ASEC REPORT VOL 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

Similar documents
Scene7 Media Portal 사용

ASEC REPORT VOL.80 August, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작

월간 CONTENTS 3 EXPERT COLUMN 영화 오블리비언과 C&C 서버 4 PRODUCT ISSUE 안랩, 새로워진 'V3 모바일 시큐리티' 출시 고도화되는 모바일 위협, 해답은? 6 SPECIAL REPORT 유포 방법에서 예방까지 모바일 랜

ASEC REPORT VOL.81 September, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC

목차 01. 개요 감염경로 워너크립터동작방식 ) 동작과정상세분석 ) 감염증상 ) 파일암호화및복호화방식 안랩대응현황 AhnLab, Inc. All rights reserved.

월간 CONTENTS 3 EXPERT COLUMN 영화 같은 은행 해킹 사건 5 SPECIAL REPORT 눈 앞에 나타난 사회기반시설 공격의 실체 10 SPOTLIGHT 안랩, 산업군별 ISF Square 2016 진행 고객의 고민을 듣다, 대응 전략

ASEC REPORT VOL.83 November, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에

uFOCS

ASEC REPORT VOL.82 October, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서

< FBFF9B0A320BEC7BCBAC4DAB5E520C0BAB4D0BBE7C0CCC6AE20C5BDC1F620B5BFC7E220BAB8B0EDBCAD283131BFF E302028C8A8C6E4C0CCC1F620BEF7B

< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 2 - 유포지탐지 국가별현황 2 - 대량경유지가탐지된유포지 TOP 악성코드유형별비율 4 - 악성코드취약점유형별비율 4 - 악성코드수집및분석결과 5 - 경유지탐지 업종별비율 9 3. 악성코

ASEC REPORT VOL.76 April, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성

목차 Part Ⅰ 9 월의악성코드통계 악성코드통계... 3 (1) 감염악성코드 Top (2) 카테고리별악성코드유형... 4 (3) 카테고리별악성코드비율전월비교... 4 (4) 월별피해신고추이... 5 (5) 월별악성코드 DB 등록추이...

ASEC REPORT VOL.79 July, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하

PowerPoint 프레젠테이션

ASEC REPORT VOL.73 January, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서

ESET Endpoint Security

ASEC REPORT VOL.85 January, 2017 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC에서작성

Security Trend ASEC Report VOL.56 August, 2014

Security Trend ASEC REPORT VOL.68 August, 2015

*2008년1월호진짜

Microsoft Word - HD-35 메뉴얼_0429_.doc

사용 설명서 이용 안내 사용 설명서의 내용은 제품의 펌웨어 버전에 따라 사용자에게 통보 없이 일부 변경될 수 있습니다. 제품의 특장점 기능을 살펴보려면 '특장점' 6쪽을 참조하세요. 제품 사용 중 문제가 발생하면 'A/S를 신청하기 전에' 53쪽을 참조하세요. 제품에

EQST Insight_201910

Microsoft Word - eClipse_사용자가이드_

ESET NOD32 Antivirus

차례 기본 기능 5 기본 구성품 6 각 부분의 이름 8 전원 켜기 8 전원 끄기 9 Nano-SIM 카드 사용하기 11 배터리 충전하기 13 홈 화면 사용하기 19 잠금화면 사용하기 24 터치 화면 사용하기 26 화면 캡처하기 28 문자 입력하기 앱 35 앱 설치/삭제

2 라이선스 라이선스 돌비 래버러토리스의 허가를 얻어 제조한 제품입니다. 돌비 및 더블 D 심볼은 래버러토리스의 상표입니다. DivX 비디오에 관하여 DivX 는 Rovi Corporation 의 자회사 DivX, LLC가 개발한 디지털 비디오 포맷입니다. 본 제품은

1

CyberLink Media Suite

1. 개요 전세계적으로많은피해를일으키고있는랜섬웨어는 년 월국내에 광범위하게유포되기시작하여 년에급격하게증가하였다 랜섬웨어 는이용자의데이터 시스템파일 문서 이미지등 를암호화하는악성코드로 몸값 과소프트웨어 의합성어로시스템을잠그거나 데이터를암호화해사용할수없도록하고이를인질로금전

목차 1. 개요 배경 파일정보 상세분석 SMB 취약점공격흐름 특징적인행위 대응

ASEC REPORT VOL 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

ActFax 4.31 Local Privilege Escalation Exploit

Windows 10 General Announcement v1.0-KO

LG전자 서비스 센터 안내 사용 중 문의/불편 사항은 서비스센터 방문 전에 전화로 문의하세요 , , (수신자 부담) 상담원과 원격으로 사용자 휴대전화를 진단 및 상담할 수 있는 LG전자 원격상담 서비스도 가능합니

con_using-admin

ASEC REPORT VOL 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

1

FMX M JPG 15MB 320x240 30fps, 160Kbps 11MB View operation,, seek seek Random Access Average Read Sequential Read 12 FMX () 2

