악성코드에 해당하는글 46




근래 사이버보안에서 화제가 되고 있는 랜섬웨어는 전염병 수준으로 창궐하고 있으며 금방 사라지기 어려운 위협이다. 랜섬웨어의 역사는 크게 데이터 암호화 전후로 나눌 수 있다. 오늘날에는 데이터를 암호화하는 유형인 cryptor가 주류를 이루고 있지만 이에 앞서 먼저 등장한 건 blocker 랜섬웨어였다. blocker 랜섬웨어는 운영체제나 브라우저 접근을 차단하고 이를 복구하는 대가로 돈을 요구한다. 당시 금전지급은 주로 기부 등에 사용되는 문자메시지 코드나 전자지갑을 통한 송금 등으로 이루어졌다. 보안전문가와 수사기관 측에서는 이러한 지급과정에 착안하여 공격자를 적발해 냈다. 전자결제 관련 규제가 진화함에 따라 위험부담 가중으로 랜섬웨어의 수익성도 떨어졌으며 용의자 적발 또한 늘어났다.


그러나 최근 몇 년 동안 비트코인이 급부상하고 사이버범죄의 주목을 받기 시작하면서 상황은 달라졌다. 비트코인은 전자자산이자 추적이나 규제가 불가능한 결제시스템으로 범죄자에게는 아주 매력적인 수단이다. 또한 랜섬웨어의 방식 자체도 브라우저나 운영체제 접근을 차단하는 대신 데이터를 암호화하는 방향으로 바뀌었다. 운영체제는 사용할 수 없게 돼도 다시 설치하면 그만이지만 개인 파일은 고유한 내용을 가지고 있기 때문에 대체 불가능하다. 공격자는 이를 악용하여 거액의 합의금을 요구할 수 있으며 개인에 대해서는 수백 달러 그리고 기업에 대해서는 수천 달러에 달하는 돈을 뜯어낼 수 있게 됐다. 이러한 랜섬웨서 세대교체는 오래 걸리지 않았으며 2015년 말 랜섬웨어 공격 건수는 눈덩이처럼 불어났다.


카스퍼스키 측 분석에 따르면 랜섬웨어 공격은 2014-2015년 13만 건에서 2015-2016년 72만 건으로 1년 새 무려 5배나 증가했다. 랜섬웨어 공격이 가장 많이 발생하는 국가는 러시아, 카자흐스탄, 이탈리아, 독일, 베트남, 알제리, 브라질, 우크라이나, 미국이다. 하지만 동구권이나 동남아 그리고 남미 등지의 랜섬웨어는 비교적 구형이고 위험성도 떨어지는 blocker 랜섬웨어 비중이 크다. 반면 미국은 cryptor 랜섬웨어 공격이 전체의 40%에 달하며 이탈리아와 독일의 경우 사실상 cryptor가 랜섬웨어와 동의어로 취급될 정도다.



2015-2016년 대세인 랜섬웨어 트로이목마는Teslacrypt, CTB-Locker, Scatter, Cryakl이다. 특히 Teslacrypt의 경우 전체 공격의 절반 가까이를 차지하며 이들 4개 랜섬웨어는 전체 랜섬웨어의 80%에 달한다. TeslaCrypt와 Cryakl의 경우 카스퍼스키 솔루션으로 복호화 가능하다.



랜섬웨어는 초기에는 주로 개인 사용자를 노렸으나 암호화 랜섬웨어가 대세가 된 이후로는 기업에 대한 공격이 늘어났다는 사실도 주목할 만하다. 기업사용자에 대한 공격은 2014-2015년 6.8%에서 2015-2016년 13.13%로 증가했다.





랜섬웨어 피해방지요령


1. 주기적으로 백업


2. 카스퍼스키 솔루션 등 강력한 보안솔루션 사용


<참고: 카스퍼스키 안티바이러스 상세정보>


3. 주기적으로 소프트웨어 업데이트


4. 최신 보안소식 확인


5. 랜섬웨어 감염이 발생해도 섣불리 돈을 먼저 지불하지 않고 아래와 같은 방법을 시도한다.

