본문 바로가기

C&C 서버

벌새::Analysis 2016. 6. 18. 18:33 토렌트를 통해 유포되는 WooriAdris 악성코드 유포 조직의 활동 정보 (2016.6.18) 2016년 초에 특정 이글루스(Egloos) 블로그를 악용하여 AutoHotkey로 제작된 악성코드 유포 활동이 이루어지고 있는 부분에 대해 살펴본 적이 있었습니다. 이글루스 + WordPress 조합을 통한 악성 AutoHotkey 프로그램 유포 주의 (2016.1.16) 당시 분석글에서는 어떤 경로로 이글루스 블로그에 포함된 PNG 악성 파일을 체크하는지 확인하지 못하였는데, 최근 유포 행위의 시작점을 발견하여 추가적으로 살펴보도록 하겠습니다. 2015년 7월 6일경 특정 토렌트(Torrent) 파일 공유 사이트에 게시된 한글 2014 정품 프로그램을 배포하는 시드(Seed) 파일이 배포되기 시작하였습니다. 다운로드된 한글2014.zip 압축 파일 내부에는 성인 광고가 포함된 그림 파일 하나 외에는 ..
벌새::Analysis 2016. 6. 1. 20:07 USB 드라이브를 통해 전파되는 zCrypt 랜섬웨어 주의 (2016.6.1) 최근 해외에서 발견된 zCrypt 랜섬웨어(Ransomware)는 1차 피해자 뿐 아니라 USB 드라이브를 통해 웜(Worm)처럼 전파하는 기능이 포함되어 있다고 보고되고 있습니다. Link (.lnk) to Ransom (2016.5.26) 최초 감염 방식은 공개되지 않았으며 VirusTotal 기준으로 유추해보면 이메일 첨부 파일 방식이 아닌가 추정됩니다. 생성 파일 및 진단 정보 C:\Users\(로그인 계정명)\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\zcrypt.lnk C:\Users\(로그인 계정명)\AppData\Roaming\cid.ztxt :: 숨김(H)/시스템(S) 파일 속성 C:\Users\(로그인 계정명)\AppD..
벌새::Analysis 2016. 5. 9. 19:22 어린이 자선 단체에 기부한다는 CryptoMix 랜섬웨어 정보 (2016.5.9) 최근 기존에 사용되던 2종의 랜섬웨어(Ransomware) 메시지 파일명을 사용하는 CryptoMix 랜섬웨어에 감염되어 금전을 입금할 경우 수익금의 일부를 돈을 지불한 피해자의 이름으로 어린이를 위한 자선 단체에 기부한다는 정보가 있어서 살펴보도록 하겠습니다. Security Alert: New Ransomware Promises to Donate Earnings to Charity (2016.5.4) 해당 CryptoMix 랜섬웨어는 기존의 CryptFIle2, HydraCrypt 랜섬웨어의 변종으로 보이며, 보안 패치가 제대로 이루어지지 않은 상태로 악의적으로 조작된 웹사이트 접속 시 자동으로 감염되는 것으로 보입니다. 생성 파일 및 진단 정보 C:\Users\(로그인 계정명)\AppData\Roa..
벌새::Security 2016. 5. 8. 15:55 해킹당한 메일 유포 방식의 Locky 랜섬웨어 소식 (2016.5.8) 2016년 2월 등장한 Locky 랜섬웨어(Ransomware)는 주로 이메일 첨부 파일을 통해 매우 광범위하게 최근까지 감염을 시도하고 있으며, 감염 시 문서, 사진, 압축 등의 파일을 .locky 확장명을 변경하여 파일 암호화를 수행하여 비트코인(Bitcoin) 결제를 유도하고 있습니다. 최근 확인된 대표적인 Locky 랜섬웨어 유포를 살펴보면 "Bill Copy" 제목의 메일에 첨부된 ZIP 압축 파일을 다운로드하여 내부에 존재하는 VA290529256183653.js 스크립트 파일(SHA-1 : aa42b0c9432190c36e8dbafb8b22f68abb07c5b5 - 알약(ALYac) : JS:Trojan.JS.Downloader.IQ)을 실행하도록 구성되어 있습니다. h**p://barebo..