CyberLink YouCam µµ¿ò¸»

untitled

server name>/arcgis/rest/services server name>/<web adaptor name>/rest/services ArcGIS 10.1 for Server System requirements - 지

ASEC REPORT VOL.71 November, 2015 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에

Security Trend ASEC REPORT VOL.70 October, 2015

월간 CONTENTS 3 EXPERT COLUMN 영화 점퍼 와 트로이목마 4 SPECIAL REPORT 패치 관리의 한계와 AhnLab Patch Management 핵심은 패치 관리, 왜? 8 HOT ISSUE 2016년에 챙겨봐야 할 개인정보보호

ASEC REPORT VOL 년 2 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

월간악성코드은닉사이트탐지 동향보고서 9 월 침해대응단사이버침해대응본부

사용 전에 반드시 읽고 정확하게 사용해 주세요. 사용 중 문의사항은 , , (수신자 부담)로 문의하세요. 상세 사용 설명서의 화면과 그림은 실물과 다를 수 있습니다. 상세 사용 설명서의 내용은 소프트웨어 버전 또는

Scene7 사용

User Guide

ASEC Report VOL.53 May, 2014 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하며

AVN2100Kor_Ç¥Áö110818F

Red Alert Malware Report

2017 년악성코드은닉사이트탐지동향보고서 ( 상반기 ) 악성코드은닉사이트탐지 동향보고서 17 년상반기 1

<property name="configlocation" value="classpath:/egovframework/sqlmap/example/sql-map-config.xml"/> <property name="datasource" ref="datasource2"/> *

Microsoft Word - ntasFrameBuilderInstallGuide2.5.doc

<BBE7B0EDB3EBC6AE5FC7E3BAEAB0D4C0D32E687770>

08_spam.hwp

2 3

1. 배경 업무 내용이나 개인정보가 담긴 청구서 등을 메일로 전달 시 중요한 정보가 유출되는 경우가 발생하고 있으며, 이에 따른 메일 암호화 솔루션을 도입하고 있으나 기존 ActiveX를 기반으로 한 플러그인 방식은 여러 가지 제약으로 인해 사용성이 저하되고, 고객 대

2 사용하기 전에 안전을 위한 주의사항 1 사용하기 전에 주의사항은 경고 와 주의 의 두 가지로 구분되어 있으며, 의미는 다음과 같습니다. > : 이 그림 기호는 위험을 끼칠 우려가 있는 사항과 조작에 대하여 주의를 환기시키기 위한 기호입니다. 이 기호가 있는 부분은

<%DOC NAME%> (User Manual)

SBR-100S User Manual

월간악성코드은닉사이트탐지 동향보고서 4 월 침해사고대응단인터넷침해대응본부

SMISyncW을 활용한 자막 병합

ASEC REPORT VOL.75 March, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성

HLS(HTTP Live Streaming) 이용가이드 1. HLS 소개 Apple iphone, ipad, ipod의운영체제인 ios에서사용하는표준 HTTP 기반스트리밍프로토콜입니다. 2. HLS 지원대상 - 디바이스 : iphone/ipad/ipod - 운영체제 :

ASEC REPORT VOL 년 4 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안

` 동향보고서 1. 악성코드은닉동향요약 3 2. 홈페이지은닉형악성코드통계 악성코드유포지현황 6 - 유포지탐지현황 6 - 대량경유지가탐지된유포지 TOP 악성코드취약점및취약한 S/W 악용현황 8 - 악성코드유형별비율 9 - 위협 IP 및도메인현황 10

Microsoft PowerPoint Android-SDK설치.HelloAndroid(1.0h).pptx

PI ZH-CN

DDoS 공격, 게임계정유출해커, 비트코인등가상화폐노린다 - 13 년 10 월부터 DDoS, 원격제어, 게임계정유출하더니최근암호화폐채굴 - 개요지난 13 년 10 월,Microsoft 社의인터넷익스플로러취약점 (CVE ) 을통해유포되는악성코드가 DDoS

ASEC REPORT VOL.78 June, 2016 ASEC(AhnLab Security Emergency response Center) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된 글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC 에서작성하

#WI DNS DDoS 공격악성코드분석

DR-M140 사용 설명서

<%DOC NAME%> User Manual

Security Trend ASEC Report VOL.63 March, 2015

07_alman.hwp

Security Trend ASEC REPORT VOL.67 July, 2015

FileMaker 15 WebDirect 설명서

Windows Server 2012

XJ-A142_XJ-A147_XJ-A242_XJ-A247_XJ-A252_XJ-A257_XJ-M141_XJ-M146_XJ-M151_XJ-M156_XJ-M241_XJ-M246_XJ-M251_XJ-M256

Microsoft PowerPoint - 11주차_Android_GoogleMap.ppt [호환 모드]