(1) blocker 랜섬웨어의 경우 카스퍼스키 WindowsUnlocker 툴 사용

(2) cryptor 랜섬웨어의 경우 NoRansom.kaspersky.com 통해 해당 랜섬웨어에 대한 복호화가 가능한지 확인




Alex Drozhzhin, Ransomware’s history and evolution in facts and figures, 6. 22. 2016.

https://usblog.kaspersky.com/ransomware-blocker-to-cryptor/7327/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.03 14:26



현금자동지급기(automated teller machine, ATM)는 줄곧 범죄자들의 공격대상이었으며 이제는 옛날처럼 폭약이나 절삭기를 사용하는 방법이 아닌 해킹의 표적이 되고 있다. 카스퍼스키 해킹테스트 전문가 Olga Kochetova는 2016 SAS 컨퍼런스에서 'Malware and non-malware ways for ATM jackpotting'이라는 발표를 통해 ATM의 해킹 취약성을 설명했으며 그 내용은 다음과 같다.


1. ATM은 기본적으로 컴퓨터에 해당하며 산업용 컨트롤러 등 각종 하위시스템을 포함하기는 하지만 중앙시스템은 일반적으로 볼 수 있는 PC로 구성된다.


2. 이러한 중앙 PC는 윈도XP와 같은 구형 운영체제를 사용할 가능성이 대단히 높다. 윈도XP는 마이크로소프트 지원이 중단된 상태기 때문에 지원종료 이후 발견되는 취약점은 향후 영구히 보완될 수 없는 제로데이 취약점이 되며 이러한 취약점은 상당히 많을 수 있다.



3. ATM 시스템을 구동하는 소프트웨어에도 취약점이 다수 존재할 가능성이 높다. 이러한 취약 소프트웨어는 9000여 종의 버그가 있다고 알려진 구형 플래시 플레이어에소부터 원격지원 툴까지 아주 다양하다.




4. ATM 제조자 측에서는 ATM이 언제나 정상적인 여건에서 작동되며 달리 돌발상황은 없다고 가정하는 경향이 있다. 따라서 소프트웨어 무결성 제어, 안티바이러스 솔루션, 현금지급명령을 내리는 어플리케이션에 대한 인증 등 보안대책도 전무하다.



5. ATM의 현금보관 및 현금지급 부분에 대해서는 안전에 많은 주의가 기울여지는 반면 컴퓨터 부분은 어렵지 않게 접근 가능하다. 컴퓨터 부분 외벽 재질은 플라스틱이나 얇은 금속이 고작이며 잠금장치 또한 안전을 담보하기에는 너무 단순하다. ATM 제조자는 돈이 들어있지 않다면 크게 안전하지 않아도 된다는 식으로 생각하는 경향이 있다.


6. ATM의 각 모듈은 COM 및 USB 포트와 같은 표준 인터페이스로 연결돼 있다. 그런데 이들 인터페이스는 외부에서 접속 가능한 경우도 있으며 그렇지 않다 해도 위에서 언급한 물리적 보안의 허술함을 잊어서는 안 된다.


7, ATM은 작동원리상 반드시 네트워크에 연결돼 있어야 하며 인터넷이라는 가장 값싼 통신수단이 존재하기 때문에 ATM은 인터넷을 통해 프로세스 센터와 연결된다. 실제로 Shodan 검색엔진을 사용하면 인터넷을 통해 ATM에 접속할 수 있다.


이상의 문제를 고려한다면 ATM 범죄기회는 아주 다양하게 창출될 수 있다. 예를 들어 맬웨어를 ATM 시스템에 설치하여 돈을 빼돌릴 수 있으며 실제로 ATM에 특화된 트로이목마 사례가 종종 등장한다. 카스퍼스키는 2014년 Tyupkin이라는된이름의 ATM 악성코드를 포착한 바 있다.

