랜섬웨어(Ransomware)는 동유럽과 러시아 등지에서 제작되는 것으로 알려져 있으며, 주로 문서나 사용하는 컴퓨터 시스템의 정상적인 사용을 방해하고, 그 댓가로 금전을 요구하는 형태로 알려져 있다.


현재까지 ASEC에서 파악한 랜섬웨어들은 악성코드 제작자에 의해 직접 제작되는 경우도 있으나 최근에는 다른 일반적인 악성코드와 동일하게 랜섬웨어 생성기에 의해 제작되는 사례도 존재 한다


그리고 국지적인 한계를 벗어나 감염된 시스템의 윈도우에서 사용하는 언어를 확인하여 그에 맞는 언어로 표기하는 형태도 있어, 한국어 윈도우에서는 한국어로 표기하는 랜섬웨어도 발견된 사례가 있다.


11월 2일, 해외에서 유명 해커 그룹인 어나니머스(Anonymous)를 사칭한 랜섬웨어가 발견되었다. 


이 번에 발견된 랜섬웨어는 감염된 시스템에서 스위스 보안 그룹 Abuse.ch에서 공개한 아래 이미지처럼 어나니머스의 로고와 메시지를 보여주고, 정상정인 시스템 사용을 위해 금전적인 댓가를 지불할 것을 요구 하고 있다.



이 번에 발견된 랜섬웨어가 시스템에서 실행 되면 우선 구글로 접속을 시도하여 감염된 시스템이 존재하는 지리적 위치를 확인하게 된다.


그리고 러시아에 위치한 다음 IP의 시스템으로 접속하여 감염된 시스템의 사용자에게 보여줄 내용이 담긴 picture.php 를 다운로드하게 된다. 


http://62.76.45.83/picture.php


분석 당시에는 정상적인 접속이 이루어지지 않음으로 어나니머스를 사칭한 메시지는 보여지지 않는다. 그러나 시스템의 정상 사용을 방해하는 기능은 정상적으로 수행된다.


해당 랜섬웨어는 감염된 시스템이 재부팅하더라 실행이 되더라도 랜섬웨어가 정상 동작하도록 레지스트리에 다음 키를 생성하게 된다.


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

sv??t = "%SystemDrive%\[파일 존재 위치]\[유포 당시 파일명]


그리고 감염된 시스템이 안전 모드로 부팅하지 못하도록 다음 레지스트리 키와 하위 키들을 모두 삭제하게 된다.


HKLM\SYSTEM\ControlSet001\Control\SafeBoot


이 번에 발견된 랜섬웨어가 해커 그룹인 어나니머스에서 제작되었는지는 알려지지 않았다. 그러나 다양한 형태의 랜섬웨어들이 지속적으로 발견되고 있음으로, 사용하는 시스템의 보안 패치와 함께 백신을 최신 엔진으로 업데이트 하는 것이 중요하다.


해커 그룹 어나니머스를 사칭한 해당 랜섬웨어는 V3 제품 군에서 다음과 같이 진단한다.


Trojan/Win32.PornoAsset

 

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

3. 증상 발생 시 조치방법 II : 수동조치
-----------------------------------------------------------------

제품에서 진단되는 않는 경우, 아래 과정으로 수작업 조치를 통해 해결해야 한다.

1) GMER Download : http://www.gmer.net/gmer.zip 에서 툴을 다운로드 받으신 후, 임의의 폴더에 압축을 해제하여 gmer.exe를 실행한다.

2) GMER 실행 시 은폐형 파일이 존재할 경우 아래와 같이 메시지가 출력되며, hidden으로 표시된 항목을 찾는다. Rustock 의심파일의 특징은 Hidden이면서 파일명이 숫자로 시작하며 영문/숫자 조합으로 생성된다.



3) 여기서는 System32\drivers\7f0ed690.sys 이며, Rustock의 경우 정상모드에서 삭제가 되지 않기 때문에 안전모드(네트워크 지원)로 부팅하여 조치해야 한다.

* 안전모드 부팅 방법은  [안전 모드부팅 후 치료하기]글을 참조해 주시기 바랍니다.

4) 시스템을 안전모드(네트워크 지원)로 부팅한 후, GMER을 실행하여 등록한 서비스를 삭제한다.


5) 서비스 삭제 후 GMER의 [Files]탭을 선택하여 의심 파일이 위치하는 경로로 이동하여 해당 파일을 선택하여 [Kill] 한 다음, 수집을 위해 임의의 위치로 [Copy] 한 후, 파일을 [Delete]를 선택하여 삭제하고 재부팅하여 증상을 확인한다.



신고
Creative Commons License
Creative Commons License
Posted by 비회원

안전모드로 부팅 및 안전모드 부팅 상태에서 V3로 시스템을 검사하는 방법에 대해 안내해 드립니다. 


1. 안전모드 부팅

안전모드 부팅하는 방법은 시스템 시작할 때 (PC 전원이 켜졌을 때) F8 번 키를 계속 누르시면 (0.5초 간격) 아래 그림과 같이 Windows 고급 옵션 메뉴 화면으로 넘어가게 됩니다. 아래 화면에서 "안전 모드(네트워킹 사용)" 모드를 선택하여 부팅을 합니다.


아래 그림에서의 확인창이 팝업되면 "확인"을 누르시고 다음 단계로 넘어가십니다.




2. 안전모드 부팅 후 V3로 시스템 검사하기

* "안전모드 부팅 후 V3로 시스템 검사하기" 는 안전모드 후 추가적으로 시스템을 검사하실 고객께서만 참조해 주시기 바랍니다.

위에서 설명해 드린 안전모드 부팅 밥번을 참조하시어 안전모드로 부팅하시고 V3 를 실행하신 후 시스템을 검사해 주시면 되겠습니다.

각각의 제품 별로 안전모드 상에서 V3로 시스템을 검사하는 아래 캡쳐 화면을 참고해 주시기 바랍니다.


[V3 IS 8.0 제품]





[V3 IS 7.0 제품]





[V3 Lite 제품]






신고
Creative Commons License
Creative Commons License
Posted by 비회원