Microsoft PowerPoint SDK설치.HelloAndroid(1.5h).pptx

< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 악성코드유포지현황 3 - 유포지탐지현황 3 - 대량경유지가탐지된유포지 TOP 악성코드취약점및취약한 S/W 악용현황 5 - 악성코드유형별비율 6 - 위협 IP/ 도메인현황 7 2

Microsoft Word - windows server 2003 수동설치_non pro support_.doc

PowerPoint 프레젠테이션

2. 워너크라이국내확산및피해현황 공격시기 : 2017년 5월 12일 ( 금 ) 전후 국내피해현황 : 구분피해대상피해내용감염경로 글로벌 제조업 제조공정서버및 PC 감염 공장일부 가동중지 글로벌 본사 대기업보안관제센터모니터링 PC 감염 PC 운영중단및포맷인터넷 의료기관대형

untitled

<%DOC NAME%> User Manual


< 목차 > 1. 악성코드은닉동향요약 1 2. 홈페이지은닉형악성코드통계 2 - 유포지탐지현황 2 - 대량경유지가탐지된유포지 TOP 악성코드유형별비율 4 - 악성코드취약점유형별비율 4 - 악성코드수집및분석결과 5 - 경유지탐지 업종별비율 악성코드은닉

컴퓨터관리2번째시간

Secure Programming Lecture1 : Introduction

비디오 / 그래픽 아답터 네트워크 만약에 ArcGolbe를 사용하는 경우, 추가적인 디스크 공간 필요. ArcGlobe는 캐시파일을 생성하여 사용 24 비트 그래픽 가속기 Oepn GL 2.0 이상을 지원하는 비디오카드 최소 64 MB 이고 256 MB 이상을 메모리

Getting Started

2 목차 목차 3 안전을 위한 주의 사항 32 엔터테인먼트 3 제품 설치 시 주의 사항 5 전원 및 AC 어댑터 관련 주의 사항 6 제품 이동 시 주의 사항 6 제품 사용 시 주의 사항 8 제품 청소 시 주의 사항 8 화면 잔상 시 주의 사항 8 리모컨 사용 시 주의

.,,,,,....,. B ( ) (B),. 2

1. 제품 개요 AhnLab Policy Center 4.6 for Windows(이하 TOE)는 관리대상 클라이언트 시스템에 설치된 안랩의 안티바이러스 제품인 V3 제품군에 대해 보안정책 설정 및 모니터링 등의 기능을 제공하여 관리대상 클라이언트 시스템에 설치된 V3

Transcription:

ASEC REPORT VOL.86 2017 년 1 분기 ASEC(AhnLab Security Emergency response Center, 안랩시큐리티대응센터 ) 은악성코드및보안위협으로부터고객을안전하게지키기위하여보안전문가로구성된글로벌보안조직입니다. 이리포트는주식회사안랩의 ASEC에서작성하며, 주요보안위협과이슈에대응하는최신보안기술에대한요약정보를담고있습니다. 더많은정보는안랩닷컴 (www. ahnlab.com) 에서확인하실수있습니다. 2017 년 1 분기보안동향 Table of Contents 보안이슈 SECURITY ISSUE 악성코드감염경로로악용되는 PUP 신화속이름으로나타난 오시리스랜섬웨어 의실체 04 07 악성코드상세분석 ANALYSIS-IN-DEPTH 비너스락커, 올해최악의랜섬웨어되나 12 2

보안이슈 SECURITY ISSUE 악성코드감염경로로악용되는 PUP 신화속이름으로나타난 오시리스 랜섬웨어 의실체

보안이슈 악성코드감염경로로 Security Issue 악용되는 PUP 2017년에도불필요한프로그램 (Potentially Unwanted Programs, 이하 PUP) 을이용한악성코드유포가계속되고있다. 최근에는 PC 최적화프로그램으로위장한파밍악성코드가발견되어사용자들의각별한주의가필요하다. PUP는주로사용자들이유틸리티다운로드시함께설치되는제휴프로그램형태이다. 공격자는배포이후관리가잘되지않는 PUP의보안상허점을노려 PUP 업데이트서버를통해다수의사용자들에게악성코드유포하고있다. 지난 2017년 1분기에 PrimePC 라는이름의프로그램을통해파밍악성코드가유포됐다. PC 최적화프로그램으로위장한해당프로그램은실제로는사용자에게광고를노출하는프로그램이다. 프로그램설치가완료되면 PrimePC 파일이주기적으로업데이트서버와통신하며새로운파일을다운로드하고실행한다. 정상다운로드정보 <item type="update" name=[ 프로그램이름 ] downloadurl="http:// download.lnimarketing.co.kr/updatefile/[ 프로그램이름 ]/[ 버전 ]/[ 파일명 ] " licenseurl="" visible="false" ver=[ 버전 ] installpath="" param="" /> 변조된다운로드정보 <item type="distribute" name= PrimePC downloadurl="update.lnimarketing.co.kr/updatefile/primepc.exe" licenseurl="" visible="false" ver=[ 버전 ] installpath="" param="" /> 표 1-1 정상 PUP 업데이트 URL ( 상 ) / 변조된 PUP 업데이트 URL ( 하 ) 4

