안랩 ASEC에서 2012년 11월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.35을 발간하였다. 



이 번에 발간된 ASEC 리포트는 2012년 11월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다.


1) 악성코드 이슈

JPEG 이미지 파일을 탈취해가는 악성코드

공다팩 (Gongda Pack) 스크립트 악성코드

과도한 트래픽을 발생시키는 악성코드 1

과도한 트래픽을 발생시키는 악성코드 2

이란에서 발견된 스턱스넷과 유사한 형태의 웜

특정 기관의 공고 관련 문서로 위장한 악성코드

조어도 영유권 분쟁 관련 문서로 위장한 악성코드

18대 대선 관련 엑셀문서로 위장한 악성코드

맥도널드 공짜 쿠폰 받아가세요!

Security Shield 허위 백신

해커 그룹  어나니머스  를 사칭한 랜섬웨어 발견

PayPal 결제정보 수정권고 피싱메일 주의


2) 모바일 악성코드 이슈

국내 타깃 안드로이드 악성코드 (스마트 청구서)

국내 타깃 안드로이드 악성코드 (구글 Play Store)

브라우저로 위장한 모바일 악성코드 


3) 악성코드 분석 특집

2012년 7대 악성코드 이슈


4) 보안 이슈

인터넷 익스플로러 취약점(MS12-071)

구글 크롬 제로데이 발표 예정자, 갑작스런 발표 취소. 이유는?

Cool Exploit Kit


ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다. 


ASEC 보안 위협 동향 리포트 2012 Vol.35 발간


저작자 표시 비영리 변경 금지
신고
Posted by 비회원

랜섬웨어(Ransomware)는 동유럽과 러시아 등지에서 제작되는 것으로 알려져 있으며, 주로 문서나 사용하는 컴퓨터 시스템의 정상적인 사용을 방해하고, 그 댓가로 금전을 요구하는 형태로 알려져 있다.


현재까지 ASEC에서 파악한 랜섬웨어들은 악성코드 제작자에 의해 직접 제작되는 경우도 있으나 최근에는 다른 일반적인 악성코드와 동일하게 랜섬웨어 생성기에 의해 제작되는 사례도 존재 한다


그리고 국지적인 한계를 벗어나 감염된 시스템의 윈도우에서 사용하는 언어를 확인하여 그에 맞는 언어로 표기하는 형태도 있어, 한국어 윈도우에서는 한국어로 표기하는 랜섬웨어도 발견된 사례가 있다.


11월 2일, 해외에서 유명 해커 그룹인 어나니머스(Anonymous)를 사칭한 랜섬웨어가 발견되었다. 


이 번에 발견된 랜섬웨어는 감염된 시스템에서 스위스 보안 그룹 Abuse.ch에서 공개한 아래 이미지처럼 어나니머스의 로고와 메시지를 보여주고, 정상정인 시스템 사용을 위해 금전적인 댓가를 지불할 것을 요구 하고 있다.



이 번에 발견된 랜섬웨어가 시스템에서 실행 되면 우선 구글로 접속을 시도하여 감염된 시스템이 존재하는 지리적 위치를 확인하게 된다.


그리고 러시아에 위치한 다음 IP의 시스템으로 접속하여 감염된 시스템의 사용자에게 보여줄 내용이 담긴 picture.php 를 다운로드하게 된다. 


http://62.76.45.83/picture.php


분석 당시에는 정상적인 접속이 이루어지지 않음으로 어나니머스를 사칭한 메시지는 보여지지 않는다. 그러나 시스템의 정상 사용을 방해하는 기능은 정상적으로 수행된다.


해당 랜섬웨어는 감염된 시스템이 재부팅하더라 실행이 되더라도 랜섬웨어가 정상 동작하도록 레지스트리에 다음 키를 생성하게 된다.


HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

sv??t = "%SystemDrive%\[파일 존재 위치]\[유포 당시 파일명]


그리고 감염된 시스템이 안전 모드로 부팅하지 못하도록 다음 레지스트리 키와 하위 키들을 모두 삭제하게 된다.


HKLM\SYSTEM\ControlSet001\Control\SafeBoot


이 번에 발견된 랜섬웨어가 해커 그룹인 어나니머스에서 제작되었는지는 알려지지 않았다. 그러나 다양한 형태의 랜섬웨어들이 지속적으로 발견되고 있음으로, 사용하는 시스템의 보안 패치와 함께 백신을 최신 엔진으로 업데이트 하는 것이 중요하다.


해커 그룹 어나니머스를 사칭한 해당 랜섬웨어는 V3 제품 군에서 다음과 같이 진단한다.


Trojan/Win32.PornoAsset

 

저작자 표시 비영리 변경 금지
신고
Posted by 비회원