ATM에서 카드 없이 현금을 인출하는 장면 https://www.youtube.com/watch?v=QZvdPM_h2o8


한편 ATM의 USB 포트에 연결 가능한 하드웨어를 사용하는 방법도 있다. 위 발표에서 Olga Kochetova와 Alexey Osipov는 와이파이 어댑터와 배터리가 부착된 싱글보드 컴퓨터 라즈베리파이(Raspberry Pi)를 통해 ATM 해킹과정을 시연했다. 인터넷을 통한 공격은 더욱 치명적일 수 있다. 해커가 가짜 프로세스센터를 구현하거나 원래 프로세스센터를 해킹한다면 물리적 접근 없이 수많은 ATM을 해킹할 수 있다. Carbanak 그룹의 10억 달러 해킹사례를 보면 은행 네트워크의 중요 PC를 장악하여 ATM으로 직접 명령을 전송할 수 있었다.

라즈베리파이 통한 ATM 해킹 https://www.youtube.com/watch?v=ksEmXuV324I


따라서 은행과 ATM 제조자는 금융 기기의 보안에 더욱 주의를 기울여야 한다. 소프트웨어와 하드웨어 양 측면에서 보안조치를 재검토하고 네트워크 인프라의 보안을 강화하는 등의 조치가 필요하다. 또한 위협에 대한 신속한 대응 그리고 수사기관 및 보안업체와 긴밀히 협조도 중요하다.




Alex Drozhzhin, 7 reasons why it’s oh so easy for bad guys to hack an ATM, 2. 17. 2016.

https://usblog.kaspersky.com/7-reasons-why-its-oh-so-easy-for-bad-guys-to-hack-an-atm/6711/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.03 14:16


최근 영어권과 러시아권에서 발견된 Ded Cryptor라는 랜섬웨어 트로이목마는 2비트코인(1300달러)이라는 거액을 요구하며 아직 복호화 솔루션도 존재하지 않는 상태다. Ded Cryptor에 감염된 컴퓨터의 배경화면은 아래와 같이 산타클로스와 함께 금전요구가 나오는 그림으로 바뀐다.




Ded Cryptor 랜섬웨어의 배경에는 사실 상당히 복잡한 이야기가 얽혀 있다. 터키 보안전문가 Utku Sen은 랜섬웨어를 제작하고 해당 코드를 개발자 협업채널인 GitHub에 공개했다. 이는 사이버공격자가 해당 코드를 토대로 악성코드를 직접 제작하도록 유도하고 미리 심어둔 백도어를 통해 이들의 행동양상을 이해하려는 전략이었다. Sen은 이보다 앞서 교육 및 연구 목적으로 Hidden Tear라는 이름의 랜섬웨어 프로젝트도 진행하고 있었다. 그는 이후 오프라인에서도 작동 가능한 신종 랜섬웨어를 개발했으며 이를 토대로 EDA2라는 강력한 랜섬웨어가 만들어졌다. EDA2는 Hidden Tear에 비해 개선된 비대칭 암호화방식을 채택했으며 C&C 서버와 통신하면서 서버에 전송하는 키를 암호화시킨다. 피해자에게는 아래와 같이 엽기적인 사진을 보여주기도 한다.



EDA2 소스코드 또한 GitHub에 공개됐으며 이는 많은 주목과 비판을 불러들였다. 실제로 이 소스코드는 랜섬웨어 공격에 악용될 수 있었으며 Sen 또한 이를 이해하고 있었다. 그는 자신이 공개한 랜섬웨어에 미리 백도어를 삽입해 뒀으며이를 통해 복호화 키를 수집할 수 있었다. 랜섬웨어가 작동할 경우 해당 C&C 서버의 URL을 알아내고 복호화키를 추출하여 이를 피해자에게 배포하는 과정을 염두에 두고 있었던 것이다. 그런데 이를 위해서는 피해자 측에서 먼저 Sen의 존재를 알아야 하는데 사실 실제 피해자의 대부분은 그의  존재를 전혀 모르는 상태였으며 따라서 복호화키 배포에 시간이 걸린다는 점이 이 방식의 약점이었다.