[ 랜덤문자열 ].exe 랜덤문자열 ].dll A1.zip - 정상 wshtcpip.dll B1.zip 패치된악성 wshtcpip.dll C1.zip 정상 midimap.dll D1.zip 패치된악성 midimap.dll 표 1-2 생성된파일 해당프로그램은본래특정서버 (http:// update.adplatform kr/update.php) 내 URL 을참조하여업데이트파일을다운로드하는데, 공격자는 [ 표 1-1] 과같이업데이트 URL을변조하여악성코드를다운로드하도록조작했다. 변 조된 PUP 업데이트 URL 을통해사용자 PC 에다운로드및실행된악성코드는 %Temp% 경로에 [ 표 1-2] 과같은파일들을생성한다. 해당악성코드는정상적인프로세스에의해윈도우의 dll 파일이로드되는점을악용해 %System32% 와 %syswow64% 경로내의정상윈도우파일인 wshtcpip.dll 과 midimap.dll 을악 성파일로교체한다. 이로써정상윈도우프로세스실행시악성코드로교체된 dll 파일이실행된다. 정상윈도우파일을악성코드로교체한후에는추 가악성행위를위해 [ 그림 1-1] 과같이호스트파 일을변조한다. 변조된호스트파일로인해사용자는정상포털 및은행사이트대신공격자가만들어놓은피 싱사이트로접속하게된다. 그림 1-1 변조된호스트파일 파밍악성코드에감염된 PC에서웹브라우저를실행하면 [ 그림 1-2] 와같이보안관련인증절차팝업이나타나사용자가정상적으로웹서핑을할수없도록한다. 해당피싱페이지는 전자금융사기예방서비스 가입절차를구실로사용자에게개인정보및계좌번호, 보안카드일련번호, OTP 번호등을입력하도록유도한다. 5

이번사례와같은 PUP 업데이트서버를변조하여파밍악성코드를유포하는사례가지속적으로발견되고있다. PUP를통해유포되는악성코드는대부분 PC의메모리영역이나정상시스템파일을변조하기때문에사용자가감염여부를눈치채지못하는경우가많아각별한주의가필요하다. PUP 로인한악성코드감염피해를예방하기위 그림 1-2 피싱사이트접속유도화면 해서는평소주기적인점검을통해불필요한프 로그램을제거하는것이바람직하다. 특히유틸리티프로그램등을설치할때는설치항목을꼼꼼 히살펴스폰서프로그램또는제휴프로그램은가급적설치하지않아야한다. 또한 V3 등백신프 로그램의엔진을항상최신버전으로유지하는습관도필요하다. <AhnLab 진단정보 > 안랩제품에서는해당파밍악성코드를다음과같은진단명으로탐지하고있다. V3 제품군 : Trojan/Win32.Banki, Win-Trojan/Patched4.Gen MDS: Trojan/Win32.Banki, Trojan/Win32.Patched4 6

보안이슈 신화속이름으로나타난 Security Issue 오시리스랜섬웨어 의실체 대부분의랜섬웨어는파일암호화를완료한후변경하는파일확장자명을따서이름지어진다. 록키 (Locky) 랜섬웨어역시확장자명에따라다양한이름이붙은대표적인랜섬웨어다. 초기의.locky 를 시작으로.thor,.aesir 에이어최근에는.osiris 라는확장자명을가진변형까지새롭게발견됐다. 최근록키랜섬웨어의변종은신화에서이름을차용해온경우가대부분이다. 이리포트에서살펴볼 오시리스랜섬웨어또한이집트신화에등장하는 죽음과부활의신 의이름이다. 오시리스랜섬웨어의유포방식은기존록키랜섬웨어와마찬가지로스팸메일의첨부파일을이용한형태다. 사용자가메일에첨부된다운로더를실행하면실제랜섬웨어행위를수행하는악성실행파일이다운로드되는방식이다. 첨부된다운로더악성코드는주로스크립트파일 (js, jse, wsf) 또는매크로문서 (docm) 형태를띄고있다. [ 그림 1-3] 은가장흔히확인되는 JS 파일형태의랜섬웨어다운로더로, 파일내부의코드가난독화되어있다. 해당코드에는랜섬웨어감염에필요한기능들이프로그래밍 그림 1-3 JS 다운로더 되어있으며, [ 표 1-3] 과같이랜섬웨어유포 7

