 문..
벌새::Analysis 2016. 4. 12. 19:28 암호화된 파일을 삭제하는 Jigsaw 랜섬웨어와 복호화 도구 정보 (2016.4.12) 공포 영화 쏘우(Saw)를 모티브로 제작된 것으로 보이는 Jigsaw 랜섬웨어(Ransomware)은 인터넷 연결이 이루어지지 않는 환경에서도 파일 암호화를 수행하는 오프라인 암호화(Offline Encryption) 방식이며, 특히 1시간 단위로 암호화된 파일을 삭제하는 기능까지 포함되어 있습니다. 다행히 정보 공개와 함께 암호화된 파일을 해제할 수 있는 JigSawDecrypter 복호화 도구가 공개된 상태입니다. 유포 방식은 확인되지 않았지만 사용자를 속여서 악성 파일(SHA-1 : 27d99fbca067f478bb91cdbcb92f13a828b00859 - AhnLab V3 : Trojan/Win32.Jigsaw.C1373537) 다운로드 및 실행을 하도록 유도하는 것으로 추정됩니다. 생성 폴더 ..

티스토리툴바