AhnLab EDR을 활용한 최신 RMM 유포 사례 탐지
AhnLab SEcurity intelligence Center(ASEC)은 최근 RMM(Remote Monitoring and Management) 도구들을 악용한 공격 사례가 늘어나고 있는 것을 확인하였다. 과거에는 최초 침투 이후 제어를 탈취하기 위한 공격 과정에서 원격 제어 도구들을 악용해 왔다면 최근에는 최초 유포 단계에서도 RMM 도구를 활용할 정도로 다양한 공격 사례들에서 악용되는 중이다. 여기에서는 최근 확인된 RMM 악용 사례들과
취약한 난수 생성 함수를 사용하는 Gunra 랜섬웨어 분석 (리눅스 환경 대상 유포, ELF 형태)
2025년 4월부터 활동을 시작한 Gunra 랜섬웨어 그룹은 최근 다양한 국가와 산업의 기업들을 대상으로 지속적인 공격을 감행하고 있으며, 국내에서도 피해 사례가 확인되고 있다. 유포에 확인된 Gunra 랜섬웨어는 윈도우 환경 대상의 EXE 파일 형식과, 리눅스 환경 대상의 ELF 파일 형식이 있다. 본 게시글에서는 리눅스 대상의 ELF 파일 형식의 Gunra 랜섬웨어의 주요 특징과 암호화
선택적 암호화 알고리즘을 사용하는 Qilin 랜섬웨어 분석 (리눅스 환경 대상 유포, ELF 형태)
최근 Qilin 랜섬웨어가 전 세계 다양한 국가와 산업의 기업들을 대상으로 지속적인 공격을 감행하고 있으며, 국내에서도 피해 사례가 확인되고 있다. 이에 따라 본 게시글에서는 Qilin 랜섬웨어 ELF 유형에 대한 주요 특징과 암호화 방식, 그리고 복호화가 불가능한 기술적 이유를 분석하여, 향후 유사한 위협에 효과적으로 대응할 수 있는 인사이트를 제공하고자 한다. Qilin 랜섬웨어
선택적 암호화 알고리즘을 사용하는 Qilin 랜섬웨어 분석
최근 Qilin 랜섬웨어가 전 세계 다양한 국가와 산업의 기업들을 대상으로 지속적인 공격을 감행하고 있으며, 국내에서도 피해 사례가 확인되고 있다. 이에 따라 본 게시글에서는 Qilin 랜섬웨어의 주요 특징과 암호화 방식, 그리고 복호화가 불가능한 기술적 이유를 분석하여, 향후 유사한 위협에 효과적으로 대응할 수 있는 인사이트를 제공하고자 한다. 요약 Qilin
모방을 통해 브랜드 효과를 노린 Kawa4096 랜섬웨어
2025년 6월, 새로운 랜섬웨어 그룹 Kawa4096이 등장했다. 일본과 미국을 포함한 다국적 조직을 표적으로 삼고 있으며, 공격 대상은 금융/교육/서비스 등으로 특정 산업군에 국한되지 않는다. 아직까지 RaaS(Ransomware-as-a-Service) 운영 여부 혹은 다른 그룹과의 협력 관계에 대해서는 공개적으로 확인된 내용이 없으나, 상대적으로 짧은 기간동안 여러 국가의 조직을 공격하여 주목받고 있다. 1. 개요 Kawa4096
AhnLab EDR을 활용한 리눅스 PAM 악용 악성코드 공격 탐지
PAM (Pluggable Authentication Modules)은 su, sudo, sshd와 같은 응용 프로그램이 인증과 같은 보안 정책 로직을 직접 구현하지 않고도 수행할 수 있게 해주는 모듈형 프레임워크이다. 응용 프로그램은 libpam 라이브러리에 인증을 위임하며 해당 라이브러리에서 설정 정보에 따라 PAM 모듈을 로드하여 실행한 뒤 결과를 취합하는 방식이다. 예를 들어 OpenSSH 서버 프로세스인 sshd에 로그인
AhnLab EDR을 활용한 Akira 랜섬웨어 공격 사례 탐지
Akira는 상대적으로 새롭게 등장한 랜섬웨어 공격자로서 2023년 3월부터 활동하고 있다. 다른 랜섬웨어 공격자들과 유사하게 조직에 침투한 이후 파일을 암호화할 뿐만 아니라 민감한 정보를 탈취해 협상에 사용한다. 실제 다음과 같은 2024년 통계에서도 Akira 랜섬웨어에 의한 피해 기업의 수가 상위권을 차지하고 있다. [1] Figure 1. 2024년 랜섬웨어 피해 통계 공격자는 랜섬웨어를 통해
AhnLab EDR을 활용한 USB로 전파되는 국내 코인마이너 유포 사례 탐지
1. 개요 코인마이너는 주로 암호화폐를 채굴하기 위해 사용자의 컴퓨터 CPU와 GPU 자원을 몰래 사용하며, 이로 인해 컴퓨터 성능이 저하된다. 코인마이너는 주로 피싱 이메일, 악성 웹사이트, 시스템 취약점 등을 통해 유포되며, 해당 악성코드에 대한 분석은 ASEC Blog에서도 다룬 바[1] 있다. 이번 글에서는 앞서 포스팅한 글에서 분석된 코인마이너의 악성 행위를 자사 EDR
AhnLab EDR을 활용한 Play 랜섬웨어 공격 사례 탐지
Play 랜섬웨어는 Balloonfly 또는 PlayCrypt라고도 불리며 2022년 6월 최초로 확인된 이후 현재까지 전 세계에서 300개 이상의 조직을 공격한 것으로 알려져 있다. 파일 암호화 이후 “.PLAY” 확장자를 추가하는 것이 특징이며 최근까지도 활발하게 활동하고 있다. 다른 랜섬웨어 공격자들과 동일하게 시스템들을 암호화하기 전에 정보를 탈취하여 피해자를 협박하며 웹 사이트에서 공격당한 업체의 리스트들을 공개한다.
AhnLab EDR을 활용한 Proxy 도구 탐지
공격자들은 감염 시스템에 대한 제어를 획득한 이후에도 RDP를 이용해 원격에서 화면 제어를 수행하기도 한다. 이는 편리함 때문이기도 하지만 지속성 유지 목적일 수도 있다. 이에 따라 공격 과정에서는 RDP 서비스가 활성화되어 있지 않은 경우에는 RDP Wrapper를 설치하기도 하며 기존 계정의 자격 증명 정보를 탈취하거나 새로운 백도어 계정을 추가하기도 한다. 하지만 감염