Hidden Tear 및 EDA2를 응용한 랜섬웨어는 오래지 않아 등장했으며 Hidden Tear의 경우 위에서 소개한 방식대로 복호화키가 피해자들에게 배포될 수 있었다. 하지만 EDA2를 응용한 Magic 랜섬웨어의 경우 공격자 측에서 무료 호스트를 통해 C&C 서버를 운용했으며 호스트 측에서는 악성활동에 대한 신고에 대응하여 별도의 조치 없이 해당 사이버공격자의 계정과 파일을 삭제해 버렸기 때문에 본래 예정됐던 백도어를 통한 복호화키 추출이 불가능해졌다. Magic 랜섬웨어 제작자들은 여기에서 나아가 Sen과 접촉했으며 이들의 대화는 오랜 논란으로 이어졌다. Magic 제작자 측에서는 Sen이 EDA2 소소코드를 공개도메인에서 삭제하고 3비트코인을 지불한다면 자기네 복호화키를 공개하겠다는 제안을 내놨다. 이 과정에서 기존 피해자에 대한 금전요구는 없던 일이 된다는 합의도 도출됐다. 결국 Sen은 EDA2와 Hidden Tear의 소소코드를 GitHub에서 삭제했지만 이미 너무 늦은 상황이었다. 2015년 2월 2일 카스퍼스키 전문가 Jornt van der Wiel은 SecureList에 게재한 글을 통해 Hidden Tear 및 EDA2 기반 암호화툴이 24개에 달한다고 밝혔으며 이 수는 이후 계속 늘어났다.


Ded Cryptor는 바로 이 EDA2 소소코드를 기반으로 제작됐으며 다만 공격자 측 보안과 익명성 강화를 위해 Tor 네트워크를 통해 C&C 서버가 운용되며 tor2web 서비스를 통해 서버와의 통신이 이루어진다. Ded Cryptor 제작과정에서 프록시서버 코드는 다른 GitHub 개발자로부터 전달됐으며 암호화키 요청 코드는 제3자 개발자가 작성하는 등 여러 출처로부터 덕지덕지 만들어진 느낌이 강하다. Ded Cryptor는 서버와 직접 통신하지 않고 감염시킨 컴퓨터에 프록시 서버를 설정하고 이를 통해 서버와 통신한다는 점이 특이하다.


Ded Cryptor 제작자는 Magic 랜섬웨어와 마찬가지로 러시아어 사용자로 추정된다. 우선 금전지급 요구가 영어 및 러시아어로만 돼 있다. 그리고 카스퍼스키 선임맬웨어분석가 Fedor Sinitsyn의 분석 결과 C:\Users\sergey\Desktop

\доделать\eda2-master\eda2\eda2\bin\Release\Output\TrojanSkan.pdb 라는 파일경로가 발견되기도 했다. Ded Cryptor 배포경로에 대해서는 별로 알려진 내용이 없으며 다만 카스퍼스키에 다르면 러시아에서 가장 많이 발견되고 중국 독일, 베트남, 인도 등에서도 발견빈도가 높다고 한다.



Ded Cryptor는 앞서 언급했듯 현재로써는 복호화 수단이 존재하지 않으며 다만 운영체제에서 사전에 생성한 숨은 사본이 있을 경우에만 복구가능성이 있기 때문에 예방이 정말 중요하다. 카스퍼스키 솔루션의 경우 Hidden Tear 및 EDA2 기반 트로이목마를 탐지할 수 있고 Trojan-Ransom.MSIL.Tear를 탐지할 경우 이를 사용자에게 알리며 또한 랜섬웨어 작동을 차단하고 암호화를 방지할 수 있다.


<참고: 카스퍼스키 안티바이러스 상세정보>




John Snow, Ded Cryptor: Greedy ransomware with open-source roots, 7. 8. 2016.

https://usblog.kaspersky.com/ded-cryptor-ransomware/7379/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.02 16:04


Shade는 2015년 초 등장한 랜섬웨어며 주로 악성스팸이나 취약점악용(exploit kit)을 통해 배포된다. 취약점악용의 경우 피해자가 감염된 웹사이트를 방문하기만 하면 되고 별도로 어떤 파일을 여는 과정이 불필요하기 때문에 특히 위험하다.