지가포함되어있다. royaloakripon.co.uk/8eecjblke, ruangmobil.com/rwmn3jn, sandy-bedfordshire.info/v1qwq. reliatemp.net/5zuhrikzt, sagad.it/shdltwfb 표 1-3 랜섬웨어유포지 URL 해당 JS 파일을실행하면 [ 그림 1-4] 와같이랜섬웨어유포지 URL 중 http://royaloakripon.co.uk/8eecjblk 에서랜섬웨어바이너리를다운로드한다. 그림 1-4 랜섬웨어다운로드 HTTP 요청 최초로다운로드된바이너리인 hsrjiwgtw는암호화되어있으며, JS 파일내구현된복호화기능을통해 PE 실행파일형태로복호화된다. [ 그림 1-5] 와같이 hsrjiwgtw은복호화과정에서 zk 확장자를추가한다. 복호화된파일을분석한결과, PE 파일의특징인 MZ 와 PE 헤더문자열가진것을확인됐다. 이는해당파일이윈도우운영체제에서실행가능함을의미한다. 복호화과정에서특징적인점은윈도우에서주로사용하지않는 zk 확장자를추가한것이다. 이는 zk 확장자가백신프로그램의주요감시대상의파일확장자가아닌점을이용해백신의 그림 1-5 랜섬웨어바이너리복호화전과후 탐지를회피하기위한것으로추측된다. 이처럼최근록키랜섬웨어의변종은윈도우운영체제에서인식하지않는형태의확장자를랜섬웨어바이너리에덧붙이는공격기법을사용하고있다. zk 뿐만아니라 tdb, rap, spe, mda와같은확장자도확인되었다. 한편, JSE(encoded JavaScript) 파일을통해다운로드된랜섬웨어에서는윈도우에서인식가능한 dll 확장자로바로복호화되는특징도확인됐다. 8

그림 1-6 rundll32.exe 를통해실행되는오시리스랜섬웨어 다운로드된오시리스랜섬웨어는 [ 그림 1-6] 과같이 rundll32.exe 를통해실행된다. 실행된후에 는 3 개의 C2 에연결되는데, [ 그림 1-7] 과같이 3 개의연결모두 HTTP 주소구조에맞지않는형태 로 HEAD 요청을보낸다. 그림 1-7 오시리스랜섬웨어의 C2 연결 안랩시큐리티대응센터 (ASEC) 분석결과, [ 그림 1-8] 의 HTTP HEAD 요청과같이메시지 (payload) 없이헤더만보내는방식으로 C2 가살아있는것을확인하는것으로추측된다. 이와같은과정을모두거친후최종적으로파 일을암호화하고나면 [ 그림 1-9] 와같이 PC 에오시리스랜섬웨어감염메시지가나타난 다. 또한암호화가완료된파일들의확장자가.osiris 로변경된것을확인할수있다. 그림 1-8 HTTP HEAD 요청 9

그림 1-9 오시리스랜섬웨어랜섬노트 현재록키랜섬웨어의변종은전세계적으로광범위하게다량으로유포되고있다. 오시리스랜섬웨어와같이록키랜섬웨어변종은기존록키랜섬웨어와유사한방식으로유포되지만암호화된파일의확장자명을지속적으로변경하는 그림 1-10.osiris 확장자로암호화된파일 ( 하 ) 등정체를숨기는노력을하고있다. 랜섬웨어에감염되면사실상파일복구가어렵기때문에 OS 및주요애플리케이션의최신보안업데이트를적용하고백신프로그램의엔진을최신버전으로유지하는등기본적인보안수칙을준수하는것이무엇보다중요하다. 또한중요한데이터는주기적으로백업해두는습관도바람직하다. 주기적인데이터백업은랜섬웨어를비롯한악성코드감염뿐만아니라하드디스크손상, 운영체제오류등으로인해시스템을포맷하게될경우에도유연하게대처할수있다. <AhnLab 진단정보 > 안랩제품에서는오시리스랜섬웨어를다음과같은진단명으로탐지하고있다. V3 제품군 : JS/Obfuscated, Trojan/Win32.Locky MDS: Malware/MDP.Create 10

악성코드 상세분석 ANALYSIS-IN-DEPTH 비너스락커, 올해최악의랜섬웨어되나

악성코드상세분석 비너스락커, Analysis-In-Depth 올해최악의랜섬웨어되나 2017 년 1 분기에는비너스락커 (VenusLocker) 가확산되며적지않은충격을가져왔다. 2016 년하반기 에처음등장한비너스락커랜섬웨어는 록키 (Locky) 와 케르베르 (Cerber) 랜섬웨어에이어다양한 변종을양산하고있어, 2017 년상반기최대보안위협으로급부상할것으로전망된다. 비너스락커는무작위로대량유포되던기존랜섬웨어와달리, 사회공학적기법 (Social Engineering) 을이용하여유포되고있다. 특히자연스러운한국어로작성된스팸메일을통해유포되고있으며, 국내관공서를주된공격대상으로삼은정황이포착되는등한국맞춤형랜섬웨어로급속히확산되고있어각별한주의가요구된다. 유포방식부터일련의동작과정, 암호화진행결과, 그리고복구툴을이용한암호화파일복구과정 까지이른바한국형랜섬웨어로불리우는 비너스락커 를면밀히살펴본다. 1. 비너스락커유포방식비너스락커는 [ 그림 2-1] 과같이사내공지, 이력서등으로위장한스팸메일을통해유포되고있다. 기존의어설픈한국어로작성되어있던스팸 그림 2-1 비너스락커의스팸메일 메일들과달리상당히자연스러운문장과내용으 12

