Posted By ASEC , 2022년 12월 12일

Magniber Ransomware 12/9 유포 시작 코로나 관련 파일명 포함 유포 주의!

안랩 ASEC 분석팀은 Magniber Ransomware가 2022.12.09에 재유포 되는 것을 확인하였다. 기존에 보안 업데이트 관련 파일명을 포함하여 코로나가 기승을 부리는 시기에 Magniber Ransomware도 코로나 관련 파일명을 포함하여 유포되는 것을 확인하였다.

C:\Users\$USERS\Downloads\COVID.Warning.Readme.2f4a204180a70de60e674426ee79673f.msi
C:\Users\$USERS\Downloads\COVID.Warning.Readme.502ef18830aa097b6dd414d3c3edd5fb.msi
C:\Users\$USERS\Downloads\COVID.Warning.Readme.a179a9245f8e13f41d799e775b71fdff.msi

[표-1] 코로나 관련 유포 파일명

Magniber는 과거 Internet Explorer 취약점을 이용하여 사용자의 특별한 동작 없이 웹페이지 방문만으로 Drive by Download로 랜섬웨어를 감염시켰으나, MicroSoft에서 Internet Explorer의 서비스가 종료되자 새로운 브라우져의 취약점을 이용하는 것을 포기하고 사회공학적 기법을 이용하여 보안 업데이트나, 앞서 말한 것처럼 코로나 관련 파일명을 유표하여 실행을 사용자에게 맡기고 있다.

이는 Magniber랜섬웨어 뿐만 아니라 이전에 GandCrab 이후에는 BlueCrab 지금은 Lockbit3.0을 유포하고 있는 랜섬웨어 유포자도 초기 감염 백터(MITRE ATT&CK ID: TA0001)은 취약점에서 사회공학적 기법으로 사용자의 실행으로 변경하였다. 결국 공급망 공격, 취약점 공격등에 드는 공수보다 사용자를 현혹하여 실행하는게 더 쉽다는 의미이다.

지원서 및 정상 유틸로 위장하여 유포되는 GandCrab 랜섬웨어 (v2.0) – ASEC BLOG

최근 새로운 버전의 GandCrab 랜섬웨어가 '지원서 및 정상 유틸리티 프로그램'으로 위장하여 유포되고 있음을 자사에서 확인하였다. 자사가 수집한 GandCrab의 수집경로는 아래 [표1]과 같다. 또한, 기존 v1.0과 달리 별도의 암호화 대상 확장자가 없어 대부분의 파일들이 암호화 됨으로 더 큰 피해가 발생할 수 있다. 수집 경로 지원서 위장 (license.exe) ..행정업무프리랜서_계약비용지원이영윤지원서지원서license.exe ..documents지원서지원서license.exe ..desktop이영윤지…

BlueCrab 랜섬웨어 유포 사이트 공개 (2) – ASEC BLOG

“JS.BlueCrab” 랜섬웨어는 국내 사용자를 타겟으로 유포되는 랜섬웨어로 해외에서는 “Sodinokibi”로 불린다. ASEC분석팀은 해당 랜섬웨어를 지속적으로 모니터링 및 대응 중이며 굵직한 변형이 발생할 때마다 관련 정보를 게시하고 있다. 본 포스팅에서는 유포 사이트에 대한 간략한 설명과 자체적으로 수집 중인 다수의 유포 사이트 URL을 공개한다. 이후 수집한 URL에 대해서도 지속적으로 블로그를 통해 공개할 예정이다. 이전 포스팅: 해당 랜섬웨어는 악성파일 다운로드 및 실행을 유도하는 “가짜 포럼 페이지”를 통해 유포되는…

[그림-1] 재유포되는 Magniber Ransomware .msi 파일

Magniber랜섬웨어는 이미 공유된 대로 Chrome 브라우저에서는 .msi파일로 다운로드 되며, Edge 브라우저에서는 .zip으로 다운로드가 된다. 하지만 외부에서 유입된 파일에 대한 실행을 묻는 확인 창 없이 클릭시 바로 실행되기 때문에 사용자는 특히나 신뢰하지 않는 사이트의 방문을 조심하여야 한다.

MOTW(Mark of the Web) 우회를 시도한 매그니베르 랜섬웨어 – ASEC BLOG

ASEC 분석팀은 지난 10월 13일 매그니베르(Magniber)랜섬웨어의 변화에 대한 글을 공개했다. 현재도 활발하게 유포되는 매그니베르 랜섬웨어는 백신의 탐지를 회피하기 위해 다양한 변화를 해왔다. 이 중 Microsoft 에서 제공하는 파일의 출처를 확인해주는 Mark of the Web(MOTW)을 우회한 것으로 확인된 2022.09.08 ~ 2022.09.29 기간 동안의 스크립트 형태에 대해 소개한다. 날짜 확장자 실행 프로세스 암호화 프로세스 복구 환경 비활성화프로세스 복구 환경 비활성화(UAC 우회) 2022-05-0…

COVID.Warning.Readme.[무작위 값]
MS.Update.Center.Security.KB[무작위값]
SYSTEM.Antivirus.Hotfix.[무작위값]
ERROR.Software.Log.Hotfix.[무작위값]

[표-2] Magniber Ransomware 유포 파일명 일부

위에 적혀있는 파일명처럼 사용자는 보안이나 최신 사회 트랜드 단어를 사용하여 실행을 유도한다. 다시 한번 신뢰하지 않는 사이트 방문을 자제하여야 하며, 자기도 모르게 다운로드된 파일은 실행하지 않아야 한다.

[파일 진단]