Shade가 피해자 시스템 침입에 성공하면 중앙(C&C) 서버로부터 암호화키를 받으며 서버 사용이 불가능할 경우에 대비하여 자체 암호화키도 예비로 보유하고 있다. 이는 랜섬웨어가 일단 침투하고 나면 피해자 컴퓨터에서 인터넷 연결을 끊는다 해도 예정대로 작동할 수 있음을 의미한다. Shade가 암호화할 수 있는 파일유형은 MS오피스 문서, 이미지, 압축파일 등 150종이 넘으며 암호화 과정에서 파일 이름 뒤에 .xtbl 또는 .ytbl 확장자를 추가한다. 암호화가 완료되면 아래와 같이 금전지급 요구가 화면에 표시된다. 한편 Shade는 암호화를 끝내고 나서도 다른 맬웨어를 다운받는 등 지속적으로 활동한다


카스퍼스키는 네덜란드경찰, 유로폴, 인텔시큐리티(Intel Security)와 연합하여 랜섬외어 복호화툴을 모으고 배포할 목적으로  NoMoreRansom.org라는 웹사이트를 개설했다. 이번에 사이트 개설과 함께 Shade 랜섬웨어 복호화툴이 추가됐으며 사용방법은 다음과 같다.


1. NoMoreRansom.org 방문


2. 인텔시큐리티 또는 카스퍼스키 측 다운로드 링크 선택 (이하 내용은 카스퍼스키 복호화툴 기준으로 작성)


3. ShadeDecryptor.zip 압축 풀고 ShadeDecryptor.exe 실행


4. 실행창에서 Change parameters 클릭



5. 암호화파일을 스캔할 드라이브 선택



6. Delete crypted files after decryption은 복호화가 끝나고 나서 암호화된 파일을 자동 삭제하는 옵션이지만 파일이 완전히 복구됐는지 확신할 수 없다면 이 옵션은 권장하지 않는다.


7. OK를 선택하여 실행창으로 돌아오고 Start scan 클릭



8. Specify the path to one of encrypted files 창에서 암호화된 파일 하나를 선택하고 Open 클릭


9. 만약 피해자의 ID를 자동 탐지할 수 없다는 메시지가 뜬다면 금전지급요구와 피해자 ID가 기재된 readme.txt로 파일경로를 지정하면 된다.


<참고: 카스퍼스키 안티바이러스 상세정보>




Alex Drozhzhin, No More Ransom, 7. 25. 2016.

https://usblog.kaspersky.com/shade-decryptor/7441/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.02 13:44



랜섬웨어는 이제 빠른 배포에 그치지 않고 암호화 외에 추가기능까지 생겨나고 있다. 2016년 2월 최초 발견된 Cerber 랜섬웨어는 처음 알려질 당시만 해도 피해자에게 돈을 요구하는 메시지를 음성으로 전달하는 등 음산한 면도 있었으나 기본적으로는 파일복구를 대가로 돈을 요구하는 단순한 구조를 가지고 있었다. 그러나 오늘날 Cerber 최신버전은 피해자 컴퓨터의 파일을 암호화시키는 데서 나아가 그 컴퓨터를 봇넷에 연결된 좀비PC로 만들어 버리기까지 한다. Cerber가 이메일첨부물을 통해 배포되고 실행되면 우선 파일을 암호화시키고 해당 파일의 복구 대가로 돈을 요구한다. 그런데 Cerber는 여기에서 그치지 않고 인터넷 연결을 제어하며 이렇게 되면 피해자 컴퓨터는 분산서비스공격(distributed denial of service, DDoS)이나 스팸전송 등에 활용되는 좀비PC가 된다. 이는 근래 맬웨어가 다목적으로 여러 악성코드를 가지고 있는 경향을 반영하는 사례다.


