랜섬웨어
-
엔드포인트 솔루션을 활용하여 랜섬웨어의 위협으로부터 기업 데이터 보호하기카테고리 없음 2016. 8. 9. 14:21
게시일: 2016-08-02 l 작성자: Trend Micro트렌드마이크로에서 제안하는 다층보안설계 중 엔드포인트 솔루션에 대해 설명하고자 합니다.이 블로그는 네 파트로 이루어진 시리즈의 두 번째 파트로써, 랜섬웨어가 어떤 기술을 활용하여 엔드유저와 기업에 영향을 미치는 지에 대하여 설명합니다. 위협을 최소화하기 위한 다층보안 설계는 게이트웨이 보안 및 엔드포인트, 네트워크, 그리고 서버에 각각 알맞은 보안을 도입해야 한다는 것을 의미합니다.게이트웨이 보안을 다룬 트렌드마이크로의 블로그를 보시려면, 하단을 클릭하세요:Know the different ransomware arrival tactics, and how to stop them in the gateway (영문)FBI는 2016년 랜섬웨어 피해가..
-
바로가기로 위장하는 랜섬웨어카테고리 없음 2016. 8. 8. 13:58
랜섬웨어는 컴퓨터를 감염시키는 즉시 파일을 암호화시키고 천연덕스럽게 복호화툴 구매를 제안한다. 만약 최근에 백업을 해 뒀다면 돈을 낼 필요가 없겠지만 백업이 없는 상태고 데이터를 복구해야 한다면 돈을 낼 수밖에 없다. 물론 맬웨어 제작자의 실수로 인해 복호화 전문가들이 무료 복호화방법을 찾아내는 경우도 있긴 하지만 이는 지극히 드문 경우다. 랜섬웨어는 주로 이메일 첨부물의 형태로 배포되는데 최근 사례를 표시한 위 그림을 보면 랜섬웨어 제작자들은 DOCX 워드파일이나 JS 자바스크립트파일의 형태로 만든 악성파일을 zip 압축파일에 넣는 방법을 즐겨 사용함을 알 수 있다. 사실 이렇게 압축할 필요 없이 직접 워드문서 또는 자바스크립트를 첨부할 수도 있으며 이 경우 악성코드 실행에 필요한 클릭 과정이 줄어들기..
-
Satana 랜섬웨어 소개카테고리 없음 2016. 8. 5. 15:15
러시아어권에서 만들어졌다고 추정되는 Satana 랜섬웨어는 두 가지 기능을 가지고 있다. 우선 윈도우 마스터부트레코드(master boot record, MBR) 파일을 암호화시켜 운영체제 부팅을 차단해 버린다. 이와 비슷하게 MBR에 관여하는 트로이목마로 Petya 랜섬웨어가 잘 알려져 있다. Satana는 MBR에 자체 코드를 주입한다는 점에서는 Petya와 유사하지만 MBR 자체를 암호화한다는 점에서 마스타파일테이블(master file tablem MFT)을 암호화하는 Petya와 다르다. 또한 Petya가 컴퓨터 파일 암호화를 위해 Mischa라는 별도의 트로이목마를 동반하는 데 비해 Satana의 경우 이 작업도 자체적으로 수행할 수 있다. MBR이란 하드드라이브의 일부분으로 다양한 디스크 파..
-
랜섬웨어의 역사카테고리 없음 2016. 8. 3. 14:26
근래 사이버보안에서 화제가 되고 있는 랜섬웨어는 전염병 수준으로 창궐하고 있으며 금방 사라지기 어려운 위협이다. 랜섬웨어의 역사는 크게 데이터 암호화 전후로 나눌 수 있다. 오늘날에는 데이터를 암호화하는 유형인 cryptor가 주류를 이루고 있지만 이에 앞서 먼저 등장한 건 blocker 랜섬웨어였다. blocker 랜섬웨어는 운영체제나 브라우저 접근을 차단하고 이를 복구하는 대가로 돈을 요구한다. 당시 금전지급은 주로 기부 등에 사용되는 문자메시지 코드나 전자지갑을 통한 송금 등으로 이루어졌다. 보안전문가와 수사기관 측에서는 이러한 지급과정에 착안하여 공격자를 적발해 냈다. 전자결제 관련 규제가 진화함에 따라 위험부담 가중으로 랜섬웨어의 수익성도 떨어졌으며 용의자 적발 또한 늘어났다. 그러나 최근 몇 ..