로작성되어있어국내사용자들이의심하기어려울정도다. [ 표 2-1] 은비너스락커의주요유포방식이며, 스 팸메일에첨부된악성파일의종류는 [ 그림 2-2] 와같다. 첨부파일또한 외부공문, 내부지침사 문서파일에포함된악성매크로실행시랜섬웨어드롭 압축파일첨부 ( 랜섬웨어본체와바로가기파일포함 ) 표 2-1 비너스락커의유포방식 항 등과같이메일본문내용과관련있는문서로 치밀하게위장하고있다. 그림 2-2 스팸메일에첨부된악성문서파일 ( 좌 ) 및실행파일 ( 우 ) 그러나비너스락커랜섬웨어는다른랜섬웨어에비해비교적정교하지못한랜섬웨어라할수있다. 닷넷프레임워크 (.NET Framework) 환경에서실행되도록제작되었지만, 초창기버전의프로그램자체에는별다른보호기법이적용되어있지않다. 따라서명령제어서버로접속이불가능한경우등제한적인환경에서는고정된키값을사용하여암호화하고있다. 즉, 현재까지확인된비너스락커랜섬웨어는 [ 그림 2-3] 과같이닷넷디컴파일러 (Decompiler) 와같은툴을사용하여쉽게내부코드를확인할수있으며, 이를통해고정키값또 그림 2-3 디컴파일러 (Decompiler) 를통해확인가능한내부코드 한확인이가능하다. 13

2. 비너스락커동작방식 비너스락커랜섬웨어는 [ 그림 2-4] 와같은과정으로동작한다. 전체적인동작단계별상세행위는 [ 표 2-2] 와같다. 그림 2-4 비너스락커랜섬웨어동작방식 1. 감염환경확인 2. 가상환경확인 3. 날짜비교 하기경로의특정파일존재시프로그램종료존재하지않을경우생성후속성변경 - 숨김, 시스템파일 - 경로 : C:\User\ 사용자계정 \[ 랜덤명 ] 대상 PC 가아래의가상환경목록중하나에해당할경우프로그램종료 WMI (Windows Management Instrumentation) 서비스이용 - 가상환경 : Virtual PC, VMware Workstation, Virtual Box 대상 PC 의날짜와내부에정의된기준날짜를비교하여이전일경우만실행 - 기준날짜 ( 일부 ): 2017-03-01, 2017-04-01, 2017-09-30 14

4. 정보전송 5. 키생성 6. 경로및확장자확인 7. AES 암호화 ( 파일 ) 8. RSA 암호화 ( 키 ) 대상 PC 의정보를수집하여명령제어서버로전송해당정보를조합한값의해시값으로 User ID 를생성 - 수집정보 : 컴퓨터이름, 사용자이름, 언어, 날짜및시간, 운영체제버전 - 접속주소 ( 일부 ) http://ransom.jianclaioskdo.info/create.php https://158.255.5.153/create.php http://185.106.122.2/create.php 키값은위정보전송결과에따라다음과같이 2가지로나뉘어진다. 1. 전송성공 : 새로운키값생성 2. 전송실패 : 내부정의된키값사용 - 내부키값 BGORMkj&v=u1X0O2hOybNdRvZb9SGGnm zyqccu4ml*4t=v!yp4oe9s5hbcotgb8a 로컬드라이브내의모든폴더를검색하여암호화대상파일확인 1. [ 표 3] 의 확장자 2. [ 표 4] 의 예외폴더 3. 시스템파일및 숨김 속성을가진파일제외 전체 암호화혹은 부분 암호화수행 ([ 표 3] 참고 ) 파일명은 Base64 인코딩후 VenusLocker 랜섬웨어확장자사용 전체 암호화는파일전체암호화를의미 부분 암호화는파일시작부터일정크기만큼만암호화 (512 or 1024 bytes). 감염파일이 전체 or 부분 암호화된파일인지는랜섬웨어확장자를통해구분가능 1. 전체 암호화 :.Venusf,.VenusLf,.VenusLfS 2. 부분 암호화 :.Venusp,.VenusLp, VenusLpS 위정보전송이성공하여새로운키값을생성한경우만해당해당키값을내부에정의된공개키값으로 RSA 암호화하여명령제어서버로전송 ( 정보전송 단계에서생성한 User ID 값도같이전송 ) - 접속주소 ( 일부 ) http://ransom.jianclaioskdo.info/keysave.php https://158.255.5.153/keysave.php http://185.106.122.2/keysave.php 표 2-2 동작단계별상세행위 3. 비너스락커의파일암호화 비너스락커가암호화하는대상파일의확장자는 [ 표 2-3] 과같다. 이중에는국내관공서에서주로사용 하는 hwp 확장자를포함하고있다. 15