사실 여러 악성코드를 담은 랜섬웨어는 Cerber 이전에도 목격된 바 있다. Petya 랜섬웨어의 경우 피해자 컴퓨터의 하드드라이브 전체를 암호화하는 데 필요한 승인을 얻기 위해 Mischa 악성코드를 동반한다. CryptXXX 랜섬웨어의 경우 기본적인 암호화 외에 피해자의 개인정보와 비트코인을 훔칠 수 있는 기능까지 가지고 있다.


이렇게 여러 기능을 보유한 랜섬웨어는 기존의 단순한 랜섬웨어에 비해 훨씬 큰 피해를 야기할 수 있으며 따라서 예방의 중요성 또한 더욱 커진다. 사실 Cerber와 같은 랜섬웨어는 감염시 영향은 치명적이지만 충분히 예방할 수 있다. 이메일 주의, 주기적 백업, 운영체제 및 어플리케이션 패치 최신으로 유지, 강력한 보안솔루션 사용 등의 수칙을 따름으로써 랜섬웨어 감염을 예방하고 설령 감염이 발생할지라도 그 피해를 최소화할 수 있다. Kaspersky Lab 보안솔루션은 Cerber 랜섬웨어를 Trojan-Ransom.Win32.Zerber라는 이름으로 탐지해 낼 수 있다.



<참고: 카스퍼스키 안티바이러스 상세정보>




Sarah Pike, Multipurpose malware: Sometimes Trojans come in threes, 5. 27. 2016.

https://usblog.kaspersky.com/cerber-multipurpose-malware/7201/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.01 14:16



바이퍼(VIPRE) 안티바이러스가 AV-Comparatives 테스트에서

차단율 100%에 오인탐지 0건을 달성하여 다시금 최고점을 획득했다.


ThreatTrack이 선보이는 강력한 안티바이러스 소프트웨어 바이퍼는 최근 실시된 AV-Comparatives 실제보호성능(Real-World Protection) 테스트에서 차단율 100%에 오인탐지 0건을 기록했으며 최고등급인 Advanced+ 등급을 부여받았다. 지난 2개월 동안 차단율 100%에 오인탐지 0건을 기록한 안티바이러스로는 바이퍼가 유일하다. AV-Comparatives 2016년도 상반기 안티바이러스 소프트웨어 성능평가결과는 다음 링크 참조.


ThreatTrack 제품담당수석 Usman Choudhary는 다음과 같이 설명한다. "ThreatTrack은 2016년 초 신형 바이퍼 안티맬웨어 엔진을 선보인 이후 고객에게 업계 최고의 보안서비스를 제공해 왔다. 이번 AV-Comparavies 테스트 결과는 개인사용자, 기업, 정부기관, 교육기관 등 모든 바이퍼 고객에게 우수하고 안정적인 바이퍼의 성능을 잘 보여준다." 이번 AV-Comparatives 테스트를 통해 ThreatTrack의 안티바이러스 소프트웨어와 엔드포인트 보안솔루션은 동종 최고의 수준임이 입증됐다.


<참고: 바이퍼 안티바이러스 상세정보>




VIPRE Security News, VIPRE Earns the Highest Rating From AV-Comparatives…Again!, 7. 28. 2016.

https://blog.vipreantivirus.com/featured-article/vipre-earns-highest-rating-av-comparativesagain/


번역: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.08.01 13:24



Petya 및 Mischa 랜섬웨어 제작자들이  '업계 경쟁세력'에게 일격을 날렸다. 우선 이른바 랜섬웨어서비스(Ransomware-as-a-Service, RaaS)라는 방식으로 랜섬웨어 변종을 대량 배포함으로써 일반인도 범죄의지만 있다면 랜섬웨어로 사이버공격을 행할 수 있는 발판을 마련했다.