-
Ded Cryptor 랜섬웨어 소개카테고리 없음 2016. 8. 2. 16:04
최근 영어권과 러시아권에서 발견된 Ded Cryptor라는 랜섬웨어 트로이목마는 2비트코인(1300달러)이라는 거액을 요구하며 아직 복호화 솔루션도 존재하지 않는 상태다. Ded Cryptor에 감염된 컴퓨터의 배경화면은 아래와 같이 산타클로스와 함께 금전요구가 나오는 그림으로 바뀐다. Ded Cryptor 랜섬웨어의 배경에는 사실 상당히 복잡한 이야기가 얽혀 있다. 터키 보안전문가 Utku Sen은 랜섬웨어를 제작하고 해당 코드를 개발자 협업채널인 GitHub에 공개했다. 이는 사이버공격자가 해당 코드를 토대로 악성코드를 직접 제작하도록 유도하고 미리 심어둔 백도어를 통해 이들의 행동양상을 이해하려는 전략이었다. Sen은 이보다 앞서 교육 및 연구 목적으로 Hidden Tear라는 이름의 랜섬웨어 프로..
-
모바일 랜섬웨어카테고리 없음 2016. 8. 2. 14:44
랜섬웨어는 데스크탑 컴퓨터 외에 모바일 기기에서도 발견되며 발견빈도 또한 증가추세에 있다. 랜섬웨어의 유형으로는 데이터를 암호화시키고 복구대가로 돈을 요구하는 cryptolocker 랜섬웨어 그리고 운영체제나 브라우저 등 어플리케이션 접근을 차단하고 차단해제에 대해 돈을 요구하는 blocker 랜섬웨어가 있다. 현재 데스크탑 플랫폼에서는 blocker 랜섬웨어는 비교적 소수에 그치는 반면 금전갈취에 더욱 효율적이라고 알려진 cryptolocker 랜섬웨어가 많이 퍼지고 있는 상황이다. 반면 모바일 플랫폼의 경우 안드로이드 운영체제와 앱이 클라우드 백업을 동반하며 따라서 데이터 암호화에 따른 이득이 그만큼 적기 때문에 안드로이드 cryptolocker 랜섬웨어는 거의 전무하다시피 하고 blocker 랜섬웨..
-
Shade 랜섬웨어 복호화툴 배포카테고리 없음 2016. 8. 2. 13:44
Shade는 2015년 초 등장한 랜섬웨어며 주로 악성스팸이나 취약점악용(exploit kit)을 통해 배포된다. 취약점악용의 경우 피해자가 감염된 웹사이트를 방문하기만 하면 되고 별도로 어떤 파일을 여는 과정이 불필요하기 때문에 특히 위험하다. Shade가 피해자 시스템 침입에 성공하면 중앙(C&C) 서버로부터 암호화키를 받으며 서버 사용이 불가능할 경우에 대비하여 자체 암호화키도 예비로 보유하고 있다. 이는 랜섬웨어가 일단 침투하고 나면 피해자 컴퓨터에서 인터넷 연결을 끊는다 해도 예정대로 작동할 수 있음을 의미한다. Shade가 암호화할 수 있는 파일유형은 MS오피스 문서, 이미지, 압축파일 등 150종이 넘으며 암호화 과정에서 파일 이름 뒤에 .xtbl 또는 .ytbl 확장자를 추가한다. 암호화가..
-
다목적 랜섬웨어 등장카테고리 없음 2016. 8. 1. 14:16
랜섬웨어는 이제 빠른 배포에 그치지 않고 암호화 외에 추가기능까지 생겨나고 있다. 2016년 2월 최초 발견된 Cerber 랜섬웨어는 처음 알려질 당시만 해도 피해자에게 돈을 요구하는 메시지를 음성으로 전달하는 등 음산한 면도 있었으나 기본적으로는 파일복구를 대가로 돈을 요구하는 단순한 구조를 가지고 있었다. 그러나 오늘날 Cerber 최신버전은 피해자 컴퓨터의 파일을 암호화시키는 데서 나아가 그 컴퓨터를 봇넷에 연결된 좀비PC로 만들어 버리기까지 한다. Cerber가 이메일첨부물을 통해 배포되고 실행되면 우선 파일을 암호화시키고 해당 파일의 복구 대가로 돈을 요구한다. 그런데 Cerber는 여기에서 그치지 않고 인터넷 연결을 제어하며 이렇게 되면 피해자 컴퓨터는 분산서비스공격(distributed de..