전체 암호화 txt, cc, docb, doc, xlw, xlsx, jar, potx, ini, h, wps, dot, ppt, xlsm, csv, potm, php, cs, msg, docx, pot, xltx, xml, ppam, html, log, xls, docm, pps, xltm, dwg, ppsx, css, pl, xlt, dotx, pptx, xlsb, dxf, ppsm, py, java, xlm, dotm, pptm, xla, asp, sldx, c, cpp, wpd, rtf, xll, xlam, class, sldm, hwp 부분 암호화 asf, gif, avi, pbf, dvx, wmmp, ink, cbr, tbz2, xwd, dvi, now, adr, pdf, bmp, wav, ra, evo, wmx, cbz, tg, abw, dxe, odm, ap, mp4, raw, flv, wvx, jif, gz, tlz, act, mlx, oft, aro, pdd, saf, qtq, xvid, iff, gzig, vsi, adt, err, pwi, asa, val, tch, 3d, jpc, jgz, wad, aim, euc, rng, ascx, mp3, aac, wave, rts, 3d4, jpf, pak, war, ans, faq, rtx, ashx, waw, ac3, wow, rum, 3df8, jpw, pcv, xpi, asc, fdr, run, asmx, jpg, amf, wpk, rv, pbs, mag, puz, z02, ase, fds, ssa, jpeg, ppd, amr, 3g2, scn, adi, mic, rev, z04, bdp, gthr, text, indd, eps, 3gp, srt, ais, mip, sdn, zap, bdr, idx, unx, asr, png, 3gp2, stx, amu, msp, sen, zipx, bib, kwd, wbk, qbb, ace, accdb, 3mm, svi, arr, nav, sfs, zoo, boc, lp2, wsh, bml, rar, djvu, mod, amx, swf, bmc, ncd, sfx, ipa, crd, ltr, 7z, cer, zip, tar, tax2013, avs, trp, bmf, odc, sh, isu, diz, man, arc, cms, psd, cdr, tax2014, bik, vdo, cag, odi, shar, mbox, ari, crt, tif, max, oga, dir, wm, cam, opf, shr, js, arj, dap, wma, wmv, ogg, divx, wmd, dng, qif, sqx, udf, nfo, car, htm, adr, ff, utc, ctt, sds, dpl, mxp, bak, rw2, aaf, sr2, jc, ap, gam, utx, dal, sql, dpr, oxt, odt, r3d, aep, bay, aro, grf, uvx, ddc, stt, dsk, qpx, pst, ptx, aepx, crw, asa, h3m, uxx, ddcx, tcx, dsp, qtr, pef, plb, cr2, prc, ascx, h4r, vmf, dex, thmx, eql, mpg, srw, prel, db, dcr, prt, ashx, iwd, vtf, dif, txd, ex, mpeg, x3f, prproj, pdb, kdc, shw, asmx, ldb, w3g, dii, txf, f90, odb, der, eat, dat, erf, std, lgp, w3x, itdb, upoi, fla, xlv, pem, ppj, mef, ver, indd, lvl, wtd, itl, vmt, for, xpt, xlk, pfx, indl, mrw, wpl, asr, map, wtf, kmz, wks, fpp, cfg, mdb, p12, indt, spv, nef, qbb, md3, ccd, lcd, wmdb, jav, cwf, dxg, p7b, indb, grle, nrw, yps, bml, mdl, cd, lcf, xl, dbb, p7c, inx, sv5, orf, 1cd, cer, nds, cso, mbx, xlc, lbi, slt, wb2, jfif, idml, game, raf, bck, cms, pbp, disk, mdn, xlr, owl, bp2, dbf, exif, pmd, slot, rwl, crt, ppf, dmg, odf, bp3, ai, xqx, yab, tpu, dcu, dap, pwf, dvd, odp, plc, bpl, 3fr, svg, aip, tpx, dev, htm, pxp, fcd, ods, ltm, pli, clr, arw, as3, amxx, tu, dob, moz, sad, flp, pab, xlwx, pm, dbx, srf, as, ape, tur, dox, svr, sav, img, pkb, mcd, res, cp, qel, sdb, snp, api, vc, dpk, url, scm, isz, pkh, cap, rsrc, rgn, sdc, bkf, usa, uax, col, wdgt, scx, mdf, so, rrt, adpb, ade, usx, umx, cty, abk, sdt, mds, cod, swd, csi, rsw, dic, vcd, ut2, unr, dem, bic, spr, nrg, psa, qdf, dcp, rte, cch, vhd, ut3, uop, elf, big, sud, nri, blp, bsp, cgf, chk 표 2-3 암호화대상확장자 [ 표 2-4] 는암호화예외폴더로, 해당폴더하위에존재하는파일은암호화에서제외된다. Program Files, Microsoft Chart Controls, Windows NT, Program Files (x86), Microsoft Games, Windows Media Player, Windows, Microsoft Office, Windows Mail, Python27, Microsoft.NET, NVIDIA Corporation, Python34, MicrosoftBAF, Adobe, AliWangWang, MSBuild, IObit, Avira, QQMailPlugin, AVAST Software, wamp, Realtek, CCleaner, Skype, AVG, 360, Reference Assemblies, Mozilla Firefox, ATI, Tencent, VirtualDJ, Google, USB Camera2, TeamViewer, Intel, WinRAR, ICQ, Internet Explorer, Windows Sidebar, java, Kaspersky Lab, Windows Portable Devices, Yahoo!, Microsoft Bing Pinyin, Windows Photo Viewer 표 2-4 암호화예외폴더 비너스락커랜섬웨어는파일암호화를완료된후감염 PC 의바탕화면과모든로컬드라이브의루트경 로에 [ 그림 2-5] 와같은랜섬노트 (ReadMe.txt) 를생성한다. 랜섬노트에는파일이암호화되었다는사 16