벌새::Analysis 2016. 5. 5. 18:29 네덜란드 언어로 작성된 메일을 통한 Locky 랜섬웨어 유포 주의 (2016.5.5) 2016년 3월경부터 대규모 스팸(Spam) 메일을 이용하여 .locky 확장명으로 파일 암호화를 수행하는 Locky 랜섬웨어(Ransomware)가 최근까지도 여전히 유사한 수법으로 유포되고 있습니다. A New Variant of Locky Leaking Out (2016.5.4) 특히 Locky 랜섬웨어는 변화된 통신 방식과 새로운 암호화 알고리즘이 적용되었다는 Fortinet 보안 업체의 분석이 공개된 상태입니다. 오늘 확인된 Locky 랜섬웨어 유포에서는 네덜란드(Netherlands) 유명 호스팅 업체에서 발송한 것으로 위장하여 첨부 파일을 다운로드하여 실행하도록 유도하는 사례가 있기에 살펴보도록 하겠습니다. 메일 제목 : Nieuwe factuur (met automatische incass..
벌새::Analysis 2016. 4. 26. 13:05 문서 폴더만 암호화하는 Locked 랜섬웨어 소식 (2016.4.26) 2016년 3월 중순경 이메일로 유포된 것으로 추정되는 악성 파일을 다운로드하여 실행할 경우 문서 폴더만을 표적으로 .locked 확장명으로 파일 암호화 후 금전을 요구하는 랜섬웨어(Ransomware)에 대해 살펴보도록 하겠습니다. 악성 파일은 PDF 문서 아이콘으로 위장한 Bank_Account_Summary.pdf.exe 파일명(SHA-1 : d70199063ce435bfc59a5ffafe774b3c5e2efc1e - Kaspersky : Trojan-Ransom.Win32.Crypmodadv.vpe)으로 유포된 것으로 추정되며 사용자가 PDF 문서로 오해하고 실행하도록 제작되어 있습니다. 실행된 악성 파일은 홍콩(HongKong)에 위치한 "202.181.194.227" IP 서버와 통신이 가능한..
벌새::Analysis 2016. 4. 7. 19:48 파일 암호화와 추가적인 악성코드를 설치하는 Shade 랜섬웨어 주의 (2016.4.7) 2014년 하반기부터 2015년 초에 .xtbl 또는 .ytbl 파일 확장명으로 파일 암호화를 통해 금전을 요구하는 Shade 랜섬웨어(Ransomware)는 단순히 파일 암호화만을 수행하는 것이 아니라 추가적인 악성코드를 다운로드하여 악의적인 기능을 수행하는 2중의 행위를 수행하였다고 합니다. The Shade Encryptor: a Double Threat (2015.9.14) 그런데 최근 일본(Japan) 메일 계정을 이용하여 특정 회사들을 대상으로 Shade 랜섬웨어 변종을 유포한 사례가 확인되어 살펴보도록 하겠습니다. ウイルス迷惑メール「新しい請求書」「私たちはあなたのﾊﾟｯｹｰｼﾞを配信」ランサムウェア感染 (2016.4.6) 메일 제목 : 제목 없음 첨부 파일 : jppost_204574746.zip..
벌새::Analysis 2016. 4. 4. 14:38 모바일 결제 방식이 추가된 Rokku 랜섬웨어 주의 (2016.4.4) 2016년 3월 19일경 보고된 Rokku 랜섬웨어(Ransomware)는 최근 이메일에 첨부된 JS 스크립트 파일 또는 MS Word 문서(DOC)를 통해 감염되는 Locky 랜섬웨어과 유사성이 있는 것으로 알려져 있습니다. Rokku, the "professional" ransomware (2016.3.31) 특히 Rokku 랜섬웨어는 폐쇄적인 내부망에서도 파일 암호화를 수행할 목적으로 오프라인 암호화(Offline Encryption)을 통해 C&C 서버 통신없이 자동으로 암호화가 진행되는 특징이 있는 MAKTUB Locker 랜섬웨어의 특징도 포함하고 있습니다. 또한 결제 방식이 PC 이외에 모바일에서도 비트코인(Bitcoin) 가상 화폐 결제가 가능하도록 QR 코드를 포함하고 있습니다. 이메일로..

티스토리툴바