참고: http://www.securityweek.com/petya-mischa-ransomware-now-available-service


그리고 Chimera 랜섬웨어에 감염된 시스템에 적용될 수 있다고 주장하면서 3500개의 RSA 개인키를 배포했으며 이는 라이벌 세력인 Chimera 랜섬웨어의 활동을 방해하려는 의도로 보인다. 해당 키는 Pastebin에 게재됐으며 게시글에서는 이를 통해 복호화툴을 만드는 데 도움이 될 수 있다고 밝히고 있다.

참고: http://pastebin.com/7HrZCsmT


Mischa 제작자들이 작성한 내용은 다음과 같다. "2016년 초 우리는 Chimera 랜섬웨어 개발과정에 상당부분이 접근할 수 있었으며 이에 따라 Chimera를 우리 프로젝트에 포함시켰다. 아울러 Chimera에 대한 복호화키 3500개를 공개 배포한다."


해당 복호화키가 실제로 Chimera 랜섬웨어로 암호화된 파일을 복호화할 수 있는지 판별하고 이를 통해 복호화 프로그램이 제작돠려면 시간이 거릴 수밖에 없지만 적어도 가능성은 생겼으므로 Chimera 랜섬웨어 피해자는 섣불리 파일을 삭제하지 말고 기다리는 것도 방법이 될 수 있겠다. 하지만 앞서 언급한 RaaS를 통해 참여자에게 랜섬웨어를 배포하여 수익을 챙길 수 있는 기회를 주는 방식이 출현했으며 상당기간 널리 퍼지리라 예상되므로 결코 주의를 늦출 수는 없다.


컴퓨터기술포럼 BleepingComputer.com 설립자 Lawrence Abrams는 "이번 일을 계기로 Petya 및 Mischa 랜섬웨어의 배포가 더욱 활발하게 일어날 가능성이 높다."는 의견을 피력했다.



Lisa Vaas, Chimera ransomware keys leaked by rival malware developers, 7. 28. 2016.

https://nakedsecurity.sophos.com/2016/07/28/chimera-ransomware-keys-leaked-by-rival-malware-developers/


번역⋅요약: madfox




참고링크 


<유료안티바이러스 제품비교>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.07.29 16:40

ThreatTrack 연구진은 최근 Zepto 랜섬웨어 배포수단으로 윈도스크립트파일(WSF, windows scripting file) 압축파일을 첨부한 스팸이 다량 유포되는 현상을 포착했다. 이 수법은 기존에 흔히 쓰인 자바스크립트나 매크로문서 스팸에서 바뀐 것이다. 아래는 이러한 종류의 소셜엔지니어링(social engineering) 수법을 보여주는 실제 이메일이다.










ThreatAnalyzer 분석


위 스팸메일의 WSF를 추출하여 ThreatAnalyzer 맬웨어분석 샌드박스를 통해 분석한 결과는 다음과 같다.




WSF에서 문제되는 부분은 스크립트며 따라서 WScript.exe의 요청트리(call tree)가 판단의 주안점이 됐다.


변경된 파일의 수가 많다는 점은 해당 스크립트가 바이러스나 랜섬웨어일 가능성이 높음을 의미한다.


분석결과 두 장의 스크린샷이 잡혔다.



한편 MODIFED FILES 항목을 펼친 결과는 다음과 같다.




감염된 파일에는 .zepto라는 확장자가 붙게 된다. 위 스크린샷과 파일변경내용으로 볼 때 본 샘플은 Zepto 랜섬웨어의 변종이라고 할 수 있다.



WSF 스크립트 행동양상


C:\Windows\System32\WScript.exe (3388)를 선택하면 WSF 자체의 행동결과를 확인할 수 있다.

-



WSF는 우선 두 개의 파일(UL43Fok40ii, UL43Fok40ii.exe)을 생성하고 mercumaya.net에 대한 HTTP 접속을 개시했다.


아래는 UL43Fok40ii 바이너리 표시다.



아래는 UL43Fok40ii.exe로 PE 파일형식으로 돼 있다.



이들 두 파일을 비교해 보면 각각 용량이 208008바이트와 208004바이트로 그 차이가 4바이트에 불과한데 이를 통해 .exe 확장자가 없는 파일은 복호화를 거쳐 PE 실행파일로 만들어졌다는 추측이 가능하다.