실과복구를위한비트코인지불방법등을안내하고있다. 일련의과정을모두마친비너스락커는최종적으로 [ 그림 2-6] 과같이랜섬노트의약식내용이담긴감염화면을띄워사용자에게 그림 2-5 랜섬노트 (ReadMe.txt) 감염사실을알린다. 72 시간후에는키가사라진 다는점을강조하고있으며, 사용자가화면종료를시도할경우경고문구를띄워비트코인지불을 유도한다. 초창기에는복구비용으로 500 달러에해당하는비트코인을요구하였으나최근에는 1 비트코인 ( 한화 약 150 만원, 2017 년 3 월기준 ) 을요구하고있다. 그림 2-6 감염화면 ( 좌 ) 및종료시도시팝업되는경고메시지 ( 우 ) 4. 비너스락커대응 ( 감염파일복구방안 ) 앞서언급한바와같이제한적인환경에서비너스락커랜섬웨어는고정키값으로파일을암호화한다. 여기서 제한적인환경 이란 [ 표 2-2] 의 정보전송 과정에서명령제어서버로접속이불가능한경우를의미한다. 17

대칭키방식으로암호화된비너스락커랜섬웨어감염파일들중일부는 [ 그림 2-7] 과같이복구가가능하다. 안랩에서는해당파일들에대한비너스락커랜섬웨어전용복구툴을배포하고있다. 한편, 비너스락커에의해 부분 암호화된파일의 경우, 실제암호화된부분의크기를측정할수없 그림 2-7 암호화된파일 ( 위 ) 및복구된파일 ( 아래 ) 다. 이와관련해안랩의비너스락커랜섬웨어복구툴은해당부분암호화파일들에대해서다음과같 은사항을반영했다. < 부분암호화파일에대한안랩복구툴의추가반영사항 > 1. 현재까지확인된암호화부분을크기, 가짓수만큼복구파일생성 2. 생성된파일명의접두어를통해암호화부분크 기확인가능 ([ 그림 2-8] 의 [512], [1024]) 그림 2-8 부분암호화된파일복구시생성되는파일 3. 생성된파일들중하나의파일이정상복구된파일 4. 다음과같은상황에서는정상복구된파일끝에 가변적인더미데이터생성 [ 그림 2-10] 과같이부분암호화대상파일중원 그림 2-9 생성된파일중하나의파일에서확인가능한정상복구파일 본파일크기가부분암호화크기보다작은경우 에는가변적인더미데이터가생성된다. 18

그림 2-10 원본파일 ( 좌 ) 및더미데이터가추가된복구파일 ( 우 ) 그러나최근유포되는비너스락커랜섬웨어는부분암호화대상파일의조건으로확장자뿐만아니라파 일크기도추가되어위와같은상황이발생하지않는다. 부분암호화파일에대한추가고려사항이반영된안랩의비너스락커랜섬웨어복구툴은안랩닷컴 > 다운로드 > 전용백신에서다운받을수있다. 1 비너스락커랜섬웨어복구툴다운로드바로가기 2017년상반기최대보안위협이될것으로전망되는비너스락커는지속적으로변종을유포하며고도화되고있다. 다만현재비너스락커랜섬웨어감염시일부파일에한해복구가가능하다. 그러나대부분랜섬웨어에감염되어암호화된파일을온전히복구하기는어렵다. 따라서랜섬웨어로인한피해를최소화하기위해 그림 2-11 비너스락커랜섬웨어복구툴 1 http://www.ahnlab.com/kr/site/download/product/downvacc.do?filename=venuslocker_decryptor.exe 19

서는예방이가장중요하다. 특히공격자들이사회공학적기법을이용하여실제사용자와연관된내용 으로스팸메일을발송하고있어첨부파일실행시에더욱각별한주의가필요하다. <AhnLab 진단정보 > V3 제품군에서는비너스락커랜섬웨어를다음과같은진단명으로탐지하고있다. Trojan/Win32.VenusLocker (2016.12.26.08) 20