이후 WSF스크립트가 전달인자(arguement) 321을 통해 PE 실행파일을 구동했다.





호스트 주소에 com.my라는 접미어가 들어간다는 사실로 볼 때 서버 위치는 말레이시아로 추정된다.


HTTP 헤더를 봐도 컨텐츠 용량이 208008바이트임을 볼 수 있으며 이는 앞서 본 암호화된 파일의 용량과 동일하다.

WScript.exe가 실행하 WSF 파일은 Windows PE 파일을 다운받아 복호화한 다음 실행시켰다.



다운로드 PE 실행파일


이제 UL43Fok40ii.exe에 대해 살펴본다. 아래 그림에서 판단할 수 있는정보는 다음과 같다.

•  우크라이나에 위치한 일부 정보 게시

•  수백 개의 파일에 접근

•  기본브라우저 실행(본 분석의 경우 크롬)

•  cmd.exe가 포함된 파일 삭제

•  공유폴더 접속

•  파일이 암호화된 모든 폴더에 대해 _HELP_instructions.html 안내문을 생성

•  쓰레드 10개 생성





우크라이나 사이트에 게시된 데이터는 암호화돼있는데 파일 암호화에 필요한  id와 키를 포함하고 있다 추정된다.



ThreatAnayzer 분석결과를 통해 1차(raw) 데이터는 16진법 표시로 볼 수 있다. 1차 데이터를 부분적으로 변환한 결과는 다음과 같다.



아울러 여러 파일의 이름이 변경됐다. 파일이 암호화되는 과정에서 GUID filename을 통해 암호화된 파일 명칭의 접미부분에 .zepto를 붙게 된다.



파일검색을 보면 드라이브 루트 디렉토리로 들어가기에 앞서 연락처 파일를 먼저 노리게 된다.



아래는_HELP_instructions.bmp 파일의 컨텐츠를 보여주는 스크린샷이다.



본 맬웨어 샘플은 구동 중인 실행파일을 Temp 폴더의 파일로 옮기려 한다.



기본브라우저로 설정된 크롬을 통해 바탕화면에 생성된 _HELP_instructions.html이 열린다.

또한 Temp 폴더의 맬웨어 사본이 삭제되는데 이는 사후정리 과정의 하나로 생각된다.


_HELP_instructions.html을 브라우저에서 열면 아래와 같이 나타난다.



Chrome.exe 하부의 프로세스요청트리는 Zepto 악성코드와는 별개로 브라우저에 의해서만 개시됐을 가능성이 높다.




랜섬웨어 방지


오늘날  Zepto와 같은 랜섬웨어의 배후세력은 기업과 정부기관을 침투하기 위해 다양한 방법을 공격적으로 모색하고 있으며 본 사례는 랜섬웨어에 흔히 쓰이는 자바스크립트나 오피스 매크로에서 벗어나 WSF 첨부물을 필터링하지 않는 이메일 게이트웨이 통과를 시도했던 경우에 해당한다.


랜섬웨어와 같은 정교한 위협의 피해를 막기 위해서는 VIPRE Endpoint Security와 같은 지능형 엔드포인트 보안솔루션, ThreatAnalyzer와 같은 맬웨어행동분석툴, ThreatSecure와 같은 사이버공격 방어솔루션 등의 솔루션이 필요하며 중요 데이터를 주기적으로 백업해야 한다.


<참고: ThreatAnalyzer 맬웨어분석 샌드박스> 


<참고: VIPRE 엔드포인트 보안솔루션> 





ThreatTrack Security Labs, Zepto Ransomware Packed into WSF Spam, 7. 25. 2016.

https://blog.threattrack.com/ransomware-packed-into-wsf-spam/


번역: madfox




참고링크 


<유료안티바이러스 제품소개>

COMMENT : 0 TRACKBACK : 0

카테고리

분류없음

날짜

2016.07.27 14:39

위로가기